转眼大一已经过去了，然而大学生活才刚刚开始。回想2021年10月，我打的第一场CTF比赛，我参加了Aurora的新生赛，这是我参加的第一场比赛，那是我第一次接触网络安全。在那将近一天的时间里，我现学现卖，从我最擅长的Web题开始到需要捣鼓的Misc题，我完成了不少挑战，也在新生赛获得了不错的成绩，以此加入了深大的Aurora战队。
在篡权之后登录自己学校的靶场，发现之前的提交记录都被我干掉了，有点惋惜。
废话少说，开始说说我对Web方向的一些看法。
什么是Web
Web是立足于网络开发实践的，致力于提高网络安全意识的一个方向。Web高度还原现实中出现的各种网络安全问题，紧跟技术前沿，考验选手的思考能力和实践能力。在CTF的各类比赛中，Web都是当之无愧的大魔王，Web也成为比赛最为激烈的方向之一。
全栈不一定会Web，但Web必定是全栈
全栈开发（Full Stack Development）意思是有能力独立完成一个完整的Web App（网页应用）的开发，并且包括前端、后端、数据库及架构设计、服务器配置及运维在内的工作。纯粹的全栈开发者往往都只是追求理解和应用，对应用安全并不在意，这也就是我所说的全栈不一定会Web。
但Web必定是全栈，你要学习Web方向，你必定要弄明白，这个应用不安全在哪里，你要从开发者的开发思路入手：运用了哪些库，存储了哪些数据，哪里有命令注入等等……久而久之，如论是前端、后端还是数据库等都有所涉及。在做更多的题目之后，你会使用脚本，你也会学Python等语言，写自己的Web脚本，接着调试自己的Linux服务器，构造自己的Web题目。于是恭喜你，你踏上了成为全栈的第一步~
在Web的这一个方向，你要有旺盛而又持久的学习力，无论是十几年前的老旧套路，还是现今流行的病毒漏洞，都是你所要学习的。当然，你也会收获你最充实的学习过程，和成功解决不同题目的喜悦。
To be a white hat
Web的其中一个分支是CFS，也就是我们常说的渗透测试，做白帽黑客
白帽黑客是指道德黑客或电脑保安专家，专门从事渗透测试及其他测试方法，确保信息系统安全。道德黑客是一个术语，意味着比渗透测试更广泛的类别。白帽黑客在网络用语中指站在黑客的立场攻击自己或被别人允许攻击的系统以进行安全漏洞排查的程序员。他们用的是黑客（一般指“黑帽子黑客”）惯用的破坏攻击的方法，行的却是维护安全之事。
在你熟练掌握各种Web的攻防手段后，学习CFS不妨是一种很好的选择。在有授权的情况下，寻找互联网空间中存在的各种漏洞，俗称挖洞。根据其危害程度，可以申请CVE（Common Vulnerabilities & Exposures通用漏洞披露），也有不少人把申请CVE当成了自己的近期目标之一，这也是作为Web手的荣誉之一。
2022/8/12：前期可以以考取OSCP（Offensive Security Certified Professional）作为小目标，虽然有（亿）点小贵
学习计划
说了这么多，有没有什么好的学习计划？我是一名开发转安全的选手，可能有些建议并不适合每一个人，在这里也仅供参考。
阶段一
-
学习PHP
PHP是学习Web的基础，重中之重，无论什么题目，都需要你熟练掌握一门语言，如果你是纯新手，我建议你好好把PHP学透彻。
如果你有其他编程语言的基础，你可以上www.runoob.com来自学，如果没有可以跟着B站进行学习 -
学习计算机网络知识
这些其实跟大二的计网课程（可以上B站搜索）讲的很相似，你需要了解HTML语言，HTTP协议，TCP/IP协议，内网等相关知识，并学会科学使用互联网。 -
学习SQL命令及注入原理
SQL命令是基础Web题目常见的一种类型，也是开发中最常用的数据库查询语言之一，只有学会这个才能对后面的题目游刃有余
阶段二
其实学完阶段一的你已经可以独立制作一个属于自己的网站了，你也可以试着搭建一个属于自己的博客（Hexo免费的，Wordpress需要服务器）
-
学习Java、Node、Python等语言
这些语言作为互联网行业使用最多的几门编程语言，是我们务必要掌握的，至少你要能看得懂，根据给的代码，你能自己更改一部分并且运行。 -
学习代码审计
对于题目给出的网页代码，你要快速分辨出哪些是有用的，找出SQL注入点，文件读取点等常见漏洞或注入出现的命令，然后根据相应题目进行利用 -
漏洞复现
可以通过自行搭建环境或者利用Vulhub等构造一个漏洞，复现漏洞，并尝试推理究极是哪些代码的疏忽使得该漏洞出现。Vulhub是一个面向大众的开源漏洞靶场，无需docker知识，简单执行两条命令即可编译、运行一个完整的漏洞靶场镜像。旨在让漏洞复现变得更加简单，让安全研究者更加专注于漏洞原理本身。
阶段三
经过了前两个阶段，你已经成为了能在队伍中独当一面的Web手了，你可以尝试学习CFS，开始你的挖洞生活吧！
总结
最后的最后，希望写下来的这些能对学弟学妹们有一点帮助~
关于护网和渗透的内容就之后再更吧~