學習Web安全需要掌握Web安全的相關概念，穿透測試工具，穿透實際操作，熟悉Windows/Kali Linux，中間件和服務器的安全配置，腳本編程學習，源代碼審計和漏洞分析，安全系統設計與開發，等等。
簡單地制定壹個學習計劃:
步驟1:網絡安全相關概念
建議學習時間:2周。
學習內容如下:
1，熟悉基本概念(SQL註入、上傳、XSS、CSRF、特洛伊馬等。).
2.谷歌通過關鍵詞(SQL註入，上傳，XSS，CSRF，特洛伊馬等。).
3.閱讀《Web安全深度分析》作為入門學習還是可以的。
4.看壹些滲透筆記/視頻，了解滲透的全過程。可以Google(滲透筆記，滲透過程，入侵過程等。).
第二步:熟悉滲透相關工具。
建議學習時間:3周。
學習內容如下:
1，熟悉AWVS，Sqlmap，Burpsuite，Nessus，China chopper，Nmap，Appscan等相關工具的使用。
2.了解此類工具的用途和使用場景。
3.下載安裝這些軟件沒有後門。
4、學習和使用，具體的教材可以在網上搜索，比如:Burpsuite教程，Sqlmap。
5.常用的軟件都學會了之後，就可以安裝sonic startup做壹個滲透工具箱了。
第三步:滲透實戰操作。
建議學習時間:5周。
學習內容如下:
1，掌握滲透全階段，能夠獨立滲透小站點。
2.在網上找滲透視頻思考壹下思路和原理，關鍵詞(滲透，SQL註入視頻，文件上傳入侵，數據庫備份，Dedecms漏洞利用等).
3.自己找場地/搭建測試環境進行測試，記得隱藏自己。
4.思考滲透主要分為幾個階段，每個階段需要做哪些工作，比如這個:PTES滲透測試執行標準。
5.學習SQL註入的種類、原理和手工註射技巧。
6.研究文件上傳的原理，如何截斷，漏洞分析等。參考上傳攻擊框架。
7.學習XSS形成的原理和類型，具體學習方法可以谷歌。
8.要研究Windows/Linux電源升降的方法和具體使用，可以參考:電源升降。
9、可以參考:開源滲透測試脆弱系統。
第四步:關註安全圈動態。
建議學習時間:1周。
學習內容如下:
1.關註安全圈最新漏洞、安全事件、技術文章。
2.瀏覽每日安全技術文章/事件。
3.通過微博、微信關註安保圈的員工(遇到大牛關註或者朋友果斷關註)，每天抽時間刷壹刷。
4.通過feedly/鮮果訂閱國內外安全技術博客(不要把自己局限在國內，更要註重積累)。
5.養成每天主動提交安全技術文章並鏈接到春秋社區進行積累的習慣。
6，多關註壹下最新的漏洞列表，可以看看春秋雲景。com，遇到公開的漏洞就練習壹下。
7.關註國內外安全會議的議題或視頻。
8.加入技術交流群，向群裏的大佬請教壹些經驗和技巧。
第五步:熟悉Windows/Kali Linux。
建議學習時間:3周。
學習內容如下:
1.學習Windows/Kali Linux的基本命令和常用工具。
2.熟悉Windows下常用的cmd命令，如ipconfig、nslookup、tracert、NET、Tasklist等。
3.熟悉Linux下的常用命令，如ifconfig、LS、CP、MV、VI、WGET、Service、Sudo等。
4.熟悉Kali Linux系統下的常用工具，可以參考Kali Linux的Web滲透測試，Kali的黑客等。
5.要熟悉metasploit工具，請參考Metasploit滲透測試指南。
第六步:中間件和服務器的安全配置。
建議學習時間:3周。
學習內容如下:
1，學習服務器環境配置，通過思考發現配置中的安全問題。
2.Windows server2012環境下的IIS配置，特別註意配置安全性和操作權限。
3.Linux環境下LAMP的安全配置主要考慮運行權限、跨目錄、文件夾權限等。
4.遠程安全加固，限制用戶名密碼登錄，通過iptables限制端口；配置軟件Waf加強系統安全性，在服務器上配置mod_security等系統。
5.通過Nessus軟件檢查配置環境的安全性，發現未知的安全威脅。
步驟7:腳本編程學習
建議學習時間:4周。
學習內容如下:
1.選擇其中壹種腳本語言:Perl/Python/PHP/Go/Java，從常用庫中學習編程。
2.構建開發環境，選擇IDE。PHP環境推薦Wamp和XAMPP，IDE強烈推薦Sublime。
3、Python編程學習，學習內容包括:語法、正則化、文件、網絡、多線程等常用庫，推薦Python核心編程。
4.用Python寫漏洞的exp，然後寫壹個簡單的網絡爬蟲。
5.學習PHP的基本語法，寫壹個簡單的博客系統。見《PHP與MySQL編程(第四版)》及視頻。
6.熟悉MVC架構，嘗試學習壹個PHP框架或者Python框架(可選)。
7.了解Bootstrap或CSS的布局。
步驟8:源代碼審計和漏洞分析
建議學習時間:3周。
學習內容如下:
1，能獨立分析腳本源程序，發現安全問題。
2、熟悉源代碼審計的動態和靜態方法，知道如何分析程序。
3.了解Web漏洞產生的原因，然後通過關鍵詞進行查找和分析。
4.研究Web漏洞的形成原理以及如何從源代碼層面規避此類漏洞，整理成壹個檢查表。
學習地址:我春秋官網(啟安堂)
第九步:安全系統的設計和開發
建議學習時間:5周。
學習內容如下:
1，能建立自己的安全體系，並能提出壹些安全建議或系統架構。
2，開發壹些實用的安全小工具並開源，體現個人實力。
3.建立自己的安全體系，對公司安全有自己的理解和看法。
4.提議或參與大型安全系統的架構或開發。