兄弟们如何成为挖洞大佬

请先 登录 后评论

6 个回答

Rain奕天

零基础我绝对先从学习脚本语言开始,html asp,php这类,如果觉得进度过慢可以先从基础工具使用开始,比如Burpsuite,sqlmap,awvs 研究SQL注入,XSS,了解OWASP top10的漏洞,信息收集:子域名 擅用FOFA,子域名挖掘机,Google等工具的使用 可以研究一下逻辑漏洞,接着就是打一些靶场,比如DVWA,墨者靶场 等,漏洞原理等学的差不多了, 复现CVE等,然后可以考虑学习脚本语言或者挖掘SRC ,开始推荐漏洞盒子或者edusrc,直接专属的话可能有些难度,另外记住绝大多数的大厂SRC信息收集最重要,一定要有耐心和仔细。最后就是学习Python 写EXP脚本等,最后就是代码审计 毕竟通用才是神。以上是我的个人观点 大佬勿喷 毕竟每个人学习方法不一样

请先 登录 后评论
干吃汤圆

我也在思考,应该从简单开始入手,然后多学知识写自己的工具

请先 登录 后评论
空城 - 安全小菜鸡

一步步来~~别的师傅也问过差不多的问题。

这是我的一点想法

1、熟悉渗透测试流程,从信息收集开始做起。可以使用工具,但是不要完全依赖工具,以信息收集为例,可以使用挖掘机、subdomain等成熟工具,但是也要熟悉google语法,手动的取收集。同时也可以自己编写一些py脚本,增强自己的了解

2、搭建靶场测试环境,在靶场中了解owsap top 10的漏洞和原理

3、实战、一定要实战。刚开始无从下手的话,可以先信息收集完,放到扫描器里跑一下,看看有没有自己熟悉的漏洞,哈哈。实战是检验水平的唯一标准

4、SRC、众测搞起来,提升能力不说,还能交往一波铁子们,做的好的化还有一定的收入、礼品哦

请先 登录 后评论
J0J0Xsec

1.先从基础学起,TOP10

2.熟悉搜索语法,fofa,shodan,google等

3.前两条整完之后,开始实战

4.代码审计才是挖洞yyds

5.SRC

请先 登录 后评论
Johnson666

先从基础学起,owasp TOP10肯定是要会的,尽量都自己复现一遍;

学会信息收集,收集的越多,成功率越大;

实战可以先黑盒,后面渐渐学会代码审计,0day基本都是审计出来的

请先 登录 后评论
Colorado

计算机网络基础的知识 tcp/ip ,前端html+css+js,然后就是开始初步的踏入,从信息收集开始,学习 OWASP top10十大漏洞原理,熟悉并掌握,熟悉burpsuite、sqlmap等安全工具的使用,学会python可以简单的写脚本与工具,学会PHP可以使你的代码审计能力更好,内网也可以适当的接触。总结就是信息收集很重要,信息收集面越大,攻击面就越大,当然,你也要懂怎么利用

请先 登录 后评论