小迪WEB渗透黑客培训第十期系列教程【二十五天完整版】

软考考证

课程简介

《小迪WEB渗透黑客培训第十期系列教程【二十五天完整版】》小迪WEB渗透黑客培训第十期系列教程【二十五天完整版】【技能收获】学完可掌握：Java 后端开发、Vue / 前端工程化、Linux 运维、网络安全 / CTF、MySQL / 数据库。课程以实战为导向，覆盖从基础概念到完整项目落地的关键步骤，配套章节笔记便于课后复盘与面试前快速回顾。【学习建议】建议按目录顺序学习，先打基础再进入综合实战章节；每完成 2～3 节可结合笔记整理一份学习小结，最终尝试独立复现一套完整 Demo 写入个人作品集。【就业发展】可面向岗位：Linux 运维工程师、SRE、云计算工程师、DevOps 工程师。云原生

已有 0 人浏览发布 2026-09-16 更新 2026-09-17

小迪这个系列流传的版本不少，第十期这套“二十五天完整版”算是其中结构比较清晰的一版。它的定位不是速成工具课，而是一条从 Web 基础一路推到渗透实战的推进线——前十天搭认知底盘，中段密集过漏洞类型，后段把零散手法串进完整靶场流程。下面按我翻课纲后的判断，挑几处值得花时间的和几处可以加速看的地方说。

课纲含金量：它到底在教什么

这套课的主线是 Web 渗透，但起点放在了对 HTTP、请求响应、前后端交互这些底层机制的理解上，而不是上来就丢工具。这一点对自学的人是好事：很多人卡在“会用 Burp 但说不清为什么这样改包”的阶段，前期把协议和站点结构讲透，后面打漏洞才不是照葫芦画瓢。中段覆盖的漏洞类型是渗透入门的标准菜单——注入、文件包含、上传、跨站这类经典面，讲法偏手动验证思路，工具只作为辅助出现，符合“先懂原理再谈效率”的教学逻辑。后段进入综合场景，把单个漏洞放进有防护、有干扰的真实站点环境里，这才是这套课和其他拼凑版最大的区别。

哪些章节值得精看

协议与站点结构部分：不急，建议反复看。后面所有抓包改包的操作都建立在这块的理解上，跳过它等于把后面的内容变成死记硬背。
注入与文件类漏洞：这是渗透的基本功，课里给的验证路径比结论更有价值，重点看“怎么判断这里存在、怎么构造、怎么确认成功”这条链。
综合靶场推进段：信息收集到权限落地的完整串联，是全课最该慢看的部分，建议跟着做一遍再对照复盘。

可以加速的部分是环境搭建和工具安装类内容，这些属于操作步骤，看一遍记下坑点即可，不必逐帧跟。

资料包怎么拆开用

这套资源的用法不该是“从头播到尾”。我的建议是三层拆：视频层负责理解思路和演示过程，看的时候只记关键判断点，不抄命令；笔记层用来做复盘对照，学完一章回头看笔记，补上自己当时没懂的地方；实操层是真正沉淀能力的地方，每学完一类漏洞，自己在本地或靶场环境独立复现一次，能独立跑通才算过关。三层混着用，比单纯刷视频效率高得多。

适合谁，以及怎么排进度

如果你已经有基本的网络和系统概念，这套课能帮你把零散知识收拢成一条渗透思路线；如果你完全零基础，建议先补一点 Linux 和 HTTP 常识再进。二十五天的量不算轻，但也不必严格按天卡——按“一类漏洞吃透再走下一类”的节奏推进，比追进度更重要。判断自己有没有学进去的标准很简单：给你一个陌生站点，你能不能说出从哪一步开始、下一步查什么。能答上来，这课就没白看。

小迪WEB渗透黑客培训第十期系列教程【二十五天完整版】

课程推荐

视频目录（88 节）

* 1.html语言基础补习（表单，跳转，处理）

* 2.asp,php脚本编程基础补习（注释符，接受函数，编写规则，处理函数）

* 3.sql语言基础补习（查询，插入，修改更新等）

* 5.实例自己写sql注入测试页面

* 6.实例自己写后门小马，大马

* 1.搭建asp,php,aspx等环境（软件包，集成包，IIS，apache，tomcat等环境）

* 2.了解常见的搭建组合（asp+access，asp+mssql等）

* 3.学习常见数据库和网站应用（iis6.0 7.0 apache等）

* 4.分析数据库和网站信息传递过程，了解web服务流程（sql数据和网站调用）

* 5.HTTP数据包分析（请求行，状态行，相应码等）

* 1.实例sql注入原理分析

* 2.实例手工注入asp+access全过程

* 3.实例手工注入asp+mssql全过程

* 4.实例工具注入（啊D，明小子，穿山甲，sqlmap）

* 5.实例php+mysql5注入（密码猜解）

* 6.实例php+mysql5注入（文件读取）

* 7.实例php+mysql5注入（文件导出）

* 8.网站路径查找（爆路径，遗留文件等）

* 9.实例php+mysql5.0以下注入入侵思路

* 10.实例jsp+orcle注入（手工+工具）

* 11.实例java，strust等漏洞利用

* 12.实例其他数据库注入（postsql，db2等）

* 13.实例cookie注入 post注入

* 14.代码审计注入漏洞产生原理

* 15.access偏移注入

* 16.access跨库注入

* 17.xml实例注入原理和攻击演示

* 18.宽字节(搜索)注入

* 19.xpath注入

* 20.盲注产生和利用

* 21.数字，字符，搜索注入

* 22.关于扫描器注入利用

* 22.绕过防注入继续注入（waf拦截，关键字拦截，函数拦截等）

* 23.其他类似复杂注入问题

* 8.实例编辑器漏洞eweb一般流程

* 9.实例编辑器漏洞eweb密码破解不出的突破

* 10.实例编辑器漏洞eweb本地构造

* 11.实例编辑器漏洞eweb目录遍历漏洞

* 12.实例编辑器漏洞fck一般流程

* 13.实例编辑器漏洞fck突破“.”变“_”

* 14.实例编辑器漏洞fck_exp漏洞利用

* 15.其他编辑器综合利用

* 1.学习反射型xss，存储型xss，demo等

* 2.实例如何利用各类xss

* 3.实例xss漏洞盗取cookie

* 4.实例xss漏洞post表单（表单劫持，网站引流，各类xss作弊网赚等）

* 5.实例xss黑吃黑webshell箱子（单页面xss入侵思路，网赚xss订单偷取等）

* 6.xss实例中的限制和绕过（字符限制，长度限制，编码绕过，其他函数等）

* 7.csrf+xss攻击演示和利用

* 8.xss+msf实例演示劫持个人pc

* 9.xss专业神器工具介绍和使用（xsser，beff）

* 10.各类xss扫描工具介绍和利用

* 11.代码审计中的xss漏洞挖掘修复

* 1.实例演示文件包含（远程包含，本地包含原理分析）

* 2.关于命令执行漏洞（代码函数分析）

* 3.实例本地，远程文件包含获取webshell

* 4.实例命令执行获取权限

* 5.文件包含，命令执行隐藏后门利用

* 6.dedecms，thinkphp，phpcms等cms程序类似漏洞分析和利用

* 7.变量覆盖，变量喂养漏洞分析利用（dedecms演示）

* 8.关于相关漏洞函数功能分析

* 1.常见网站cms判断和识别（whatweb等工具使用）

* 2.常见网站后台查找（学习短文件漏洞，目录爬行，目录扫描，谷歌黑客等）

* 3.常见网站漏洞查找（各大漏洞网站介绍，各种漏洞影响说明）

* 4.常见大型网站渗透思路（端口，分站，报错等）

* 4.数据脱裤，源码打包等方法解析（工具，脚本分析）

* 4.服务提权（ftp提权，mssql提权等）

* 3.编码中的base64注入演示

* 4.过防护一句话木马分析

* 5.windows工具：sqlmap，wvs，burpsuite，appscan等工具使用和问题（如何利用不认识的漏洞报告，各个扫描器优缺点）

* 1.后台拿shell（上）_数据库备份，文件格式修改，插入一句话

* 3.后台拿shell（下）_ecshop,dedecms,dz，phpcms，WordPress等cms拿shell等

* 1.实例渗透windows，linux命令学习

* 2.实例可读可写目录查找脚本篇

* 3.系统脚本权限设置和脚本程序应用日志

* 4.关于提权日志清除，日志恢复

* 12.关于远控软件在提权中的利用

* 13.内网环境下的提权（LCX转发，内网转发，端口映射等）

* 14.提权中各类组件支持理解（ws组件，数据库组件，系统组件等）

* 15.三类提权总结（windows，linux，虚拟星外主机等）

* 16.如何寻找更多更全的提权exp

* 1.代码审计sql注入漏洞（接受值跟踪，接受方式判断，接受值处理）

* 2.如何查找，如何修复sql注入漏洞

* 3.相关修复函数学习和理解

* 1.代码审计xss跨站漏洞（接受值跟踪，接受方式判断，接受值处理）

* 2.如何查找，如何修复xss跨站漏洞

* 3.实例代码审计文件包含，命令执行，变量覆盖漏洞并修复（常规函数学习，安全函数解析）

* 4.如何查找，如何修复文件包含，命令执行，变量覆盖漏洞