都说学习web安全渗透相对简单，但前景如何呢？
如果是零基础学习网络安全行业，不论在哪个机构都会建议大家从web安全学起，再根据自己的个人能力进一步深入选择方向。毕竟，web安全方向是相对于整个网络安全行业来说难度是相对比较低的，对于初学者来说是比较容易入手的。
可能在这里，大家会担心如果单方面只学web安全渗透安全方向，薪资会不会不高，没什么发展前景。
事实上并非如此，web安全渗透的发展前景是相当广阔的，可谓是一片蓝海！为什么这么说呢？
因为，现阶段，爆发安全问题最多的就是web安全，大部分攻击都是从web安全入手的。例如：内网渗透、工控安全都要依托于web安全。所以，web安全在整个网络安全行业攻击中起着特别关键的作用。
毕竟，web安全渗透岗位的主要职能就是保护网站不会被黑客利用恶意代码来盗取内部数据让访问者受到攻击。
据MarketsandMarkets预估，渗透测试市场将以23.7%的复合年增长率从年的5.亿美元增长至年17.亿美元。
也正是由于渗透测试的迅速发展，物联网和BYOD自带设备对安全的需求急剧增长，再加上网络和基于云的业务应用的部署剧增。Web安全渗透的就业前景可以说在整个网络安全行业中，缺口占比是非常大的。
因此，web安全渗透岗位的薪资情况也是非常可观的，一般月薪范围都在10-30k左右。
那么，重点来了，学习web安全要如何达到企业的用人标准呢？
01、熟练掌握HTTP基础
而关于HTTP，你必须要弄明白HTTP/HTTPS特点及工作流程、HTTP协议（请求篇、响应篇）、了解HTML、CSS、Javascript、Get/Post的区别以及Cookie/Session是什么？
02了解如下专业术语的意思
例如：Webshell、菜刀、0day、SQL注入、上传漏洞、XSS、CSRF、木马等等。
03熟悉专业黑客工具使用
例如：Vmware安装、Windows/kali虚拟机安装、Phpstudy、LAMP环境搭建漏洞靶场、Java、Python环境安装、子域名工具Sublist3r、Sqlmap、Burpsuite、Nmap、W3af、Nessus、Appscan、AWVS
04掌握多种XSS漏洞类型
反射型XSS：可用于钓鱼、引流、配合其他漏洞，如CSRF等。
存储型XSS：攻击范围广，流量传播大，可配合其他漏洞。
DOM型XSS：配合，长度大小不受限制。
05了解SQL注入
SQL注入漏洞原理：SQL注入漏洞对于数据安全的影响、SQL注入漏洞的方法、常见数据库的SQL查询语法、MSSQL,MYSQL,ORACLE数据库的注入方法。
SQL注入漏洞的类型：数字型注入、字符型注入、搜索注入、盲注(sleep注入)、Sqlmap使用、宽字节注入。
SQL注入漏洞修复和防范方法、以及SQL注入漏洞检测工具的使用方法。
06熟练掌握文件上传漏洞流程来进行分析
1.客户端检测绕过（JS检测）
2.服务器检测绕过（目录路径检测）
3.黑名单检测
4.危险解析绕过攻击
5..htaccess文件
6.解析调用/漏洞绕过
7.白名单检测
8.解析调用/漏洞绕过
9.服务端检测绕过-文件内容检测
10.Apache解析漏洞
11.IIS解析漏洞
12.Nginx解析漏洞
07了解文件包含漏洞
例如：include()include_once()require()require_once()fopen()readfile()这些php函数是如何产生文件包含漏洞,本地包含与远程包含的区别，以及利用文件包含时的一些技巧如：截断/伪url/超长字符截断等。
08了解命令执行漏洞
例如:PHP代码中常见的代码执行函数eval(),assert(),preg_replace(),call_user_func(),call_user_func_array(),create_function(),array_map()等。了解这些函数的作用然后些搞清楚如何造成的代码执行漏洞。
09会分析CSRF跨站点请求
例如：为什么会造成CSRF，GET型与POST型CSRF的区别,如何防御使用Token防止CSRF？
熟练了解以下逻辑漏洞的类型原理并进行利用
信息轰炸、支付逻辑漏洞、任意密码修改、越权访问、条件竞争、任意注册、任意登录、顺序执行缺陷、URL跳转漏洞.
了解XEE漏洞（XML外部实体注入）
当允许XML引入外部实体时，通过构造恶意内容，可以导致文件读取、命令执行、内网探测等危害。
了解SSRF漏洞的作用、原理及危害
当我们在进行Web渗透的时候是无法访问目标的内部网络的，那么这个时候就用到了SSRF漏洞，利用外网存在SSRF的Web站点可以获取如下信息。
1.可以对外网、服务器所在内网、本地进行端口扫描，获取一些服务的banner信息;
2.攻击运行在内网或本地的应用程序（比如溢出）;
3.对内网Web应用进行指纹识别，通过访问默认文件实现;
4.攻击内外网的Web应用，主要是使用get参数就可以实现的攻击（比如struts2，sqli等）;
5.利用file协议读取本地文件等。
如果上述漏洞都掌握了，那么你就差不多达到企业的用人标准了。