waf怎么用php，黑客的技术都是自学的吗？
说到黑客，给人的感觉一直都是很神秘的。我们经常会在电视剧看到一些关于黑客的描述，说某某黑客又攻破了哪个国家的国防部网站。当然，为了电视剧情，都很显然有夸大的成分，且没有事实根据。但是，我们平时听到的黑客，他们所拥有的高超技术又是从哪里学来的呢？
首先我们来了解一下什么叫黑客。
黑客，通常是指对计算机科学、编程和设计方面具高度理解的人。他们拥有熟练的电脑技术，是一群晃荡于网络上的技术人员，通晓计算机，并且能够轻易的进入他人的计算机，窃取他人的机密文件，是对电脑有着超高造诣的计算机高手。但大部分的媒体习惯将“黑客”指作电脑侵入者。在科技如此发达的今天，黑客已经不再是鲜为人知的人物，而是已经发展成网络上的一个独特的群体。他们有着与常人不同的理想和追求，并且有着自己独特的行为模式。这些神秘的人是从哪来的呢？人们一直都感到很好奇，但其实，除了极少数的职业黑客以外，大多数都是业余的黑客。而黑客在现实中与普通人没两样，或许，他就是你我身边的一个普通的小职员。
那么，那么强大的技术，他们是怎么得来的呢？一、自学成才
很多人觉得，黑客掌握了这么强大的技术，肯定都是计算机出身，其实不然，大多数黑客都对计算机极度敏感，并且大都是自学成才，且能够轻松的自学编程、四种基本语言 Python、C、 Perl、 LISP等
二、计算机出身
相对于自学，计算机出身占比较少。
那么。黑客的技术有多么可怕？下面请大家跟着小编一起来感受一下当年被“熊猫烧香”支配的恐惧2006年年末，一种“熊猫烧香”的病毒袭来，短短数天便席卷全国，其病毒传播速度之快令人咋舌，导致国内网络严重瘫痪，中国网民头一次感受到了电脑病毒的恐怖之处。该病毒具体表现是什么？
一、感染exe文件
他会将绑定exe文件，并且将其图标变成熊猫烧香的模样。
二、感染web文件
它大范围传播的主要因素之一：网页传播。因互联网的原因，所以造成大范围传播。并且，2006年，我刚好在上大一，那个时候我还没有买电脑，但我同寝室室友的电脑中了这个病毒，当时具体怎么中毒的他也不知道，后来了解应该是点击了有病毒的网页，所以中了招！接下来该病毒的恐怖就体现出来了！室友电脑中毒之后基本上就废掉了，完全不能用，记得当时他的电脑存了很多课件，但在中毒之后，不止文件打不开，就连桌面上的图标都变成熊猫的头像，还不时的在电脑右下角跳出一只大熊猫出来烧香！后来重启好多次都不能用，没办法，只能将电脑硬盘格式化然后重装系统，这样电脑虽然正常了，但是电脑里面存放的文件与课件全部都被删掉了，因此造成了巨大的损失。熊猫烧香造成了多大的损失？在06年底到07年这段时间，全国范围都有感染该病毒，只要一感染病毒，电脑里的文件基本废了，所以这里造成的损失是不可估量的，保守估计就是要达到上亿元的损失。最后看一下熊猫烧香的发明者。实际上这个熊猫烧香的技术并没有多高明，开发者名叫李俊，仅中专毕业，且计算器技术也是后来自学的，李俊在中专毕业之后，就到网吧里面学编程技术，后来还加入了一些网络红组织对境外一些网站进行反击，只是后来，李俊觉得自己屈才，所以就发明了熊猫烧香想要展示自己的能力。初中毕业学网络安全运维怎么样？
首先就科技领域来讲，网络安全运维人才还是相对稀缺，前景广。
但是网络运维涉及到的东西特别多，应用面比较广，学习起来也比较枯燥，得有心理准备；
其次就你初中毕业来说，文化底蕴较低，不如大学生学习具有贯彻性，困难比较大，这也是你值得考虑的；
然而计算机方面好多天才都是在很小的时候，甚至在初中时就有不凡的见解，所以也不要气馁，而且现在网络教育也很方便，好多自学网站都有相关免费课程，不限时间、地点，只要你肯用功，一定会有所作为的。
首先不管学习哪一门专业，都要自己喜欢、爱好，有兴趣了才能学得好，学得快，且计算机领域学习比较枯燥，实践性又特别强，所以决定选择好了，就要耐得住寂寞，坚持不懈，定有所成。
学什么语言比较好？
黑客的话不建议你学，因为要学的东西名字就能写个一千字的作文，你说的黑客是指入侵，入侵包括web和端口，先把要学的语言列一下，html，css，JavaScript，Java，PHP，Python，SQL，nosql，汇编，C语言这些就差不多了，然后要学习各种网络协议，比如http，HTTPS，ftp，smtp，ssh，Telnet，smb，rdp，WiFi，outh，等等吧，然后你要了解各种漏洞形成的原理比如SQL注入，xss，文件上传，CSRF，跨域请求，命令执行，文件包含，目录遍历，缓冲区溢出，整型溢出等等，还有就是你要理解CS和BS架构，比如用户client请求一个URL，经过TCP上的DNS，解析到目标服务器的负载均衡，再解析到中间件，服务器等等一堆名词，另外你要了解waf和防火墙的原理和使用，入侵检测系统原理和使用，木马病毒的原理和手工排查方式，另外呢你还要了解各种各样工具尤其是命令行工具的使用，比如nmap，sqlmap，burp，wvs,御剑，大马小马，wireshark，tcpdump，kali你要熟悉，另外你要熟悉Linux常见命令和工具，就啊要很熟练Linux系统，然后咱们说二进制的漏洞技术，包括漏洞挖掘技术和漏洞分析，漏挖主要靠模糊测试，你要了解个钟模糊测试软件和测试的原理，挖到漏洞你要会调试，绕过系统的内存保护机制，比如加载地址随机化，栈cookie，SEH，安全SEH，数据执行保护等等，你要了解他们的原理和绕过方法，脱壳的方法，学会逆向调试，然后你要了解编程语言在内存中编译成了什么样，才能利用Python写个脚本利用成功！最后呢渗透还要了解域渗透，内网横向移动，隧道封装技术，木马免杀等等，哦忘记说了，你还要了解主流的网站系统比如WordPress，discuz，织梦，帝国，thinkPHP，spring等等，服务器的话你要会配置Apache，NGINX，Tomcat之类的，如果你能熟练应用我上面说的技术，那你就不是脚本小子了，算是一名黑客了!加油
学完网络安全可以做哪些工作呢？
第一个阶段：主要讲的是网络安全概述，了解计算机运行原理、初步开始了解网络安全行业、网络安全法普及解读，接下来就是Linux系统和windows系统的一些知识，最后就是虚拟机搭建，了解Vmware虚拟机的安装使用，掌握虚拟机安全服务搭建，掌握Vmware虚拟机的各种参数配置使用。
第二个阶段：这个阶段主要学习的内容就是数据库，了解数据库的基础知识、数据库的安全配置，php基础和基本语法，实现数据库与PHP的联动。接下来就是SQL注入、XSS等安全漏洞，掌握WEB安全行业标准及评估方法。脚本木马、数据库安全于配置、web中间件介绍、http协议理解，AWVS安全工具，Nmap网络安全利用、sqlmap工具利用、Burp Suite安全工具的使用等。
第三个阶段：这个阶段所学内容是WEB安全之XSS跨站脚本漏洞、WEB安全之文件上传原理、WEB安全之认证攻击、WEB安全之其他漏洞讲解、应用程序漏洞分析。这个阶段主要是web安全的漏洞分析。
第四个阶段：这个阶段主要所学内容是网络安全技能，WAF绕过、安全工具使用、SQLMap高级使用、Kali渗透测试教程、Metasploit高级课程、Wireshark 安全分析实战、开源工具自动化集成。
那么我们学习完之后能做什么工作呢?刚开始工作基本上是以下两个方面。
一. 网站维护员
由于有些知名度比较高的网站，每天的工作量和资料信息都是十分庞大的，所以在网站正常运行状态中肯定会出现各种问题，例如一些数据丢失甚至是崩溃都是有肯出现的，这个时候就需要一个网站维护人员了，而我们通过网络安全培训学习内容也是工作上能够用到的。
二. 网络安全工程师
为了防止黑客入侵盗取公司机密资料和保护用户的信息，许多公司都需要建设自己的网络安全工作，而网络安全工程师就是直接负责保护公司网络安全的核心人员
中公教育全国都有分校，沈阳肯定也有，还是大品牌靠谱，优就业是中公的IT部门，还是很专业的，想学习的话可以 了解下~
黑客渗透测试该如何学习？
Web安全相关概念
熟悉基本概念（SQL注入、上传、XSS、CSRF、一句话木马等）。1.通过关键字（SQL注入、上传、XSS、CSRF、一句话木马等）进行Google/SecWiki；
2.阅读《精通脚本黑客》，虽然很旧也有错误，但是入门还是可以的；看一些渗透笔记/视频，了解渗透实战的整个过程，可以Google（渗透笔记、渗透过程、入侵过程等）；
3周
熟悉渗透相关工具
熟悉AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan等相关工具的使用。
1.了解该类工具的用途和使用场景，先用软件名字Google/SecWiki；
2.下载无后们版的这些软件进行安装；
3.学习并进行使用，具体教材可以在SecWiki上搜索，例如：Brup的教程、sqlmap；
4.待常用的这几个软件都学会了可以安装音速启动做一个渗透工具箱；
5周
渗透实战操作
掌握渗透的整个阶段并能够独立渗透小型站点。
1.网上找渗透视频看并思考其中的思路和原理，关键字（渗透、SQL注入视频、文件上传入侵、数据库备份、dedecms漏洞利用等等）；
2.自己找站点/搭建测试环境进行测试，记住请隐藏好你自己；
思考渗透主要分为几个阶段，每个阶段需要做那些工作，例如这个：PTES渗透测试执行标准；
4.研究SQL注入的种类、注入原理、手动注入技巧；
5.研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架；
6.研究XSS形成的原理和种类，具体学习方法可以Google/SecWiki，可以参考：XSS；
7.研究Windows/Linux提权的方法和具体使用，可以参考：提权；
8.可以参考: 开源渗透测试脆弱系统；
1周
关注安全圈动态
关注安全圈的最新漏洞、安全事件与技术文章。通
1.过SecWiki浏览每日的安全技术文章/事件；
通过Weibo/twitter关注安全圈的从业人员（遇到大牛的关注或者好友果断关注），天天抽时间刷一下；
2.通过feedly/鲜果订阅国内外安全技术博客（不要仅限于国内，平时多注意积累），没有订阅源的可以看一下SecWiki的聚合栏目；
4.养成习惯，每天主动提交安全技术文章链接到SecWiki进行积淀；
5.多关注下最新漏洞列表，推荐几个：exploit-db、CVE中文库、Wooyun等，遇到公开的漏洞都去实践下。
6.关注国内国际上的安全会议的议题或者录像，推荐SecWiki-Conference。
3周
熟悉Windows/Kali Linux
学习Windows/Kali Linux基本命令、常用工具；
1.熟悉Windows下的常用的cmd命令，例如：ipconfig,nslookup,tracert,net,tasklist,taskkill等；
2.熟悉Linux下的常用命令，例如：ifconfig,ls,cp,mv,vi,wget,service,sudo等；
3.熟悉Kali Linux系统下的常用工具，可以参考SecWiki,《Web Penetration Testing with Kali Linux》、《Hacking with Kali》等；
4.熟悉metasploit工具，可以参考SecWiki、《Metasploit渗透测试指南》。
3周
服务器安全配置
学习服务器环境配置，并能通过思考发现配置存在的安全问题。
1.Windows2003/2008环境下的IIS配置，特别注意配置安全和运行权限，可以参考：SecWiki-配置；
2.Linux环境下的LAMP的安全配置，主要考虑运行权限、跨目录、文件夹权限等，可以参考：SecWiki-配置；
3.远程系统加固，限制用户名和口令登陆，通过iptables限制端口；
4.配置软件Waf加强系统安全，在服务器配置mod_security等系统，参见SecWiki-ModSecurity；
5.通过Nessus软件对配置环境进行安全检测，发现未知安全威胁。
4周
脚本编程学习
选择脚本语言Perl/Python/PHP/Go/Java中的一种，对常用库进行编程学习。
1.搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime，一些Sublime的技巧：SecWiki-Sublime；
2.Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完；
3.用Python编写漏洞的exp，然后写一个简单的网络爬虫，可参见SecWiki-爬虫、视频；
4.PHP基本语法学习并书写一个简单的博客系统，参见《PHP与MySQL程序设计（第4版）》、视频；
5.熟悉MVC架构，并试着学习一个PHP框架或者Python框架（可选）；
6.了解Bootstrap的布局或者CSS，可以参考：SecWiki-Bootstrap;
3周
源码审计与漏洞分析
能独立分析脚本源码程序并发现安全问题。
1.熟悉源码审计的动态和静态方法，并知道如何去分析程序，参见SecWiki-审计；
2从Wooyun上寻找开源程序的漏洞进行分析并试着自己分析；
3.了解Web漏洞的形成原因，然后通过关键字进行查找分析，参见SecWiki-代码审计、高级PHP应用程序漏洞审核技术；
4.研究Web漏洞形成原理和如何从源码层面避免该类漏洞，并整理成checklist。
5周
安全体系设计与开发
能建立自己的安全体系，并能提出一些安全建议或者系统架构。
1.开发一些实用的安全小工具并开源，体现个人实力；
2.建立自己的安全体系，对公司安全有自己的一些认识和见解；
3.提出或者加入大型安全系统的架构或者开发；
4.看自己发展咯~