基礎第一，我會將可能涉及的關鍵知識點部分在本次分享中進行介紹。希望能讓大家的出發點更加貼近實際，一切先從基礎開始。

服務器

服務器它偵聽網絡上的其他計算機(客戶端）提交的服務請求，并提供相應的服務。為此，服務器必須具有承擔服務并且保障服務的能力。

內網、外網

內網就是局域網，網吧、校園網、單位辦公網都屬于此類。

外網通俗的說就是與互聯網相通的網，可以訪問英特網上的所有網絡資源。

簡單的說，如果你家有5臺電腦相連，這5臺電腦構成的系統就是局域網；如果你家又開通寬帶，那么互聯網就是外網；你家這5臺電腦組成的局域網就是內網。

漏洞

漏洞是在硬件、軟件、協議的具體實現或系統安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統。

端口

"端口"是英文port的意譯，可以認為是設備與外界通訊交流的出口。

網絡協議

網絡協議為計算機網絡中進行數據交換而建立的規則、標準或約定的集合。

就像我們說話用某種語言一樣，在網絡上的各臺計算機之間也有一種語言來交換信息，這就是網絡協議， 不同的計算機之間必須使用相同的網絡協議才能進行通信。

虛擬機

虛擬機指通過軟件模擬的具有完整硬件系統功能的、運行在計算機中的系統。

就好比你的電腦是win10系統，但是你的女朋友習慣了使用win8系統，所以你就安裝了一個虛擬機，這個虛擬機就是win8系統，它具備win8系統的功能，于是你的電腦里就可以使用win10和win8 兩個系統了。

抓包

抓包就是將網絡傳輸發送與接收的數據包進行截獲、重發、編輯、轉存等操作。通過分析數據包，可以檢查網絡是否存在安全問題。抓包也經常被用來進行數據截取等。

注入

簡單來說就是利用SQL語句在外部對SQL數據庫進行查詢，更新等動作。SQL是一種數據庫查詢和程序設計語言，用于存取數據以及查詢、更新和管理關系數據庫系統。

滲透

滲透測試 (penetration test)并沒有一個標準的定義，國外一些安全組織達成共識的通用說法是：滲透測試是通過模擬惡意黑客的攻擊方法，來評估計算機網絡系統安全的一種評估方法。

這個過程包括對系統的任何弱點、技術缺陷或漏洞的主動分析，這個分析是從一個攻擊者可能存在的位置來進行的，并且從這個位置有條件主動利用安全漏洞。

滲透測試還具有的兩個顯著特點是：

滲透測試是一個漸進的并且逐步深入的過程。

滲透測試是選擇不影響業務系統正常運行的攻擊方法進行的測試。

滲透測試完全模擬黑客可能使用的攻擊技術和漏洞發現技術，對目標系統的安全做深入的探測，發現系統最脆弱的環節，能直觀的讓管理員知道自己網絡所面臨的問題。

滲透測試與其他評估方法的區別：

通常評估方法對評估結果更具有全面性，滲透測試則更注重安全漏洞的嚴重性。

滲透測試一方面可以從攻擊者的角度，檢驗業務系統的安全防護措施是否有效。

滲透測試結束后，立即進行安全加固，解決測試發現的安全問題。

入侵

入侵是指在非授權的情況下，試圖存取信息、處理信息或破壞系統以使系統不可靠、不可用的惡意行為。

網絡入侵（hacking）通常是指具有熟練地編寫和調試計算機程序的技巧，并使用這些技巧來獲得非法或未授權的網絡或文件訪問，入侵進入公司內部網的行為。

測試環境

一般是克隆一份生產環境的配置，一個程序在測試環境工作不正常，那么肯定不能把它發布到生產機上。總的來說，測試環境=軟件+硬件+網絡+數據準備+測試工具。

IP

為計算機網絡相互連接進行通信而設計的協議。IP是計算機之間的語言，且具有唯一性。

提權

提高自己在服務器中的權限，主要針對網站入侵過程中，當入侵某一網站時，通過各種漏洞提升WEBSHELL（一種命令執行環境）權限以奪得該服務器權限。

域名

域名，是由一串用點分隔的名字組成的Internet上某一臺計算機或計算機組的名稱，用于在數據傳輸時標識計算機的電子方位（有時也指地理位置，地理上的域名，指代有行政自主權的一個地方區域）。例如www.baidu.com 。

子域名

子域名，又叫二級域名，是頂級域名（一級域名）的下一級，域名整體包括兩個“.”或包括一個“.”和一個“/”。比如：www.baidu.com和vpn.baidu.com, 這里的www和vpn就是baidu.com的子域名。

客戶端腳本

主要指JAVAScript（各個瀏覽器原生態支持的腳本語言）、ActionScript（Flash的腳本語言），以及JavaScript與ActionScript都遵循的ECMAScript腳本語言。

授權

就是服務器對客戶端訪問的授權，相當于一方允許另一方做某事。

資源

資源是一個很廣泛的詞，只要是數據，都可以認為是資源。

讀寫權限

web上的資源有很多，有的只有讀權限，有的同時擁有讀和寫權限。

社工

即社會工程學，網絡犯罪常會使用社會工程學的技巧。

本意很寬泛，社會工程學指的是通過與他人交流，誘使對方做出某些動作或者是透露一些機密信息的方式。可以理解成是一種欺詐他人以收集信息、行騙和入侵計算機系統的行為。

比如我們常說的「釣魚」就是一種社工手法。

除此以外還有電腦蠕蟲、垃圾郵件、惡意軟件等。

最基礎的名詞解釋就做這么多，各位可查漏補缺。

后續我們將按照技能樹給大家做分享，當然，每個大類下面還包含了很多小分支。

接下來會把大致的把每個階段的學習時間和學完能做什么給大家羅列出來。

一、#Web安全

能夠快速準確的分析出網站可能存在的漏洞。這一塊知識點我們大概會分享十次。(其中要用到工具可能會有：burpsuite,sqlmap，大家可以先了解一下。）

二、#應用軟件安全

可以加固和破解軟件。這一塊大概會有七八次的分享。

三、#源碼審計

能夠分析出源碼可能存在的漏洞。源碼審計這一塊主要是大家在學完前面的基礎上才能去做，所以基礎得打扎實了。

四、#逆向工程

比如可以破解惡意軟件。

五、#惡意軟件分析

例如可以對自家的路由器和攝像頭進行防護，做病毒和軟件的逆向分析。