學習代碼審計要熟悉三種語言，總共分四部分去學習。，編程語言。1.前端語言html/js/dom/元素的使用主要是為了挖掘xss漏洞。jquery主要寫一些涉及CSRF腳本或DOMXSS、JSON劫持等。2.后端語言的基本語法要知道，比如變量類型、常量、數組(python是列表、元組、字典)、對象、調用、引用等。，MVC設計模式要清晰，因為大部分目標程序都是基于MVC寫的，包括不限于php、python、java。不用寫，但一定能理解，要理解邏輯，知道哪些功能點可以寫，哪些漏洞可能會出現，便于挖掘常規漏洞，更方便挖掘邏輯漏洞。
弱口令。檢測Web網站的后臺管理用戶，以及前臺用戶，是否存在使用弱口令的情況。

Burpsuite這是一個可以用于攻擊Web應用程序的集成平臺。Burp套件允許一個攻擊者將人工的和自動的技術結合起來，以列舉、分析、攻擊Web應用程序，或利用這些程序的漏洞。各種各樣的burp工具協同工作，共享信息，并允許將一種工具發現的漏洞形成另外一種工具的基礎。

這篇文章內容關鍵詳細介紹WAF的一些基本概念。WAF是為維護根據Web程序運行而設計的，我們科學研究WAF繞開的目地一是協助安服工作人員掌握滲透檢測中的檢測方法，二是可以對安全機器設備生產商出示一些安全提議，立即修補WAF存有的安全難題，以提高WAF的完備性和抗攻擊能力。三是期待網站開發人員搞清楚并并不是布署了WAF就可以無憂無慮了，要搞清楚系統漏洞造成的直接原因，能在代碼方面上就將其修補。
一、WAF的界定WAF(網站web運用服務器防火墻)是根據實行一系列對于HTTP/HTTPS的安全策略來為Web運用保護的一款安全防護產品。通俗化而言就是說WAF產品里融合了一定的檢測標準，會對每一請求的內容依據轉化成的標準開展檢測并對不符安全標準的做出相匹配的防御解決，進而確保Web運用的安全性與合理合法。

Nikto可以在盡可能短的周期內測試你的Web服務器，這在其日志文件中相當明顯。不過，如果你想試驗一下(或者測試你的IDS系統)，它也可以支持LibWhisker的反IDS方法。不過，并非每一次檢查都可以找出一個安全問題，雖然多數情況下是這樣的。有一些項目是僅提供信息(“info only” )類型的檢查，這種檢查可以查找一些并不存在安全漏洞的項目，不過Web管理員或安全們并不知道。這些項目通常都可以恰當地標記出來。為我們省去不少麻煩。
很多想要對自己的網站或APP進行漏掃服務的話可以咨詢的網站安全漏洞掃描公司來做，因為檢測的服務都是人工手動進行測試對每個功能進行多個方面的審計。
http://www.bathroomsetup.com