• 职位描述:
      1. 对公司网站、业务系统进行安全评估测试(黑盒、白盒测试);
      2. 对公司各类系统进行安全加固;
      3. 对公司安全事件进行响应,清理后门,根据日志分析攻击途径;
      4. 安全技术研究,包括安全防范技术,黑客技术等;
      5. 跟踪最新漏洞信息,进行业务产品的安全检查。
      职位要求:
      1. 熟悉主流的Web安全技术,包括SQL注入、XSS、CSRF、一句话木马等安全风险;
      2. 熟悉国内外主流安全产品和工具,如:Nessus、Nmap、AWVS、Burp、Appscan等;
      3. 熟悉windows、linux平台渗透测试、后门分析、加固;
      4. 至少掌握一门编程语言C/C++/Perl/Python/PHP/Go/Java等;
      5. 熟悉渗透测试的步骤、方法、流程,具有Web安全实战经验;
      6. 熟悉常见安全攻防技术,对网络安全、系统安全、应用安全有深入的理解和自己的认识;
      7. 对Web安全整体有深刻理解,具备代码审计和独立漏洞挖掘能力;
      8. 具有较强的团队意识,高度的责任感,文档、方案能力优秀者优先。
    • Web安全相关概念
      熟悉基本概念(SQL注入、上传、XSS、CSRF、一句话木马等)。
      1. 通过关键字(SQL注入、上传、XSS、CSRF、一句话木马等)进行Google/SecWiki;
      2. 阅读《精通脚本黑客》,虽然很旧也有错误,但是入门还是可以的;
      3. 看一些渗透笔记/视频,了解渗透实战的整个过程,可以Google(渗透笔记、渗透过程、入侵过程等);
熟悉渗透相关工具熟悉AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan等相关工具的使用。
  1. 了解该类工具的用途和使用场景,先用软件名字Google/SecWiki;
  2. 下载无后门版的这些软件进行安装;
  3. 学习并进行使用,具体教材可以在SecWiki上搜索,例如:Brup的教程sqlmap
  4. 待常用的这几个软件都学会了可以安装音速启动做一个渗透工具箱;
 
渗透实战操作掌握渗透的整个阶段并能够独立渗透小型站点。
  1. 网上找渗透视频看并思考其中的思路和原理,关键字(渗透、SQL注入视频、文件上传入侵、数据库备份、dedecms漏洞利用等等);
  2. 自己找站点/搭建测试环境进行测试,记住请隐藏好你自己;
  3. 思考渗透主要分为几个阶段,每个阶段需要做那些工作,例如这个:PTES渗透测试执行标准
  4. 研究SQL注入的种类、注入原理、手动注入技巧;
  5. 研究文件上传的原理,如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用(IIS、Nignix、Apache)等,参照:上传攻击框架
  6. 研究XSS形成的原理和种类,具体学习方法可以Google/SecWiki,可以参考:XSS
  7. 研究Windows/Linux提权的方法和具体使用,可以参考:提权
  8. 可以参考: 开源渗透测试脆弱系统
 
关注安全圈动态关注安全圈的最新漏洞、安全事件与技术文章。
  1. 通过SecWiki浏览每日的安全技术文章/事件;
  2. 通过Weibo/twitter关注安全圈的从业人员(遇到大牛的关注或者好友果断关注),天天抽时间刷一下;
  3. 通过feedly/鲜果订阅国内外安全技术博客(不要仅限于国内,平时多注意积累),没有订阅源的可以看一下SecWiki的聚合栏目
  4. 养成习惯,每天主动提交安全技术文章链接到SecWiki进行积淀;
  5. 多关注下最新漏洞列表,推荐几个:exploit-dbCVE中文库Wooyun等,遇到公开的漏洞都去实践下。
  6. 关注国内国际上的安全会议的议题或者录像,推荐SecWiki-Conference
 
熟悉Windows/Kali Linux学习Windows/Kali Linux基本命令、常用工具;
  1. 熟悉Windows下的常用的cmd命令,例如:ipconfig,nslookup,tracert,net,tasklist,taskkill等;
  2. 熟悉Linux下的常用命令,例如:ifconfig,ls,cp,mv,vi,wget,service,sudo等;
  3. 熟悉Kali Linux系统下的常用工具,可以参考SecWiki,《Web Penetration Testing with Kali Linux》、《Hacking with Kali》等;
  4. 熟悉metasploit工具,可以参考SecWiki、《Metasploit渗透测试指南》。
 
服务器安全配置学习服务器环境配置,并能通过思考发现配置存在的安全问题。
  1. Windows2003/2008环境下的IIS配置,特别注意配置安全和运行权限,可以参考:SecWiki-配置
  2. Linux环境下的LAMP的安全配置,主要考虑运行权限、跨目录、文件夹权限等,可以参考:SecWiki-配置
  3. 远程系统加固,限制用户名和口令登陆,通过iptables限制端口;
  4. 配置软件Waf加强系统安全,在服务器配置mod_security等系统,参见SecWiki-ModSecurity
  5. 通过Nessus软件对配置环境进行安全检测,发现未知安全威胁。
 
脚本编程学习选择脚本语言Perl/Python/PHP/Go/Java中的一种,对常用库进行编程学习。
  1. 搭建开发环境和选择IDE,PHP环境推荐WampXAMPP,IDE强烈推荐Sublime,一些Sublime的技巧:SecWiki-Sublime
  2. Python编程学习,学习内容包含:语法、正则、文件、网络、多线程等常用库,推荐《Python核心编程》,不要看完
  3. 用Python编写漏洞的exp,然后写一个简单的网络爬虫,可参见SecWiki-爬虫视频
  4. PHP基本语法学习并书写一个简单的博客系统,参见《PHP与MySQL程序设计(第4版)》、视频
  5. 熟悉MVC架构,并试着学习一个PHP框架或者Python框架(可选);
  6. 了解Bootstrap的布局或者CSS,可以参考:SecWiki-Bootstrap;
 
源码审计与漏洞分析能独立分析脚本源码程序并发现安全问题。
  1. 熟悉源码审计的动态和静态方法,并知道如何去分析程序,参见SecWiki-审计
  2. 从Wooyun上寻找开源程序的漏洞进行分析并试着自己分析;
  3. 了解Web漏洞的形成原因,然后通过关键字进行查找分析,参见SecWiki-代码审计高级PHP应用程序漏洞审核技术
  4. 研究Web漏洞形成原理和如何从源码层面避免该类漏洞,并整理成checklist。
 
安全体系设计与开发能建立自己的安全体系,并能提出一些安全建议或者系统架构。
  1. 开发一些实用的安全小工具并开源,体现个人实力;
  2. 建立自己的安全体系,对公司安全有自己的一些认识和见解;
  3. 提出或者加入大型安全系统的架构或者开发;
  4. 看自己发展咯~

信息安全技能树(SecWiki中Web安全工程师职位建议)的更多相关文章

  1. 互联网产品团队中Web前端工程师的重要性

    国内外各大互联网公司,都有UEx/d|UCD|CDC(Customer Research & User Experience Design Center)团队. 在很多公司会认为,合格的产品经 ...

  2. Delphi WebService 中 Web App Debugger 的建议

    NEW一个WEBAPP,选WEBAPPDEBUGGER,输一个COCLASSNAME,比如叫HELLO保存为工程比如叫TEST,UNIT2比如改叫WEBMOD,UNIT1以后没用了,所以还叫UNIT1 ...

  3. 我的web安全工程师学习之路——规划篇

    据网上收集的web安全工程师需要掌握哪些技能,职位要求以及如何入门,加上学习网易推出的web安全工程师微专业课程,为了进一步学习,所以给自己做了一些小小规划,也希望给同样想成为web安全工程师的同仁们 ...

  4. web前端工程师入门须知

    本文是写给那些想要入门web前端工程的初学者,高手请路过,也欢迎高手们拍砖. 先说下web前端工程师的价值,目前web产品交互越来越复杂,用户使用体验和网站前端性能优化这些都得靠web前端工程师去做w ...

  5. 谈谈Web前端工程师的定位

    原文地址:http://www.360doc.com/content/10/0708/17/1277406_37692580.shtml 2010-07-08  锋子chans   阅 1116  转 ...

  6. 如何做一名好的web安全工程师?

    在网络安全行业里面,web安全方向的人相对来说算是占大头,因为web安全初学阶段不像系统底层安全那么枯燥,而且成功hack目标网站的成就感相对也是比较强的. web安全工程师这个职位在甲方和乙方公司都 ...

  7. 菜鸟如何反转到资深Web安全工程师

    90后理工男,计算机专业,毕业于985院校,从事Web安全工作,两年多的时间里先后跳槽3家公司,跳槽理由主要有以下几点:加班多.薪资低.工作内容枯燥,不想安于现状,寄希望于通过跳槽找到一个“钱多.活少 ...

  8. 一名合格的Web安全工程师之成长路径

    最近经常听到公司的招聘专员反馈应聘者简历“水分”太大,尤其是技术岗位,例如Web安全工程师,明明是初级阶段的菜鸟,就敢写资深Web安全工程师:在几个项目做一些基础打杂的工作,就敢写带过团队,项目经验丰 ...

  9. Web安全工程师(网易微专业Web安全学习笔记)

    本篇笔记的配套视频:网易云课堂,微专业/web安全工程师. 一.WEB基础知识 1.1 Web简介 1.1.1 Web介绍 1)web的发展 web1.0:以内容为中心,网站提供内容信息,用户进行访问 ...

随机推荐

  1. Linux localtime_r调用的一个小问题

    我们一个项目中有如下代码: time_t loc_time; loc_time = time(NULL); localtime_r(&loc_time,&ptr); 这段代码本意是获取 ...

  2. 记一次yii2 上传文件

    1 view渲染 <form action="../src/website/import/report-flow" method="post" encty ...

  3. Python设计模式 - UML - 时序图(Sequence Diagram)

    简介 时序图表示参与者与对象之间.对象与对象之间的动态交互过程及时序关系. 时序图详细而直观地展示了对象随时间变化的状态.调用关系和消息时序,时序图中的主要元素有:参与者(Actor), 对象(Obj ...

  4. 使用rke快速安装K8s集群

    操作系统 centos 7.5 yum update -y yum install docker -y 关闭防火墙.selinux 下载rke helm https://github.com/helm ...

  5. js事件不能触发

    在span标签添加了个onclick事件,捣腾了半天触发不了,设置z-index:1000也没用. 最后发现是元素没设置宽度width导致的,压根儿没往这方面想. 因为添加onclick的span标签 ...

  6. innodb 关键特性(insert buffer)

    一.insert buffer 性能改善 insert buffer和数据页一样,也是物理页的一个组成部分. 在innodb存储引擎中,主键是行唯一的标识符.通常应用程序中行记录的插入顺序是按照主键递 ...

  7. Android 代码判断是否有网络

    public void okGo() { ConnectivityManager connectivityManager = (ConnectivityManager) getSystemServic ...

  8. Mysql数据库左外连接,右外连接,模糊查询

    内连接,左外连接,右外连接都是数据库的常用连接与使用手段 内连接 select * from assets_car c inner join category c on a.id = c.id; 左外 ...

  9. 学习日记--用Vector(向量)实现动态数组

    Vector的使用方法: 能在添加元素时增加长度的数组称为动态数组或可变长数组.相对地,必须事先指定长度,只能容纳一定数量元素的数组称为静态数组.下面分享一下如何借助STL(标准模板库)中的Vecto ...

  10. zabbix学习笔记----概念----2019.03.25

    1.zabbix支持的通讯方式 1)agent:专用的代理程序,首推: 2)SNMP:  3)SSH/Telnet:  4)IPMI,通过标准的IPMI硬件接口,监控被监控对象的硬件特性. 2)zab ...