OWASP TOP 10，学习下主流的扫描器、工具、和使用方法
一、了解系统原理，web功能系统了解
二、前端代码、后端程序设计入门
三、学会主流的安全技能原理&利用
四、学会主流漏洞的利用
五、掌握漏洞挖掘思路，技巧
零基础新手的第一步应该是：
Web前后端基础与服务器通信原理 的了解。
（所指前后端：H5、JS、PHP、SQL，服务器指：WinServer、Nginx、Apache等）
第二步：当下主流漏洞的原理与利用
此时才应该是SQL、XSS、CSRF等主流漏洞的原理与利用学习。
第三步：当下主流漏洞的挖掘与审计复现
学习前人所挖0day的思路，并且复现，尝试相同审计
第一步，搭环境。
一键化的phpstudy或lnmp不急着使用，先自己手动配，进行配置文件的关联时，你能很好的明白Web中各个零件、齿轮的供应链、运行机制、工作原理。
第二步，实战去学习。
到技能关卡，就要去实战了，当然不能直接胡乱黑，未经授权必违法！
但也不推荐去做CTF，坦白来讲，当下的CTF少有适合新手学习的。
因为题目是基本不贴近实战的，逻辑结构并不合理，而且出题手十有八九是学生，并没有从教育出发的意义，只是比赛、竞技。
那咋办捏？不让实战又不推荐做CTF。
这个时候，要挑选适合的靶场去进行练习。当下官方的靶场虽然只有几个，民间团体的、开源的却遍地爬。寻找像SQLI-LAB这样的带“体系化”的靶场去进行练习、实战。
第二点五步，SRC。
这个时候再进行SRC的实战吧，挖真站，交漏洞。验证漏洞利用的能力。同时SRC和CNVD也是简历上不错的加分项。
第三步，从技术分享帖（漏洞挖掘类型）学习
观看学习近十年所有0DAY挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维。
