2024年最新开发安全Java应用程序的13条规则((Mark)，2024年最新高薪程序员必会_java安测相关标准

如何自学黑客&网络安全

黑客零基础入门学习路线&规划

初级黑客
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包评论区留言即可领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

如果你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime；·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写漏洞的exp,然后写一个简单的网络爬虫；·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，评论区点赞和评论区留言获取吧。我都会回复的

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些笔者自己买的、其他平台白嫖不到的视频教程。

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

漏洞喜欢隐藏在复杂性中，因此在不牺牲功能的情况下使代码尽可能简单。使用成熟的设计原则（例如DRY）（不要重复），将帮助您编写更易于查看问题的代码。

始终在代码中公开尽可能少的信息。隐藏实施细节支持可维护和安全的代码。这三个技巧将大大有助于编写安全的Java代码：

• 充分利用Java的访问修饰符。知道如何为类，方法及其属性声明不同的访问级别将大大保护代码。可以设为私有的所有内容都应该为私有的。
• 避免反射。在某些情况下，应该使用这种高级技术，但是在大多数情况下，您应该避免使用它们。使用反射消除了强类型，而强类型可能会给您的代码带来弱点和不稳定性。将类名与字符串进行比较很容易出错，并且很容易导致名称空间冲突。
• 始终定义尽可能小的API和界面。解耦组件并使它们在尽可能小的区域内交互。即使应用程序的某个区域感染了漏洞，其他区域也将是安全的。

Java安全性规则2：避免序列化

这是另一个编码技巧，但重要的是要成为一个规则。 序列化接受远程输入，并将其转换为完全赋值的对象。 它省去了构造函数和访问修饰符，并允许未知数据流成为JVM中的运行代码。 结果，Java序列化在本质上是不安全的。

尽可能避免在Java代码中进行序列化/反序列化。 相反，请考虑使用JSON或YAML之类的序列化格式。 永远不要公开接收并作用于序列化流的不受保护的网络端点。

Java安全规则＃3：永远不要公开未加密的凭证

很难相信，但是这种可避免的错误会导致年复一年的痛苦。

当用户在浏览器中输入密码时，密码将以纯文本格式发送到服务器。那应该是它最后一次出现。我们必须先通过单向密码对密码进行加密，然后再将其持久保存到数据库中，然后在每次与该值进行比较时再次进行加密。

密码规则适用于所有个人身份信息：信用卡，社会保险号等。委托给应用程序的任何个人信息都应得到最高程度的保护。

数据库中未加密的凭据是一个巨大的安全漏洞，正在等待攻击者发现。同样，切勿将原始凭据写入日志，或以其他方式传输到文件或网络。要为我们的密码系统创建一个加盐的哈希并务必进行研究并使用推荐的哈希算法。

跳至规则4：始终使用库进行加密；不要自己动手。

Java安全规则4：使用已知和经过测试的库

尽可能使用已知的可靠库和框架。从密码哈希到REST API授权，这适用于整个范围。

幸运的是，Java及其生态系统对此提供了很好的支持。对于应用程序安全性，Spring Security是事实上的标准。它提供了广泛的选择范围和灵活性，以适应任何应用程序体系结构，并且融合了多种安全方法。

解决安全性的第一个本能应该是进行研究，研究最佳实践。例如，如果要使用JSON Web令牌来管理身份验证和授权，查看封装JWT的Java库，然后学习如何将其集成到Spring Security中。

Java安全性规则5：对外部输入抱有偏执

无论是来自用户输入表单，数据存储区还是远程API，都不要信任外部输入。

SQL注入和跨站点脚本（XSS）只是最常见的攻击，可能是由于错误处理外部输入而导致的。一个不为人所知的例子（其中很多例子）是“billion laughs attack（一种 denial-of-service（DoS）攻击，它主要作用于XML文档解析器。它也被称为指数实体扩展攻击，是一种名副其实的XML炸弹。该攻击通过创建一系列递归的XML定义，在内存中产生上十亿的特定字符串，从而导致DoS攻击。原理为：构造恶意的XML实体文件以耗尽服务器可用内存，因为许多XML解析器在解析XML文档时倾向于将它的整个结构保留在内存中，上亿的特定字符串占用内存达到GB级，使得解析器解析非常慢，并使得可用资源耗尽，从而造成拒绝服务攻击。）”，通过这种攻击，XML实体扩展会导致拒绝服务攻击。

每当收到输入时，都应进行完整性检查和消毒。对于可能呈现给另一个工具或系统进行处理的任何事物尤其如此。例如，如果某些事情可能会成为OS命令行的参数，必须小心！

一个特殊的众所周知的实例是SQL注入，它将在下一条规则中介绍。

Java安全规则＃6：始终使用准备好的语句来处理SQL参数

每当构建一条SQL语句时，都有可能插值一段可执行代码。

知道了这一点，最好始终使用java.sql.PreparedStatement类来创建SQL。对于NoSQL存储（如MongoDB）也存在类似的功能。如果您使用的是ORM层，则实现将在后台使用PreparedStatements。

Java安全规则＃7：不要通过错误消息来揭示实现

生产中的错误消息可以为攻击者提供丰富的信息来源。堆栈跟踪尤其可以揭示有关您正在使用的技术及其使用方式的信息。避免向最终用户显示堆栈跟踪。

登录失败警报也属于此类别。通常接受的错误消息应为“登录失败”与“未找到该用户”或“密码错误”。为潜在的恶意用户提供尽可能少的帮助。

理想情况下，错误消息不应显示您应用程序的基础技术堆栈。保持该信息尽可能不透明。

Java安全性规则＃8：使安全性发布保持最新

我们需要经常检查安全更新并将其应用到JRE和JDK。

定期检查Oracle主页上的安全警报，以确保知道可用的重要补丁程序。每个季度，Oracle都会为Java的当前LTS（长期支持）版本提供一个自动补丁更新。问题是，只有在购买Java支持许可证的情况下，该补丁才可用。

如果我们的公司正在为此类许可证付费，遵循自动更新路线即可。 如果没有，比如可能正在使用OpenJDK，则必须自己进行修补。 在这种情况下，您可以应用二进制补丁，也可以简单地用最新版本替换现有的OpenJDK安装。 或者，使用商业支持的OpenJDK，例如Azul的Zulu Enterprise。

Java安全规则＃9：查找依赖项漏洞

有许多工具可以自动扫描您的代码库和相关性漏洞。您所要做的就是使用它们。

OWASP（开放式Web应用程序安全性项目）是致力于改善代码安全性的组织。 OWASP的值得信赖的高质量自动代码扫描工具列表包括多个面向Java的工具。

定期检查代码库，但还要注意第三方依赖性。攻击者同时针对开放源代码库和封闭源代码库。监视对依赖项的更新，并在发布新的安全修复程序时更新系统。

Java安全规则＃10：监视和记录用户活动

如果没有主动监视应用程序，那么即使是简单的暴力攻击也可能成功。使用监视和日志记录工具来监视应用程序的运行状况。

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！