1.首先我们需要熟悉Web***测试相关的概念
SQL注入、上传、XSS、CSRF、一句话***用法、菜刀
2.熟悉相关工具
burp、awvs、sqlmap、nessus、chopper、nmap、appscan
可以使用（音速启动）来对相关软件进行分类
3.***实战操作
（1）在本地搭建一个环境，禁止对互联网站进行***，属于非法行为
（2）一定要熟悉（***、SQL注入视频、文件上传***、数据库备份、dedecms漏洞利用）
（3）研究SQL注入的种类、注入原理、手动注入技巧
（4）研究文件上传的原理，如何进行截断，双重后缀欺骗（iis、php）,解析漏洞利用（iis、nignix、apache）
（5）研究XSS漏洞形成的原理和种类
（6）研究windows\linux提权方法以及具体使用
4.关注安全圈最新动态
（1）通过secwiki浏览每日的安全事件以及技术文章
（2）关注微博、twitter关注圈内大牛动态
（3）通过feedly\鲜果订阅国内外安全技术博客
（4）每天养成学习笔记到安全博客上进行积淀
（5）关注最新漏洞列表，如：exploit-db、CVE中文库、Woovun，遇到公开的漏洞都要实践
5.熟悉windows\kali linux系统
（1）熟悉Windows下常用的cmd命令，例如：ipconfig、nslookup、tracert、net、tasklist、taskkill
（2）熟悉linux下的常用命令，例如：ipconfig、is、cp、mv、vi、wget、service、sudo
（3）熟悉Kali linux系统下的常用工具、
（4）熟悉metasploit工具
6.服务器安全配置
（1）windows2003\2008环境下的iis配置
（2）linux环境下lamp的安全配置
（3）远程系统加固，限制用户名和口令登陆，通过iptables限制端口
（4）安装waf，加强系统安全，在服务器配置mod security等系统
（5）通过nessus软件对配置环境进行安全检测，发现未知安全威胁
7.脚本编程学习
perl、python、php、go、java 可以主要学习一下python和php
python学习内容包含：语法、正则、文件、网络、多线教程等常用库
php基本语法学习并写一下简单的博客系统
8.源码审计与漏洞分析
可以独立分析脚本源码程序并发现安全问题
（1）熟悉源码审计的动态和静态方法，并知道如何去分析程序
（2）从wooyun上寻找开源程序的漏洞进行分析
（3）了解Web漏洞的形成原因，通过关键定进行查找分析
（4）研究Web漏洞形成原理和如何从源码层面避免该漏洞，并整理成checklist
9.安全体系设计与开发
能建议自己的安全体系，并提出一些安全建议或者系统架构