Ctf-concept

从数据库与 SQL 语法入手解释注入成因，梳理联合查询、报错注入、盲注、HTTP 头注入和 sqlmap 的使用场景及相应防御思路。

从会话、Cookie 和浏览器安全机制入手，解释 XSS 的成因与主要类型，梳理载荷构造、实际危害、蠕虫传播及输入输出防护方法。

梳理命令执行漏洞的成因、远程代码执行与系统命令执行的区别，介绍常见函数、命令拼接、过滤绕过、典型场景、排查方法与防御思路。

介绍 PHP 文件包含机制、本地与远程文件包含的触发条件，结合常见利用方式和封装协议说明风险边界、排查方法、实战注意事项与防御措施。

从 Web 的起源与技术架构出发，梳理静态到动态站点的攻击面变化、网络安全发展脉络及典型安全事件，为后续漏洞学习建立全局视角。

从万维网和网络基础讲起，介绍 URL、HTTP 版本、请求方法、状态码及请求响应过程，为理解 Web 漏洞与后续靶场练习建立协议基础。

接续 HTTP 协议基础，拆解请求与响应报文、常见首部字段及 HTTPS 的传输保护机制，并从协议特性出发归纳相关攻击面与加固要点。

接续 Web 安全综述上篇，概览常见 Web 漏洞的成因、利用与防护，并比较 OWASP Top 10 在 2017 与 2021 两版中的风险分类变化。