渗透攻防怎么搞，我想简单说上两句。

一、Java代码审计基础

此部分学习Java代码审计基础所涉及的知识点，不仅学习了Java代码基础，还为后续拓展学习Java代码审计打下了基础。

• 1.1 Java基础环境搭建
  • 1.1.1 Java基础环境搭建之Ubuntu
  • 1.1.2 Java基础环境搭建之Windows
• 1.2 JavaWeb基础
  • 1.2.1 Servlet以及过滤器、监听器和拦截器
  • 1.2.2 JSP基础
  • 1.2.3 Spring和SpringMVC
  • 1.2.4 SpringBoot，SpringCloud
• Java文件操作之文件上传
• Java文件操作之文件下载
• Java命令执行
• Java数据库操作
• Java反射
• Java序列化与反序列化
• JNI
• RMI
• JNDI
• ......

二、PHP之WEB安全基础

该部分从PHP方向讲解常见的WEB安全漏洞，并给出示例。这个部分的学习，让大家从PHP代码层面深入理解常见的WEB安全漏洞。

比如：

• SQL注入
• 任意文件上传
• 任意文件下载
• RCE
• SSRF
• 反序列化
• CSRF
• XSS
• 变量覆盖
• 文件包含
• XXE

三、Java之WEB安全基础篇

该部分从Java方向讲解常见的WEB安全漏洞，并给出示例。这个部分的学习，让大家从Java代码层面深入理解常见的WEB安全漏洞。

• SQL注入漏洞
• 文件上传漏洞
• 文件下载漏洞
• 命令执行漏洞
• 代码执行漏洞
• 反序列化漏洞
• SSRF
• XXE
• SSTI
• SPEL
• 内存马
• XSS
• CSRF
• 未完待续...

四、Java代码审计基础视频课程

此部分通过视频学Java代码审计基础，分析漏洞代码，探索其中原理。

• JSP一句话
• JSP无关键字回显一句话
• Filter内存马
• 文件读取和创建漏洞
• 序列化与反序列化漏洞基础
• SQL注入与预编译分析
• SQL注入cms审计mybatis框架（上）
• SQL注入cms审计mybatis框架（下）
• XSS cms审计流量分析
• 反编译class
• 靶场及fastjson手动复现讲解
• fastjson自动化复现
• SSRF漏洞代码原理分析
• 某cms SSRF分析利用（上）
• 某SSRF分析利用（下）
• 某SSRF分析结尾篇
• 结尾篇，回顾及未来学习路线规划

五、Python基础篇

讲授Python语言，先从基础语法开始学起。再到POC的编写。最后到各种Python工具的熟练使用。

• Python简介和环境搭建
• 数值类型
• 字符串、列表、元组、字典和集合
• 流程控制
• 函数
• Python第三方库学习
• Python之PoC编写

六、渗透测试篇

在了解过常见漏洞后，我们在这个部分着重讲解如何检测这些WEB漏洞。并且也会分享PC端，APP，小程序等测试手法。

此阶段学习完毕后，足以应付渗透测试日常工作。

常见漏洞测试手法：

SQL，XSS，CSRF，CORS，SSRF，XXE，SSTI，文件上传漏洞，命令执行漏洞，Host头攻击，敏感目录探测，逻辑漏洞，任意用户注册，人脸识别绕过，暴力破解，任意文件下载，越权漏洞，未授权访问漏洞，一元支付漏洞，信息收集等等等。

常见环境测试方法：

APP，微信小程序，钉钉小程序，客户端(C/S架构)，接口测试等等常见的渗透测试环境。

七、实战渗透测试开源管理系统

此部分通过本地手动搭建各种开源JAVA/PHP系统，进行实战化渗透测试练习。不仅在搭建的过程更熟悉现在主流的WEB架构，还能无所顾忌的深入练习。一共分享十二套系统。每套系统对应的教程都会是实打实的干货。

• 某基于SpringBoot开发的RBAC管理系统
• 某基于SpringBoot开发的仿天猫商城系统
• 若依管理系统
• OFCMS
• Jpress
• 新蜂商城
• 华夏ERP
• 共十二套，剩余选型中

八、漏洞复现篇

复现近两年最新的，经典有学习意义的漏洞。漏洞复现对于技术的提升是非常重要的。认真学习分析历史漏洞，才能不断突破自身的边界。

每周一个学习无压力，一年可复现学习五十个经典漏洞。

并配套线上靶场。

• xstream 反序列化（CVE-2021-39144）
• O2OA远程代码执行 (RCE) 漏洞
• Django SQL注入 (CVE-2021-35042)
• Spring Data MongoDB SpEL 表达式注入漏洞
• XXL-JOB远程命令执行
• MinIO SSRF漏洞（CVE-2021-21287）
• Log4j2远程代码执行（CVE-2021-44228）
• 更多经典漏洞选型中，并等待新的漏洞出现，第一时间漏洞复现。

九、渗透测试工具使用篇

实时分享学习主流渗透测试工具，简述工具原理，讲授使用方法，进一步助力渗透技能的成长。