通过这几年从事Web渗透行业的经验，对没有编程基础或者转行的零基础小白应该如何学习Web渗透，制定以下学习路线：

一. Web渗透基础

1. 学习Web渗透第一步需要了解我国网络安全法，在网络安全法中明确规定，非法入侵他人网站、计算机都是违反了刑法，需要承担相应的责任。

2. 第二步，再来学习什么是渗透，渗透的流程，网站是如何运行起来的，涉及到了哪些层次，以及一些相关的术语。这是你学习Web渗透的开始，了解了web渗透相关概念过后，表示你正式迈入Web渗透。

二. 信息收集

1. 从渗透的流程第一步开始，学习信息的概念、该收集哪些信息。

2. 掌握信息收集的常用方式，如：域名相关信息收集，服务器相关信息收集，CMS系统、框架类信息收集，网站后台、敏感目录与文件收集。在这些信息的收集过程中，需要运用到众多技巧甚至配合社工手段。都需要熟练掌握这些技巧。

三. SQL注入

1. 从渗透的流程第二步开始，学习漏洞的原理、利用、修复与挖掘。了解OWASP-TOP10漏洞，从SQL注入开始学习漏洞挖掘。

2. 熟练掌握使用Burpsuite工具的使用，熟悉http协议的请求与响应。

3. 熟悉SQL注入中常用的SQL语句、函数。

4. 了解SQL注入原理，熟悉各种类型的注入的原理，注入方式，payload。

5. 靶场环境实战各种类型的手工注入方式。

四. 暴力破解与枚举

1. 了解弱口令的概念，了解暴力破解漏洞与枚举漏洞。

2. 了解常见服务与端口，学会爆破常见服务的弱口令。

3. 学会使用Burp抓取http登陆验证表单请求，并分析是否会存在暴力破解的漏洞或者用户枚举漏洞。

4. 收集整理自己的常用爆破字典

5. 靶场环境练习爆破与枚举

五. 上传漏洞

1. 了解上传漏洞的概念，出现场景，危害。

2. 了解一句话木马、小马、大马，学习免杀一句话的编写。

3. 学习webshell管理工具的使用方法，代理设置，编码器，插件运用。

4. 针对不同场景的上传点，学会如何突破上传。

5. 熟悉常见的解析漏洞。

6. 靶场环境练习上传漏洞操作。

六. 包含漏洞

1. 了解包含漏洞的概念，原理，利用方式

2. 学习包含日志文件getshell姿势，条件

3. 学习包含图片木马、及一些其他可上传后缀包含getshell姿势

4. 学习包含session文件getshell姿势，条件

5. 靶场环境练习

七. XSS

1. 了解XSS漏洞的概念，原理，利用方式。

2. 学习javascript基础知识

3. 学习xss payload构造

4. 学习xss平台的使用以及xss获取cookie无密码登陆方式

5. 靶场环境练习

八. CSRF

1. 了解CSRF漏洞概念，原理，利用方式

2. 学会使用burp插件生成 csrf poc

3. 学会csrf+xss组合方式的利用

4. 靶场环境练习

九. 逻辑漏洞

1. 了解逻辑漏洞的概念

2. 学习逻辑漏洞之越权

3. 学习逻辑漏洞之登陆、注册处漏洞

4. 学习逻辑漏洞之商城购买处漏洞

5. 学习逻辑漏洞之密码重置处漏洞

6. 学习逻辑漏洞之验证码处漏洞

7. 靶场环境练习

十. XXE

1. 了解XXE漏洞的概念、原理、利用方式

2. 了解XML基本语法

3. 了解XXE payload的构造

4. 靶场环境练习

十一. Bypasswaf

1. 了解软硬waf的分类，工作原理，防护机制

2. 学习Bypasswaf目录扫描技巧

3. 学习Bypasswaf文件上传技巧

4. 学习Bypasswaf sql注入技巧

5. 学习Bypasswaf 包含漏洞技巧

6. 学习Bypasswaf xss技巧

十二. 内网渗透

1. 学习内网信息收集手段

2. 学习windows、linux基础命令

3. 学习提权手法

4. 熟练掌握MSF的使用

5. 熟练掌握CS的利用

6. 学习内网维权、域渗透手法

十三. 学习方法

1． 把老师课上讲的技巧、手段都学会过后，再去本地靶场、靶机实战，养成记笔记的习惯

2． 对于每一个漏洞，一定要弄懂它的原理、利用方式、Bypass手法与修复手段。

3． 在后期，学会了这些渗透手法过后，再去选择一门编程语言来深入学习，推荐PHP或者Python。

4． 多看一些渗透安全文章，推荐的有freebuf、吐司、90sec等网站

5． 在SRC平台上挖掘漏洞增加实战经验

这个学习路线是给对初入web渗透的小白的，在学习过程中有什么问题需要咨询都可以私信我，看到都会给予解答的。