PHP環(huán)境搭建-httpd-2.4.23配置安裝

.準(zhǔn)備安裝包

我從https://www.apachelounge.com/下載的安裝包httpd-2.4.23-win64-VC14.zip

2.解壓

我解壓在D盤，文件目錄如下

3.修改配置文件httpd.conf

修改Apache24->conf下的httpd.conf

①修改ServerRoot的根路徑:

將

ServerRoot "c:/Apache24"

改為

ServerRoot "d:/Apache24"

②修改ServerName你的主機(jī)名稱:

將

#ServerName www.example.com:80

改為

ServerName www.example.com:80

③修改DocumentRoot訪問(wèn)的主文件夾目錄

將

DocumentRoot "c:/Apache24/htdocs"
<Directory "c:/Apache24/htdocs">

改為

DocumentRoot "d:/www"
<Directory "d:/www">

我在D盤創(chuàng)建了名為www的文件夾，用于存放php應(yīng)用程序的，相當(dāng)于wamp集成開(kāi)發(fā)環(huán)境中的www文件夾
④修改入口文件DirectoryIndex

將

DirectoryIndex index.html

改為

DirectoryIndex index.php index.html index.htm

⑤設(shè)定ScriptAlias的目錄:

將

ScriptAlias /cgi-bin/ "c:/Apache24/cgi-bin/"

改為

ScriptAlias /cgi-bin/ "d:/Apache24/cgi-bin/"

⑥修改CGI directory

將

<Directory "c:/Apache24/cgi-bin">
AllowOverride None
Options None
Require all granted
</Directory>

改為

<Directory "d:/Apache24/cgi-bin">
AllowOverride None
Options None
Require all granted
</Directory>

4.安裝Apache24服務(wù)

以管理員身份運(yùn)行cmd,并切換到Apache24的bin目錄

輸入

httpd.exe -k install -n "Apache24"

cmd命令輸入services.msc

這時(shí)候httpd已經(jīng)篇日志完成。

5.測(cè)試Apache

打開(kāi)Apache24服務(wù)，將Apache24下htdocs中的index.html文件復(fù)制到www目錄下。

打開(kāi)瀏覽器，在地址欄中輸入localhost/index.html回車

這是Apache服務(wù)器配置完成。

要500G網(wǎng)絡(luò)安全滲透測(cè)試視頻教程+源碼筆記+學(xué)習(xí)路線可以后臺(tái)私信我回復(fù)【網(wǎng)絡(luò)安全】即可得

每天都有新聞報(bào)道描述著新技術(shù)對(duì)人們的生活和工作方式帶來(lái)的巨大乃至壓倒性影響。與此同時(shí)有關(guān)網(wǎng)絡(luò)攻擊和數(shù)據(jù)泄露的頭條新聞也是日益頻繁。

攻擊者可謂無(wú)處不在：企業(yè)外部充斥著黑客、有組織的犯罪團(tuán)體以及民族國(guó)家網(wǎng)絡(luò)間諜，他們的能力和蠻橫程度正日漸增長(zhǎng)；企業(yè)內(nèi)部是員工和承包商，無(wú)論有意與否，他們都可能是造成惡意或意外事件的罪魁禍?zhǔn)住?/span>

那作為一個(gè)零基礎(chǔ)的小白，此時(shí)適合進(jìn)入網(wǎng)絡(luò)安全行業(yè)嗎，它的就業(yè)前景怎么樣，應(yīng)該怎么選擇適合自己的崗位？

網(wǎng)絡(luò)安全崗位詳細(xì)分布

本文將針對(duì)這幾個(gè)問(wèn)題，逐一進(jìn)行解答，希望能夠?qū)Υ蠹矣袔椭?/span>

（友情提示，全文五千余字，內(nèi)容較多，建議先收藏再觀看，避免后續(xù)找不到）

一、網(wǎng)絡(luò)安全崗就業(yè)前景如何？

先說(shuō)結(jié)論：網(wǎng)絡(luò)安全人才一將難求，缺口高達(dá) 95%

伴隨國(guó)家新基建戰(zhàn)略的推行，人工智能、大數(shù)據(jù)、云計(jì)算、物聯(lián)網(wǎng)、5G 等新興技術(shù)的高速發(fā)展，層出不窮的新型黑客攻擊手法也隨之而來(lái)，無(wú)數(shù)政府單位被定向攻擊、企業(yè)核心數(shù)據(jù)被盜、個(gè)人敏感信息泄露。網(wǎng)絡(luò)空間安全建設(shè)刻不容緩，已成為國(guó)家安全建設(shè)的重中之重。

在以前，很多政企單位在進(jìn)行 IT 部門及崗位劃分時(shí)，只有研發(fā)和運(yùn)維部門，安全人員直接歸屬到基礎(chǔ)運(yùn)維部；而現(xiàn)在，越來(lái)越多單位為了滿足國(guó)家安全法律法規(guī)的要求，必須成立獨(dú)立的網(wǎng)絡(luò)安全部門，拉攏各方安全人才、組建 SRC（安全響應(yīng)中心），為自己的產(chǎn)品、應(yīng)用、數(shù)據(jù)保衛(wèi)護(hù)航。

網(wǎng)絡(luò)安全崗位

短短幾年間，網(wǎng)絡(luò)安全工程師不僅成為了正規(guī)軍，還直接躍升為國(guó)家戰(zhàn)略型資源，成為眾多企業(yè)“一將難求”的稀缺資源。

二、如何選擇適合自己的崗位？

針對(duì)這個(gè)問(wèn)題，我們要分步驟來(lái)回答。

1、安全崗位分類

首先，我們一起來(lái)了解一下網(wǎng)絡(luò)安全行業(yè)都有哪些崗位？你適合哪些崗位。

咱們新興技術(shù)不做羅列，就算傳統(tǒng)的安全崗位：安全產(chǎn)品工程師（或者售后工程師）、安全咨詢師（售前工程師）、滲透測(cè)試工程師、銷售、安全開(kāi)發(fā)工程師、安全運(yùn)維工程師、應(yīng)急響應(yīng)工程師、等級(jí)保護(hù)測(cè)評(píng)師、安全服務(wù)工程師。大體上這么多，其他小眾崗位就不一一列舉了。

安全崗位的大體工作內(nèi)容或職責(zé)

售后工程師：安全產(chǎn)品的售后服務(wù)工作，包括安全產(chǎn)品的交付實(shí)施、售后支撐、產(chǎn)品調(diào)試上架。比如客戶買了咱們的防火墻，咱們要派人去安裝調(diào)試吧，總不能讓客戶自己去安裝吧。這是產(chǎn)品工程師或者售后工程師的主要工作內(nèi)容。

售前工程師：主要是協(xié)助銷售完成跟單，說(shuō)的通俗易懂一點(diǎn)就是跟銷售配合，一個(gè)做商務(wù)關(guān)系（吃吃喝喝、送禮請(qǐng)客）一個(gè)做技術(shù)方案（解決客戶的痛點(diǎn)），兩個(gè)人配合拿下項(xiàng)目。

滲透測(cè)試工程師：這個(gè)崗位是大多數(shù)人夢(mèng)寐以求的，展現(xiàn)個(gè)人技術(shù)的時(shí)候到了。主要是模擬黑客對(duì)目標(biāo)業(yè)務(wù)系統(tǒng)進(jìn)行攻擊，點(diǎn)到為止。

銷售：不再贅述，估計(jì)你們年輕的人也不太關(guān)心，但是等你成長(zhǎng)了，你就會(huì)發(fā)現(xiàn)，你以前的對(duì)銷售的認(rèn)知是多么的扯淡。

安全開(kāi)發(fā)工程師：嗯，就是搞開(kāi)發(fā)，要對(duì)安全也要了解，比如開(kāi)發(fā)一個(gè)web應(yīng)用防火墻，連web攻擊都不懂，那還開(kāi)發(fā)個(gè)啥，閉門造車啊，能防的注嗎？

安全運(yùn)維工程師：一個(gè)單位買了那么多安全產(chǎn)品，肯定要有人做運(yùn)維的，分析一下日志，升級(jí)一下策略。定期檢查一下業(yè)務(wù)系統(tǒng)的安全性，查看一下內(nèi)網(wǎng)當(dāng)中有沒(méi)有威脅，這都是安全運(yùn)維工程師要做的內(nèi)容。

應(yīng)急響應(yīng)工程師：客戶業(yè)務(wù)系統(tǒng)被攻擊，要快速定位安全問(wèn)題，要快速恢復(fù)業(yè)務(wù)系統(tǒng)，有的甚至還要取證報(bào)警。（家里如果被偷東西價(jià)值太大，你還不報(bào)警？心咋這么大）

等級(jí)保護(hù)測(cè)評(píng)師：按照國(guó)家要求，重要的業(yè)務(wù)系統(tǒng)需要按照安全等級(jí)進(jìn)行保護(hù)的，目前國(guó)家已經(jīng)發(fā)布了等級(jí)保護(hù)2.0標(biāo)準(zhǔn)，要按照這個(gè)標(biāo)準(zhǔn)進(jìn)行建設(shè)。等級(jí)保護(hù)測(cè)評(píng)師的工作就是協(xié)助客戶檢查一下業(yè)務(wù)系統(tǒng)是否滿足等級(jí)保護(hù)的要求，不滿足的趕緊整改。

安全服務(wù)工程師：好多企業(yè)把滲透測(cè)試工程師也歸到安全服務(wù)工程師里面，無(wú)傷大雅。不懂安全服務(wù)，還不懂吃飯的服務(wù)員嘛，就是協(xié)助客戶做好安全工作，具體的內(nèi)容比如常見(jiàn)的漏洞掃描、基線檢測(cè)、滲透測(cè)試、網(wǎng)絡(luò)架構(gòu)梳理、風(fēng)險(xiǎn)評(píng)估等工作內(nèi)容。安全服務(wù)的面很大的，幾乎涵蓋了上述所有崗位的內(nèi)容。

說(shuō)了這么多崗位，把銷售和開(kāi)發(fā)踢出去，（大多數(shù)少年不關(guān)心這兩個(gè)崗位），其他崗位咱們?cè)趧澐忠幌拢鋵?shí)就是三個(gè)方向：安全產(chǎn)品方向、安全運(yùn)營(yíng)和數(shù)據(jù)分析方向、安全攻防和應(yīng)急方向。除了這個(gè)方向，還有個(gè)未列出來(lái)的方向—安全管理方向，放心少年，這個(gè)方向你一時(shí)半會(huì)用不到，哪個(gè)公司傻乎乎的上來(lái)就讓一個(gè)萌新去做安全管理？

2、公司招聘需求

那么問(wèn)題來(lái)了？這三個(gè)方向?qū)W習(xí)的內(nèi)容是一樣的嗎？

顯然不一樣啊，要不然分什么方向，吃飽撐的啊。這個(gè)就跟當(dāng)年高中文理分科一樣，問(wèn)啥要分，因?yàn)閮?nèi)容太多，不同的人擅長(zhǎng)點(diǎn)不一樣，學(xué)習(xí)的內(nèi)容那么多，時(shí)間那么少，要么壓縮內(nèi)容，要么拉長(zhǎng)時(shí)間。

言歸正傳，這三個(gè)方向，在實(shí)際工作中需要哪些技能點(diǎn)？

安全產(chǎn)品方向：懂產(chǎn)品，如防火墻、上網(wǎng)行為管理、入侵檢測(cè)/保護(hù)、網(wǎng)閘、vpn、數(shù)據(jù)庫(kù)審計(jì)、堡壘機(jī)、抗拒絕服務(wù)、云防護(hù)產(chǎn)品、殺毒、準(zhǔn)入、web應(yīng)用防火墻、虛擬化安全產(chǎn)品等等。

安全運(yùn)營(yíng)和數(shù)據(jù)分析方向：安全服務(wù)、安全測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估、等級(jí)保護(hù)、ISO 27000、日志分析、威脅分析、soc運(yùn)營(yíng)等等。

安全攻防和應(yīng)急方向：web攻防、系統(tǒng)攻防、內(nèi)網(wǎng)滲透、應(yīng)急響應(yīng)、代碼審計(jì)、移動(dòng)apk監(jiān)測(cè)、工控系統(tǒng)安全檢測(cè)等等。

以技術(shù)方向舉例，我們從招聘網(wǎng)站來(lái)看看各個(gè)公司對(duì)于安全人員的詳細(xì)招聘需求：

2.1、滲透測(cè)試工程師：

任職要求匯總：

熟練掌握各種滲透測(cè)試工具并且對(duì)其原理有深入了解（不僅限于 Burpsuite、sqlmap、appscan、AWVS、nmap、MSF，cobalt strike 等等）；

至少掌握一門開(kāi)發(fā)語(yǔ)言，操作語(yǔ)言不限 C/C++、Golang、Python、Java 都可，要求至少能寫(xiě)代碼；

熟練掌握常見(jiàn)的攻防技術(shù)以及對(duì)相關(guān)漏洞（ web 或二進(jìn)制）的原理有深入的理解；

具有豐富的實(shí)戰(zhàn)經(jīng)驗(yàn)可獨(dú)立完成滲透測(cè)試工作；

能從防御者或者運(yùn)維人員的角度思考攻防問(wèn)題，對(duì)后滲透有深入了解者更佳；

至少熟悉Reverse、Pwn、Web、Crypto、Misc、Mobile其中一項(xiàng)；

對(duì)安全有濃厚的興趣和較強(qiáng)的獨(dú)立鉆研能力，有良好的團(tuán)隊(duì)精神。

2.2、Web安全工程師

任職要求匯總：

計(jì)算機(jī)基礎(chǔ)扎實(shí)，熟悉常用的數(shù)據(jù)結(jié)構(gòu)和算法；

熟悉至少一門編程語(yǔ)言，具備扎實(shí)的編碼能力；

熟悉瀏覽器的各項(xiàng)安全特性，對(duì)常見(jiàn)Web漏洞的攻防原理有深入理解；

熟悉常見(jiàn)Windows&linux、Web應(yīng)用和數(shù)據(jù)庫(kù)各種攻擊手段;

熟悉網(wǎng)絡(luò)安全測(cè)試方法、測(cè)試用例、漏洞判定準(zhǔn)則;

熟悉滲透測(cè)試流程，了解常見(jiàn)的滲透測(cè)試工具的用法及原理；

有實(shí)際滲透測(cè)試經(jīng)驗(yàn),熟悉滲透測(cè)試各種提權(quán)方法;

熟悉常見(jiàn)腳本語(yǔ)言,能夠進(jìn)行WEB滲透測(cè)試,惡意代碼檢測(cè)和行為分析;

悉常見(jiàn)Web高危漏洞（SQL注入、XSS、CSRF、WebShell等）原理及實(shí)踐,在各漏洞提交平臺(tái)實(shí)際提交過(guò)高風(fēng)險(xiǎn)漏洞優(yōu)先;

熟練使用各種安全掃描,滲透工具,有豐富的安全滲透經(jīng)驗(yàn)并能能獨(dú)立完成滲透測(cè)試;

掌握MySQL、MSSQL、Oracle、PostgreSQL等一種或多種主流數(shù)據(jù)庫(kù)結(jié)構(gòu)以及特殊性;

三、如何針對(duì)目標(biāo)崗位學(xué)習(xí)提升？

看完這些，是不是差點(diǎn)被勸退了？

我覺(jué)得這是好事，如果你沒(méi)考慮清楚是否要從事這個(gè)行業(yè)的話，勸你還是慎重選擇。

雖然網(wǎng)絡(luò)安全行業(yè)的市場(chǎng)需求大，但需求是對(duì)人才的需求，不是對(duì)人的需求，如果你還是想學(xué)習(xí)網(wǎng)絡(luò)安全的話，那可以接著往下看，我給你出一個(gè)詳細(xì)的自學(xué)路線圖。

密密麻麻看起來(lái)一大堆，但其實(shí)拆解之后就會(huì)發(fā)現(xiàn)并不難學(xué)，給你看看我給團(tuán)隊(duì)小伙伴制定的Web安全學(xué)習(xí)路線，整體大概半年左右，具體視每個(gè)人的情況而定：

（友情提示：覺(jué)得有幫助的話可以收藏一下本篇文章，免得后續(xù)找不到）

網(wǎng)絡(luò)安全自學(xué)路線圖

3.1、Web安全相關(guān)概念（2周）

熟悉基本概念（SQL注入、上傳、XSS、CSRF、一句話木馬等）。

通過(guò)關(guān)鍵字（SQL注入、上傳、XSS、CSRF、一句話木馬等）進(jìn)行Google/SecWiki；

閱讀《精通腳本黑客》，雖然很舊也有錯(cuò)誤，但是入門還是可以的；

看一些滲透筆記/視頻，了解滲透實(shí)戰(zhàn)的整個(gè)過(guò)程，可以Google（滲透筆記、滲透過(guò)程、入侵過(guò)程等）；

3.2、熟悉滲透相關(guān)工具（3周）

熟悉AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan等相關(guān)工具的使用。

了解該類工具的用途和使用場(chǎng)景，先用軟件名字Google/SecWiki；

下載無(wú)后門版的這些軟件進(jìn)行安裝；

學(xué)習(xí)并進(jìn)行使用，具體教材可以在SecWiki上搜索，例如：Brup的教程、sqlmap；

待常用的這幾個(gè)軟件都學(xué)會(huì)了可以安裝音速啟動(dòng)做一個(gè)滲透工具箱；

3.3、滲透實(shí)戰(zhàn)操作（5周）

掌握滲透的整個(gè)階段并能夠獨(dú)立滲透小型站點(diǎn)。

網(wǎng)上找滲透視頻看并思考其中的思路和原理，關(guān)鍵字（滲透、SQL注入視頻、文件上傳入侵、數(shù)據(jù)庫(kù)備份、dedecms漏洞利用等等）；

自己找站點(diǎn)/搭建測(cè)試環(huán)境進(jìn)行測(cè)試，記住請(qǐng)隱藏好你自己；

思考滲透主要分為幾個(gè)階段，每個(gè)階段需要做那些工作；

研究SQL注入的種類、注入原理、手動(dòng)注入技巧；

研究文件上傳的原理，如何進(jìn)行截?cái)唷㈦p重后綴欺騙(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等；

研究XSS形成的原理和種類，具體學(xué)習(xí)方法可以Google/SecWiki；

研究Windows/Linux提權(quán)的方法和具體使用；

3.4、關(guān)注安全圈動(dòng)態(tài)（1周）

關(guān)注安全圈的最新漏洞、安全事件與技術(shù)文章。

通過(guò)SecWiki瀏覽每日的安全技術(shù)文章/事件；

通過(guò)Weibo/twitter關(guān)注安全圈的從業(yè)人員（遇到大牛的關(guān)注或者好友果斷關(guān)注），天天抽時(shí)間刷一下；

通過(guò)feedly/鮮果訂閱國(guó)內(nèi)外安全技術(shù)博客（不要僅限于國(guó)內(nèi)，平時(shí)多注意積累），沒(méi)有訂閱源的可以看一下SecWiki的聚合欄目；

養(yǎng)成習(xí)慣，每天主動(dòng)提交安全技術(shù)文章鏈接到SecWiki進(jìn)行積淀；

多關(guān)注下最新漏洞列表，推薦幾個(gè)：exploit-db、CVE中文庫(kù)、Wooyun等，遇到公開(kāi)的漏洞都去實(shí)踐下。

關(guān)注國(guó)內(nèi)國(guó)際上的安全會(huì)議的議題或者錄像，推薦SecWiki-Conference。

3.5、熟悉Windows/Kali Linux（3周）

學(xué)習(xí)Windows/Kali Linux基本命令、常用工具；

熟悉Windows下的常用的cmd命令，例如：ipconfig,nslookup,tracert,net,tasklist,taskkill等；

熟悉Linux下的常用命令，例如：ifconfig,ls,cp,mv,vi,wget,service,sudo等；

熟悉Kali Linux系統(tǒng)下的常用工具，可以參考SecWiki,《Web Penetration Testing with Kali Linux》、《Hacking with Kali》等；

熟悉metasploit工具，可以參考SecWiki、《Metasploit滲透測(cè)試指南》。

3.6、服務(wù)器安全配置（3周）

學(xué)習(xí)服務(wù)器環(huán)境配置，并能通過(guò)思考發(fā)現(xiàn)配置存在的安全問(wèn)題。

Windows2003/2008環(huán)境下的IIS配置，特別注意配置安全和運(yùn)行權(quán)限，；

Linux環(huán)境下的LAMP的安全配置，主要考慮運(yùn)行權(quán)限、跨目錄、文件夾權(quán)限等；

遠(yuǎn)程系統(tǒng)加固，限制用戶名和口令登陸，通過(guò)iptables限制端口；

配置軟件Waf加強(qiáng)系統(tǒng)安全，在服務(wù)器配置mod_security等系統(tǒng)；

通過(guò)Nessus軟件對(duì)配置環(huán)境進(jìn)行安全檢測(cè)，發(fā)現(xiàn)未知安全威脅。

3.7、腳本編程學(xué)習(xí)（4周）

選擇腳本語(yǔ)言Perl/Python/PHP/Go/Java中的一種，對(duì)常用庫(kù)進(jìn)行編程學(xué)習(xí)。

搭建開(kāi)發(fā)環(huán)境和選擇IDE，PHP環(huán)境推薦Wamp和XAMPP，IDE強(qiáng)烈推薦Sublime；

Python編程學(xué)習(xí)，學(xué)習(xí)內(nèi)容包含：語(yǔ)法、正則、文件、網(wǎng)絡(luò)、多線程等常用庫(kù)，推薦《Python核心編程》，不要看完；

用Python編寫(xiě)漏洞的exp，然后寫(xiě)一個(gè)簡(jiǎn)單的網(wǎng)絡(luò)爬蟲(chóng)；

PHP基本語(yǔ)法學(xué)習(xí)并書(shū)寫(xiě)一個(gè)簡(jiǎn)單的博客系統(tǒng)，參見(jiàn)《PHP與MySQL程序設(shè)計(jì)（第4版）》、視頻；

熟悉MVC架構(gòu)，并試著學(xué)習(xí)一個(gè)PHP框架或者Python框架（可選）；

了解Bootstrap的布局或者CSS;

3.8、源碼審計(jì)與漏洞分析（3周）

能獨(dú)立分析腳本源碼程序并發(fā)現(xiàn)安全問(wèn)題。

熟悉源碼審計(jì)的動(dòng)態(tài)和靜態(tài)方法，并知道如何去分析程序；

從Wooyun上尋找開(kāi)源程序的漏洞進(jìn)行分析并試著自己分析；

了解Web漏洞的形成原因，然后通過(guò)關(guān)鍵字進(jìn)行查找分析；

研究Web漏洞形成原理和如何從源碼層面避免該類漏洞，并整理成checklist。

3.9、安全體系設(shè)計(jì)與開(kāi)發(fā)（5周）

能建立自己的安全體系，并能提出一些安全建議或者系統(tǒng)架構(gòu)。

開(kāi)發(fā)一些實(shí)用的安全小工具并開(kāi)源，體現(xiàn)個(gè)人實(shí)力；

建立自己的安全體系，對(duì)公司安全有自己的一些認(rèn)識(shí)和見(jiàn)解；

提出或者加入大型安全系統(tǒng)的架構(gòu)或者開(kāi)發(fā)；

這個(gè)路線圖已經(jīng)詳細(xì)到每周要學(xué)什么內(nèi)容，學(xué)到什么程度，可以說(shuō)我整理的這個(gè)Web安全路線圖對(duì)新人是非常友好的，除此之外，我還給團(tuán)隊(duì)小伙伴整理了相對(duì)應(yīng)的學(xué)習(xí)資料，如果你需要的話，我可以分享一部分出來(lái)（涉密部分分享不了）。

如果覺(jué)得有幫助的話，可以幫我點(diǎn)贊收藏一下，寫(xiě)的不對(duì)或不清楚的地方，也歡迎大家在評(píng)論區(qū)指出，謝謝！

后臺(tái)私信回復(fù)網(wǎng)絡(luò)安全即可得

需要了解可后臺(tái)私信回復(fù)【網(wǎng)絡(luò)安全】

在前面的話

本系列教程僅以學(xué)習(xí)教育為目的，請(qǐng)不要用你在本教程中學(xué)到的東西去測(cè)試其他的站點(diǎn)，本人對(duì)此類行為概不負(fù)責(zé)。

等會(huì)兒！SQL注入有什么用？？好吧，xx百科里面的介紹我就不復(fù)制粘貼了，簡(jiǎn)單來(lái)說(shuō)，問(wèn)我最多的就是：“你能進(jìn)我們學(xué)校的教務(wù)系統(tǒng)幫我改一下期末成績(jī)嗎？”額，沒(méi)錯(cuò)，SQL注入攻擊可以！

本系列教程介紹

本人發(fā)現(xiàn)目前貌似還沒(méi)有人寫(xiě)過(guò)一份較為完整的或者說(shuō)是適合新手入門的SQL注入攻擊教程，而且作為一款專門為新手黑客設(shè)計(jì)的SQL注入攻擊游戲平臺(tái)SQLi Labs（闖關(guān)型游戲），目前也沒(méi)有較為完整的中文版教程，因此本系列文章《讓你在游戲中變成高端黑客：SQL注入攻擊全系列教程》將會(huì)隨時(shí)跟蹤SQLi Labs的更新情況，并給大家在第一時(shí)間帶來(lái)最新版的中文教程。

本系列教程是SQLi Labs練習(xí)指南的中文版，本人對(duì)其進(jìn)行了優(yōu)化和補(bǔ)充。本系列文章將穩(wěn)定更新，且每次更新一節(jié)課，同學(xué)們每天只需要花十分鐘左右的時(shí)間即可從新手變成真正的Hacker。目前本系列總共有24期，由于頭條發(fā)文數(shù)量有限，想獲取更多信息和資源的朋友請(qǐng)移步xx號(hào)“安全猴”。

在第一講中，我會(huì)給大家簡(jiǎn)單介紹一下有關(guān)SQL注入的一些基礎(chǔ)知識(shí)，以及如何配置我們的游（xue）戲（xi）環(huán)境。

SQLi Labs系列結(jié)構(gòu)圖如下：

介紹

SQL，即結(jié)構(gòu)化查詢語(yǔ)言（Structured Query Language）的簡(jiǎn)稱，這是一種專門用來(lái)與數(shù)據(jù)庫(kù)進(jìn)行交互的語(yǔ)言。簡(jiǎn)單來(lái)說(shuō)，數(shù)據(jù)庫(kù)就是一個(gè)用來(lái)存儲(chǔ)客戶端以及服務(wù)器端各類數(shù)據(jù)的東西。SQL可以通過(guò)查詢語(yǔ)句和面向?qū)ο缶幊痰确绞絹?lái)管理數(shù)據(jù)庫(kù)。目前市場(chǎng)上有很多種數(shù)據(jù)庫(kù)，例如MySQL（我們現(xiàn)在要用的就是它）、MS SQL、Oracle和Postgresql等等，在它們的幫助下，我們就可以通過(guò)SQL語(yǔ)句來(lái)管理大型數(shù)據(jù)庫(kù)了。

腳本小子（指那些只會(huì)使用黑客工具而技術(shù)功底不夠扎實(shí)的人）對(duì)于SQL注入攻擊肯定是不會(huì)陌生的，他們往往都會(huì)使用類似Sqlmap和SqlNinja這樣的自動(dòng)化工具來(lái)完成SQL注入攻擊，但他們也許并不知道SQL注入的工作機(jī)制。

在本系列教程中，我將會(huì)帶領(lǐng)大家深入了解SQL注入的原理，包括攻擊是如何發(fā)生的以及如何判定一個(gè)應(yīng)用是否存在SQL注入漏洞。我們將會(huì)使用SQLi Labs（用來(lái)學(xué)習(xí)SQL注入的闖關(guān)型游戲平臺(tái)）來(lái)做講解，國(guó)內(nèi)下載地址請(qǐng)移步xx號(hào)“安全猴”并回復(fù)“SQL注入”即可獲取，當(dāng)然你也可以直接訪問(wèn)該項(xiàng)目的GitHub直接下載，不過(guò)國(guó)外地址速度較慢。

安裝SQLi Labs

我們的游（xue）戲（xi）環(huán)境采用的是經(jīng)典的Apache+MySQL+PHP，大家可以直接下載集成環(huán)境軟件完成環(huán)境的部署。目前比較流行的有phpStudy、Wampserver、XAMPP和AppServ，個(gè)人推薦使用phpStudy，因?yàn)樗蔷G色版無(wú)需安裝且比較適合新手使用。當(dāng)然了，幾款也不錯(cuò)。安裝好以后啟動(dòng)服務(wù)器（以phpStudy為例），然后在瀏覽器中訪問(wèn)localhost或127.0.0.1，如果顯示了php環(huán)境信息，則說(shuō)明安裝成功。

環(huán)境配置完成之后，按照下列步驟安裝SQLi Labs

1.下載SQLi Labs；（國(guó)內(nèi)下載地址請(qǐng)移步xx號(hào)“安全猴”并回復(fù)“SQL注入”即可獲取）

2.解壓之后將整個(gè)文件夾拷貝到Apache的Webroot目錄下，也就是傳說(shuō)中的WWW文件夾。

3.用記事本打開(kāi) sql-connections文件夾中的db-creds.inc，將其中的mysql用戶名和密碼改成你自己的密碼，phpStudy的默認(rèn)都是“root”。

4.打開(kāi)瀏覽器，訪問(wèn)localhost/sqli-labs-master/index.html。

5.點(diǎn)擊第一項(xiàng)“Setup/reset Database for labs”，系統(tǒng)會(huì)在你的mysql數(shù)據(jù)庫(kù)中創(chuàng)建一個(gè)游戲所需的數(shù)據(jù)庫(kù)。

6.接下來(lái)，我們就可以開(kāi)始盡情玩（xue）耍（xi）了。

總結(jié)

接下來(lái)，我們將開(kāi)始真正的SQL注入攻擊游戲之旅，敬請(qǐng)期待。別忘了去“安全猴”回復(fù)"SQL注入"獲取SQLi Labs噢！

那么今天就到此結(jié)束啦！希望大家能夠認(rèn)真學(xué)習(xí)，有什么疑問(wèn)或者想法也可以在文章下方或給“安全猴”留言，第一關(guān)教程馬上就來(lái)！

整合營(yíng)銷服務(wù)商