蚁景网安 Web安全工程师特训班26期(2026)

# 🏷
> #零基础入门 #猫咪推荐基础课 #Web安全工程师 #Web安全特训班 #漏洞挖掘 #SRC漏洞挖掘 #BurpSuite #KaliLinux #Docker漏洞靶场 #企业资产收集 #业务逻辑漏洞 #SQL注入 #XSS漏洞 #SSRF漏洞 #XXE漏洞 #Nday漏洞复现 #AI漏洞挖掘

---

#### ⬇️获取课程⬇️

# 🔍 课程介绍>>> 
是一套从环境搭建、网络协议和信息收集起步，逐步进入 Web 漏洞原理、工具利用、漏洞复现与 SRC 挖掘的系统训练课程。课程以 Kali Linux、Docker、Burp Suite、SQLMAP、Nuclei 等工具贯穿实践，并设置三次阶段考核和结业考核，最终延伸到漏洞挖掘配置、AI 辅助挖掘及面试就业指导。

## 知识与能力图谱

|学习阶段|核心模块|能力目标|训练方式与产出|
|---|---|---|---|
|基础准备|虚拟机、JDK、Python、PHP、Kali Linux|完成 Web 安全学习环境搭建|本地环境安装、Linux 基础操作、网络与远程登录配置|
|靶场与基础设施|云服务器、Docker、漏洞靶场|能够部署和管理练习环境|Docker 镜像与容器操作、漏洞靶场搭建|
|网络协议基础|IP、HTTP、DNS、请求响应结构|看懂 Web 请求、响应和基础网络通信|分析请求方法、状态码、请求头等数据|
|核心代理工具|Burp Suite|掌握抓包、重放、爆破、爬取和数据处理|代理配置、Repeater、Intruder、Decoder、Comparer 实操|
|SRC与资产收集|SRC、CNVD、域名、子域名、APP、小程序|建立漏洞挖掘目标发现能力|企业资产、网站目录、真实 IP、端口、C 段收集|
|自动化信息收集|网络空间测绘、搜索引擎、ARL、集成工具|批量发现资产和暴露面|空间测绘检索、自动化扫描和结果整理|
|业务逻辑漏洞|重放、并发、验证码、任意用户、支付逻辑|识别流程和业务规则缺陷|刷票、验证码绕过、金额修改、优惠券与运费案例|
|权限安全|Cookie 鉴权、请求头鉴权、水平与垂直越权|判断身份认证和权限控制缺陷|越权实操、未授权访问、案例分析|
|云安全专项|密钥泄露、源码泄露、存储桶漏洞|识别云资产和移动端中的敏感信息风险|APP、小程序分析，云密钥和存储桶利用训练|
|SQL注入|联合查询、盲注、报错、堆叠、DNSLog、宽字节|掌握多类 SQL 注入判断与利用流程|手工注入、数据获取、SQLMAP 自动化测试|
|服务端高危漏洞|WebShell、命令执行、代码执行、文件上传、文件包含|理解从漏洞触发到服务器控制的利用链|upload-labs、PHP 伪协议、WebShell 管理工具实操|
|前端与跨站漏洞|XSS、CSRF|掌握跨站脚本和跨站请求伪造的不同场景|反射型、存储型、DOM 型 XSS，GET/POST 型 CSRF|
|服务端请求漏洞|SSRF、Gopher、内网攻击|利用服务器发起请求并扩展攻击路径|SSRF 插件、定时任务、SSH 公钥、内网协议利用|
|XML安全|XML、DTD、XXE|掌握有回显、无回显及文件上传型 XXE|外部实体构造、SVG 上传、不同回显场景训练|
|中间件与框架|Tomcat、WebLogic、JBoss、Shiro、Spring Boot、ThinkPHP|识别常见组件和框架漏洞|工具验证、漏洞利用和资产搜索|
|系统专项|PHP 集成环境、OA、堡垒机|掌握特定系统漏洞复现方法|phpStudy、通达 OA、泛微 OA、Teleport 案例|
|历史漏洞复现|Nday、POC、漏洞扫描器|根据公开漏洞信息完成复现和批量检测|POC 文档、Goby、Nuclei、Xray 等工具使用|
|移动端与扩展工具|APP、小程序抓包、Burp 插件|扩展非浏览器场景和自动化测试能力|Proxifier、APIKit、HaE、RouteVulScan 等配置|
|综合挖掘|漏洞挖掘配置、AI 辅助挖掘|形成较完整的漏洞挖掘工作流|Burp MCP 类工具配置、综合目标测试|
|考核与就业|三阶段考核、结业五题、复盘、面试指导|检验阶段能力并整理职业输出|阶段讲解、结业复盘、简历模板与发展路线|

## 深度亮点剖析

- **基础到实战链路完整**：先补齐环境、Linux、Docker、HTTP 和 Burp，再进入资产收集、漏洞利用和综合挖掘，学习顺序较清晰。
    
- **业务漏洞占比突出**：除常规注入和上传漏洞外，还覆盖支付、验证码、任意用户、重放、并发和越权，更接近真实业务测试场景。
    
- **工具训练密度较高**：课程配套 Burp Suite、SQLMAP、Nuclei、Goby、Xray、XSStrike、Gopherus 等多类工具，不局限于单一测试方式。
    
- **包含多轮能力校验**：设置第一、第二、第三阶段考核，并以五道结业题和复盘收尾，形成持续检验而非只听课的结构。
    
- **后段强调真实挖掘流程**：加入 SRC、资产测绘、Nday 复现、APP 与小程序抓包、Burp 插件和 AI 漏洞挖掘配置，偏向综合实战。

## 行业/专业背景溯源

|资料中的专业名词|课程内对应含义|
|---|---|
|SRC|课程中的漏洞挖掘目标平台，覆盖教育 SRC、企业 SRC 和公益 SRC|
|CNVD|与 SRC 平台并列介绍的漏洞提交或收录渠道|
|Nday|已有历史漏洞的复现、验证与扫描训练|
|POC|用于历史漏洞复现和验证的文档或测试材料|
|WebShell|课程中通过一句话木马及管理工具进行操作的服务端控制方式|
|网络空间测绘|用于搜索互联网资产、服务和暴露面的信息收集手段|
|Burp Suite 插件|在基础代理能力上扩展 API、验证码、敏感信息和路由扫描等测试功能|
|AI漏洞挖掘|课程结尾加入的辅助漏洞挖掘与 Burp 相关配置方向|

## 课程定位判别

**课程定位：Web 安全入门到进阶的专项实战训练班。**

前半段从环境安装、Linux、网络协议和 Burp Suite 起步，允许基础较弱的学习者进入；中后段连续覆盖业务逻辑、注入、文件类、跨站、SSRF、XXE、中间件和框架漏洞，术语与工具密度明显提升。三次阶段考核、结业五题和大量工具包说明课程并非单纯知识科普，而是以漏洞复现、工具操作和综合挖掘为主要目标。

## 适合什么人看

- 想系统学习 Web 安全，但需要从环境和网络基础开始的人。
    
- 已掌握部分计算机基础，想建立完整漏洞知识体系的人。
    
- 计划练习 SRC、企业资产收集和漏洞提交流程的人。
    
- 希望集中训练 Burp Suite、SQLMAP、Nuclei 等安全工具的人。
    
- 需要补充漏洞复现、阶段考核和面试就业材料的人。

# ☁️📚🛠️ 网盘目录（仅展示部分目录）>>>