其實(shí)只要走上計(jì)算機(jī)這個(gè)行業(yè)每個(gè)人都會(huì)出現(xiàn)技術(shù)的瓶頸期降薪甚至優(yōu)化多多少少都很難避免所以有份副業(yè)真的是很有必要的挖漏洞就是網(wǎng)安人永恒的副業(yè)收入方式有時(shí)候甚至是主業(yè)收入的幾倍。先給大家講講我最常做的副業(yè)方向。01 網(wǎng)安接私活的渠道曬了這么多兼職副業(yè)想必大家都比較關(guān)心我的副業(yè)收入來(lái)源其實(shí)網(wǎng)安接私活的渠道我常去的就這4個(gè)。挖SRC漏洞很多地方都可以去挖SRC漏洞賺錢(qián)合法挖到漏洞后提交到平臺(tái)平臺(tái)就會(huì)給予你獎(jiǎng)勵(lì)最多一個(gè)高危漏洞一萬(wàn)多。綜合性平臺(tái)比如補(bǔ)天、漏洞盒子和CNVD等等獨(dú)家SRC也有很多比如說(shuō)華為、阿里、騰訊、360等等。國(guó)外的漏洞也可以去挖國(guó)外給的獎(jiǎng)勵(lì)會(huì)更高但除了技術(shù)要過(guò)硬之外你還得會(huì)英語(yǔ)能溝通交流。接安全測(cè)試委托在公司允許的情況下去對(duì)公司產(chǎn)品進(jìn)行網(wǎng)安檢測(cè)和滲透測(cè)試發(fā)現(xiàn)漏洞后提交給修復(fù)方案和滲透測(cè)試報(bào)告這個(gè)我經(jīng)常去程序員客棧和一品威客等IT兼職平臺(tái)去接。相比較于個(gè)人私下接活平臺(tái)會(huì)更加方便一些不用跟乙方扯來(lái)扯去而且不用害怕甲方卷錢(qián)跑路。投稿像比較大的網(wǎng)安平臺(tái)會(huì)不定期舉辦有獎(jiǎng)投稿活動(dòng)比如說(shuō)freebuff和CSDN等等平臺(tái)CSDN我沒(méi)弄過(guò)但freebuff我倒是經(jīng)常有投稿獎(jiǎng)金有幾百到幾千不等。提醒大家一個(gè)點(diǎn)網(wǎng)安的私活不是一次性的很多以前合作過(guò)的甲方都會(huì)在后面有事的時(shí)候有償來(lái)找我所以人脈這一塊也很重要。參加CTF通俗易懂的講CTF也叫作網(wǎng)絡(luò)安全攻防大賽。這類大賽一般都是由政府安全部門(mén)、從事信息安全的企業(yè)、高校等等單位主辦的。目的也很簡(jiǎn)單一般都是為了加強(qiáng)國(guó)家網(wǎng)絡(luò)信息安全建設(shè)挖掘網(wǎng)絡(luò)信息安全人才。當(dāng)然你奪旗之后也會(huì)有對(duì)應(yīng)的獎(jiǎng)金。接下來(lái)給大家講講挖漏洞的一些細(xì)節(jié)02 挖漏洞需要掌握的基礎(chǔ)知識(shí)首先說(shuō)說(shuō)基礎(chǔ)理論知識(shí):1.計(jì)算機(jī)組成原理、計(jì)算機(jī)網(wǎng)絡(luò)、計(jì)算機(jī)體系結(jié)構(gòu)、計(jì)算機(jī)操作系統(tǒng)密碼學(xué),多媒體技術(shù)等等。這些都需要掌握總之一句話就是大學(xué)計(jì)算機(jī)的基礎(chǔ)課程。2.編程: HTML、CSS、JavaScript、 PHP、 Java、 Python、 sql、 C、C、 shell匯編、nosql. powershell等等常見(jiàn)的語(yǔ)言基礎(chǔ)都需要掌握至少要熟練使用Python和sq|,這些語(yǔ)言都要學(xué)習(xí)兩周到兩三個(gè)月吧!3.漏洞方面漏洞分很多種根據(jù)不同的標(biāo)準(zhǔn)也會(huì)有交叉黑客要掌握大部分漏洞的形成原理檢測(cè)方法利用方法修復(fù)方法常見(jiàn)的網(wǎng)站漏洞有sq|注入XSS, 文件包含目錄遍歷文件上傳信息泄露CSRF, 賬號(hào)爆破各種越權(quán)等等常見(jiàn)的二進(jìn)制漏洞有緩沖區(qū)溢出堆溢出整形溢出格式化字符串等等分析的時(shí)候還要繞過(guò)操作系統(tǒng)的保護(hù)機(jī)制。4.需要掌握的工具工具太多, 基本上目前主流的客工具都要熟練使用應(yīng)該有幾十種吧。上文已經(jīng)詳細(xì)闡述這里就不贅述了。5.還有網(wǎng)站和通訊協(xié)議客戶端和服務(wù)器用戶輸入網(wǎng)址點(diǎn)擊訪問(wèn)到服務(wù)器返回網(wǎng)頁(yè)這其中涉及的知識(shí)如JavaScript, http請(qǐng)求 web服務(wù)器數(shù)據(jù)庫(kù)服務(wù)器系統(tǒng)架構(gòu)負(fù)載均衡,DNS,等等是要熟練掌握的然后說(shuō)說(shuō)主流的網(wǎng)站開(kāi)發(fā)框架其中Java的SSH三大框架要了解有什么漏洞啥的PHP的主流框架和CMS要了解最好上面的框架都會(huì)掌握如織夢(mèng)thinkPHP等等,另外主流的數(shù)據(jù)庫(kù)服務(wù)器要了解如MySQLsql server等。當(dāng)然挖漏洞需要學(xué)習(xí)的東西還有很多很多東西都很關(guān)鍵。能走多遠(yuǎn)就看你的執(zhí)行力和興趣了。03 挖漏洞的注意事項(xiàng)挖SRC一定要細(xì)慢慢的去分析不能著急往往越著急越挖不倒這里可以給大家一些建議在挖掘SRC期間不要著急出洞先去慢慢摸索廠商的各種信息了解每個(gè)功能點(diǎn)做好信息搜集去分析每一個(gè)數(shù)據(jù)包知道每個(gè)數(shù)據(jù)包對(duì)應(yīng)的功能點(diǎn)在哪兒去知道數(shù)據(jù)包對(duì)應(yīng)鑒權(quán)的地方在哪一塊多去關(guān)注廠商的活動(dòng)一般新上線的項(xiàng)目或者活動(dòng)漏洞比較好挖一些關(guān)注廠商信息比如一些活動(dòng)期間獎(jiǎng)勵(lì)翻倍等信息千萬(wàn)要記住去看人家廠商的漏洞收錄范圍不看范圍挖漏洞白干SRC漏洞挖掘需要遵守法律規(guī)定避免侵犯網(wǎng)站安全和用戶隱私同時(shí)需要遵循公司或組織的安全政策。在進(jìn)行SRC漏洞挖掘時(shí)需要注意保護(hù)漏洞信息和利用手法的安全性不應(yīng)該泄露給未經(jīng)授權(quán)的人員。SRC邏輯漏洞一般產(chǎn)出比較高的漏洞就在于邏輯漏洞別的漏洞也有但是相比起來(lái)邏輯漏洞的價(jià)值更高網(wǎng)絡(luò)安全是一個(gè)非常重要的領(lǐng)域隨著網(wǎng)絡(luò)的不斷普及和應(yīng)用安全問(wèn)題也越來(lái)越重要。了解網(wǎng)絡(luò)安全知識(shí)和技術(shù)掌握相應(yīng)的安全工具和技能是保障自身安全和網(wǎng)絡(luò)安全的重要一步。希望本文能夠?qū)Τ鯇W(xué)者學(xué)習(xí)網(wǎng)絡(luò)安全提供一些幫助和指導(dǎo)同時(shí)也提醒大家在網(wǎng)絡(luò)世界中保持警惕注意網(wǎng)絡(luò)安全。學(xué)習(xí)資源如果你也是零基礎(chǔ)想轉(zhuǎn)行網(wǎng)絡(luò)安全卻苦于沒(méi)系統(tǒng)學(xué)習(xí)路徑、不懂核心攻防技能光靠盲目摸索不僅浪費(fèi)時(shí)間還消磨自己信心。這份 360 智榜樣學(xué)習(xí)中心獨(dú)家出版《網(wǎng)絡(luò)攻防知識(shí)庫(kù)》專為轉(zhuǎn)行黨量身打造01內(nèi)容涵蓋這份資料專門(mén)為零基礎(chǔ)轉(zhuǎn)行設(shè)計(jì)19 大核心模塊從 Linux系統(tǒng)、Python 基礎(chǔ)、HTTP協(xié)議等地基知識(shí)到 Web 滲透、代碼審計(jì)、CTF 實(shí)戰(zhàn)層層遞進(jìn)攻防結(jié)合的講解方式讓新手輕松上手真實(shí)實(shí)戰(zhàn)案例 落地腳本直接對(duì)標(biāo)企業(yè)崗位需求幫你快速搭建轉(zhuǎn)行核心技能體系這份完整版的網(wǎng)絡(luò)安全學(xué)習(xí)資料已經(jīng)上傳CSDN【保證100%免費(fèi)】02 知識(shí)庫(kù)價(jià)值深度 本知識(shí)庫(kù)超越常規(guī)工具手冊(cè)深入剖析攻擊技術(shù)的底層原理與高級(jí)防御策略并對(duì)業(yè)內(nèi)挑戰(zhàn)巨大的APT攻擊鏈分析、隱蔽信道建立等提供了獨(dú)到的技術(shù)視角和實(shí)戰(zhàn)驗(yàn)證過(guò)的對(duì)抗方案。廣度 面向企業(yè)安全建設(shè)的核心場(chǎng)景滲透測(cè)試、紅藍(lán)對(duì)抗、威脅狩獵、應(yīng)急響應(yīng)、安全運(yùn)營(yíng)本知識(shí)庫(kù)覆蓋了從攻擊發(fā)起、路徑突破、權(quán)限維持、橫向移動(dòng)到防御檢測(cè)、響應(yīng)處置、溯源反制的全生命周期關(guān)鍵節(jié)點(diǎn)是應(yīng)對(duì)復(fù)雜攻防挑戰(zhàn)的實(shí)用指南。實(shí)戰(zhàn)性 知識(shí)庫(kù)內(nèi)容源于真實(shí)攻防對(duì)抗和大型演練實(shí)踐通過(guò)詳盡的攻擊復(fù)現(xiàn)案例、防御配置實(shí)例、自動(dòng)化腳本代碼來(lái)傳遞核心思路與落地方法。03 誰(shuí)需要掌握本知識(shí)庫(kù)負(fù)責(zé)企業(yè)整體安全策略與建設(shè)的CISO/安全總監(jiān)從事滲透測(cè)試、紅隊(duì)行動(dòng)的安全研究員/滲透測(cè)試工程師負(fù)責(zé)安全監(jiān)控、威脅分析、應(yīng)急響應(yīng)的藍(lán)隊(duì)工程師/SOC分析師設(shè)計(jì)開(kāi)發(fā)安全產(chǎn)品、自動(dòng)化工具的安全開(kāi)發(fā)工程師對(duì)網(wǎng)絡(luò)攻防技術(shù)有濃厚興趣的高校信息安全專業(yè)師生04部分核心內(nèi)容展示360智榜樣學(xué)習(xí)中心獨(dú)家《網(wǎng)絡(luò)攻防知識(shí)庫(kù)》采用由淺入深、攻防結(jié)合的講述方式既夯實(shí)基礎(chǔ)技能更深入高階對(duì)抗技術(shù)。內(nèi)容組織緊密結(jié)合攻防場(chǎng)景輔以大量真實(shí)環(huán)境復(fù)現(xiàn)案例、自動(dòng)化工具腳本及配置解析。通過(guò)策略講解、原理剖析、實(shí)戰(zhàn)演示相結(jié)合是你學(xué)習(xí)過(guò)程中好幫手。1、網(wǎng)絡(luò)安全意識(shí)2、Linux操作系統(tǒng)3、WEB架構(gòu)基礎(chǔ)與HTTP協(xié)議4、Web滲透測(cè)試5、滲透測(cè)試案例分享6、滲透測(cè)試實(shí)戰(zhàn)技巧7、攻防對(duì)戰(zhàn)實(shí)戰(zhàn)8、CTF之MISC實(shí)戰(zhàn)講解這份完整版的網(wǎng)絡(luò)安全學(xué)習(xí)資料已經(jīng)上傳CSDN【保證100%免費(fèi)】