1．网络安全：

不因偶然或者恶意的破坏、更改、泄露，系统能连续、可靠正常的运行，服务不中断，在网络环境下能够识别和消除不安因素的能力

2．OWASP

3．黑客术语：

弱口令：密码强度不够
WebShell：asp、php、jsp、cgi等网页形式存在一种命令执行环境，一种网页后门。得到一个命令执行环境达到服务器的目的
    特点：隐蔽性强，功能强大，穿越防火墙，无系统日志（在中间件中保留日志）
    分类：
        大码：功能齐全，大量脚本语言建立体积庞大
        小码：一句话代码，依赖管理软件
木马：表面上伪装成正常程序获得系统权限
    木马和病毒的区别：
    木马：伪装潜伏，等待链接
    病毒：破坏，索取资金为主
后门：在获取权限后，编写程序为日后联结获取电脑权限做准备
内网：通俗，局域网
外网：直接联入Internet，IP地址不是保留内网IP地址
端口：用于接收某些数据，提供相应服务，一般一个端口对应一个服务
远控：通过计算机网络异地拨号或双方接入Internet等手段，连同需被控制的计算机，通过本地计算机对远程计算机进行控制修改
免杀：通过加壳，加密、花指令等躲避杀毒软件
提取：操作系统地权限用户提升为管理员权限

4．渗透测试：

模拟恶意黑客攻击网站进行评估计算机网络系统的安全
白盒测试：有域名，代码审计，资产清单（应用文件配置，应用部署情况）
黑盒测试：只有域名进行渗透测试
渗透测试的步骤：

1．信息收集

2．威胁建模

3．渗透测试

4．后渗透测试：（拿到WebShell为一个简易标准）

5．渗透测试工具：

1．信息搜集
    A．Nmap：探测计算机网络上的主机和服务的一种安全扫描器
    B．御剑：网站后台扫描工具
    C．Google hack（google高级搜索）
    D．Maltego：专业数字取证软件
    E．Whois查询：查询一个域名是否已经被注册，以及域名注册后的详细信息
    F．Kail Linux：基于Debian的Linux（7）发行版本，用于数字取证
    常用网站：
        Google
        Baidu
        www.exploit-db.com    英文不收费
        www.seebug.net        中文收费
        www.shadon.io        专门搜索企业的信息资产
        www.zoomeye.org
        X情报社区
2．漏洞扫描
    A．AWVS：自动化Web应用程序安全测试工具
    B．H3C WebScan：Web应用风险深度扫描工具
    C．AppScan：自动评估扫描，检测，所有常见Web应用程序漏洞
    D．Netsparker：综合性Web应用安全漏洞扫描工具，分专业和免费版
    E．Nessus：目前最常用的系统漏洞扫描分析软件
    F．巡风：企业内网漏洞快速应急，扫描系统
3．漏洞利用
    A．中国菜刀：专业的网站管理软件
    B．Sqlmap：开放源码的渗透测试工具，自动探测和利用Sql漏洞来接管数据库
    C．啊D：注入验证利用工具，目前Sql中比较好用的
4．综合平台
    A．BurpSuite：针对Web应用程序的集成平台
    B．Metasploit：开源的安全漏洞检测工具