为什么要学代码审计（个人感悟）
从刚开始接触Web安全到现在已经有多半年的时间了，最初的时候对于Web漏洞一无所知，很好奇那些黑客是如何使用漏洞给网站挂上黑页的。
- 受好奇心影响开始去搜索有关SQL，XSS等漏洞的知识，了解了这些漏洞的形成原理。那时候也只是停留在了解这些漏洞的原理上面，不敢去尝试，心里总是想着会不会把别人网站搞坏，会不会被抓。
- 后来接触到靶场这一类的东西，觉得学到的东西终于可以去实践了，玩了一些靶场后发现通过靶场也只时能对学到的理论知识进行巩固加深理解，而对于实战还是差很多。
- 于是开始尝试这使用一个漏洞去找现实中的网站验证，比如通过Google搜索**inurl:?id=**关键字来验证是不是存在注入。找到漏洞后也会很兴奋的学着大牛的样子提交到Freebuf或者补天上面。但是这时候我想如果别人给我一个特定的网站我能做些什么，这可就不像拿到漏洞然后批量找网站那么容易了。
- 为此自己也读了一些渗透的书，了解了渗透所需的流程及一些套路，也知道这些套路学会后也需要自己不断的收集经验才能有更广的思路和更猥琐的手法。这就是一个不断积累经验的过程了。 可是在这个过程中我发现我一直在学习别人找到漏洞及找漏洞的思路，我什么时候也能找到属于自己的漏洞呢。
- 我要挖属于我自己的漏洞，我要学代码审计！（尽管漏洞挖掘技术还有黑盒测试、Fuzzing、逆向分析等。）。
学好代码审计学要掌握什么？
- PHP语言特性和基础
- 代码审计思路
- Web前端编程基础
- 漏洞形成原理
- 不同系统及中间件的差别