发布时间：2023-8-29 分类： 行业资讯
国内学习漏洞挖掘的习惯是打基础，学习各种编程书籍，然后学习漏洞挖掘。问题是不可能控制学习编程的程度。其次，留学生通常要学习这个过程，初学者最好不要从事漏洞挖掘，因为漏洞挖掘需要大量的基础系统知识和一些理论知识做铺垫，而且难度较大，所以更合理的方式应该从漏洞利用入手，不妨分析一些开放的CVE漏洞。很多漏洞都有比较好的数据，而且随着分析研究的多，对漏洞的理解自然会有所不同，然后通过挖掘就更容易上手了！俗话说“磨刀不误砍柴工”就是这样的道理。对于有一些基础知识的初学者，应该如何挖掘漏洞？
因为我们没有深入研究编程技术，所以主要研究漏洞挖掘。我想从掌握语言基本语法的概念开始，用函数写一些演示。看看前面底层的漏洞分析文章，你会发现过程中的劳动点，这样目的就跟随着相关的编程点了。不是零食编程书。
比如学习php漏洞挖掘：首先掌握php的基本语法，经常使用php函数编写一些常用的php函数进行演示。然后开始看前面的php应用程序漏洞分析文章，从基本的漏洞开始，比如简单的get、post，以及由于强制转换而没有intval或sql注入，比如没有html特殊char导致的简单xss。看看这些基本的东西，我们已经受够了。
然后我们研究了一些比较高级的漏洞的使用，比如覆盖各种变量的漏洞，比如代码执行导致的非序列化。我们可能首先会发现这些漏洞很难处理。您需要回顾函数的确切用法，例如导出、为变量生成$re请求的过程以及非序列化函数的执行。然后看看之前的技术文章，它们就会打开。这只是一个基本的php漏洞挖掘，接下来试着在框架中检查一些漏洞分析，比如thinkphp涉及到的oop知识，然后回去学习phpoop编程，然后继续。在这样的循环中，在学习使用漏洞学习编程的同时，效率和效果都比第一次简单的学习编程要好得多。这也是国内外技术人员的一大区别。国内研究者喜欢研究理论基础，国外则注重先应用，在应用过程中遇到困难才学习理论基础。更多想利用漏洞，测试网站代码安全性的朋友可以去网站安全公司找服务。在国内做得好的，比如Sinesafe、绿盟，鹰盾安全、启明星辰，精通网站安全、App安全。
