diff --git a/changelog/index.rst b/changelog/index.rst index db1b07f..2f4d5b8 100644 --- a/changelog/index.rst +++ b/changelog/index.rst @@ -5,11 +5,23 @@ Show Source? 别看了，加入我们吧 ;-) http://blog.knownsec.com/2012/02/knownsec-recruitment/ -<=2.0 ------ -2012-12-01创建，实际更早 +2.2 +--- -* 内部 +2014-03-09 + +* 新增 专业技能的几个章节，编码环境、爬虫进阶、调度、并发、数据结构、DevOps、调试、持续集成、协作 +* 新增 专业技能 - 优质资源 +* 新增 专业技能 - 牛人1,2,3 +* 改进 通用技能 - 新事物的敏感性，修改部分文字内容 +* 改进 通用技能 - 成长，增加、分类、完善该部分内容。增加了，提问的智慧、小事心态、任务拆分、方法论这些内容 +* 改进 通用技能 - 完成的定义，增加条目7 +* 改进 通用技能 - 好书推荐，增加、分类、完善该部分内容。 +* 改进 专业技能，归类调整内容以及顺序 +* 改进 专业技能的借个章节内容完善，Python、前端、数据库、算法 +* 改进 按约定规范英文大小写、标题等级、列表符号 +* 改进 提供FreeMind版本的打包下载 +* 删除 专业技能，多余的内容 2.1 ---- @@ -17,3 +29,9 @@ * 公开 * 用Sphinx维护该文档 + +<=2.0 +----- +2012-12-01创建，实际更早 + +* 内部 diff --git a/comm/index.rst b/comm/index.rst index 153e892..5d48856 100644 --- a/comm/index.rst +++ b/comm/index.rst @@ -11,7 +11,8 @@ * 公司是盈利性组织 * 个人和公司必须双赢 * 工作 - * 在认同公司理念且能够给公司创造足够价值的基础上，为个人发展而工作 + + + 在认同公司理念且能够给公司创造足够价值的基础上，为个人发展而工作 沟通、反馈、责任 ---------------- @@ -19,18 +20,18 @@ * 一个无沟通能力的人，要么是天才，要么是不可爱的人 * 反馈要及时 - * 避免出问题不反馈，影响进度 - * 方式 + + 避免出问题不反馈，影响进度 + + 方式 - * 正式的：邮件 - * 临时的：QQ等即时通信 - * 礼貌的：给个电话、短信 + - 正式的：邮件 + - 临时的：QQ等即时通信 + - 礼貌的：给个电话、短信 * 工作有大小，责任心无大小 * 周报的透明 - * 意义：大家互相了解工作与心得，有利于自己的判断与成长 - * 不是单纯的给领导汇报工作 + + 意义：大家互相了解工作与心得，有利于自己的判断与成长 + + 不是单纯的给领导汇报工作 任务四象限 ---------- @@ -43,29 +44,67 @@ 新事物的敏感性 -------------- -* 不跟进新的会落后的 -* 不要局限在国内这些人或者自己的圈子人物 -* Google Reader（默哀）订阅国内外优秀博客 +* 保持好奇心 +* 不要局限在自己的圈子，适当跨界吸收灵感 +* 订阅国内外优秀博客/资源，鲜果RSS阅读不错 + + + 英文很重要 + * 选择性参与一些必要的会议，听必要的主题，讨论必要的话题 成长 ---- -* 对新事物的渴望程度决定了前进动力的大小 -* 人要往前跑，还得往后看 -* 小事都做不好，无法做大事 -* 不要矫情，要理性 +* 对知识的渴望程度决定了前进动力的大小 + + + BT常说：「做人一定要狂热！」 + + 余弦说：「一定得贪婪！」 + +* 不要矫情，不要浮夸！ * 和比你厉害的人在一起，和一流的人工作 - * 指点往往是精华 - * 防止笨蛋爆炸 + + 指点往往是精华 + + 杜绝笨蛋爆炸 + + - 二流的人招进来的人不太可能是一流的 - * 二流的人招进来的人不太可能是一流的 * 思考 - * 批判性思考 - * 换位思考 + + 批判性思考 + + 换位思考 + +* 提问的智慧 + + + 遇到问题先独立思考，尽最大努力后再提问 + + http://www.wapm.cn/smart-questions/smart-questions-zh.html + +* 小事心态 + + + 越基础的事越关键，需要越细心 + + 不要一味盲目追求「高级感」，而忽视「小事」/「简单事」/「基础事」 + + 基础不牢、地动山摇 + + 小事做不好，别提大事 + +* 任务拆分 + + + 成长过程会经历：能力越大、责任越大、事情越多 + + 思路 + + - 拆分细化为多个点 + - 排好优先级 + - 加入时间维度：何时完成什么 + - 是否需要寻求帮助，谁能帮你，自己单干？ + - 任务是否可以切换/并发 + - 自己欠缺什么，立马发现 + +* 方法论 + + + 完成一件事有好几条途径，优秀的人的途径最短 + + 任务拆分很容易得出做事的方法论 + + 好的「方法论」会让你具备更强的「创造力」！ + + - 时刻问自己：「是否具备创造力？」 牛人姿态 -------- @@ -74,11 +113,11 @@ * 这种感觉只能意会 * 没有一定扎实内功与远见的人很少有这样的姿态 -**完成的定义** --------------- +完成的定义 +---------- 比如写个POC -^^^^^^^^^^^ +~~~~~~~~~~~ 1. 搞懂了目标Web应用漏洞的原理 2. 熟练运用Python各相关模块与机制 @@ -86,42 +125,49 @@ * HTTP请求 * HTTP响应 + 4. 代码写得够规范，让人看起来就是爽 5. 程序经过足够的测试 * 黑测试 * 白测试 + 6. 及时反馈进度 * 我遇到困难了 * 我搞定了 -**熟练的定义** --------------- +7. 更新相关文档，沉淀 + +熟练的定义 +---------- 比如熟练SQL注入 -^^^^^^^^^^^^^^^ +~~~~~~~~~~~~~~~ * SQL语句这门“语言”能脱离文档顺手写出 * 主流数据库的SQL特有函数、存储过程、机制我都了如指掌 - * MySQL - * MSSQL - * Oracle - * PostgreSQL - * Access - * SQLite - * ... + + MySQL + + MSSQL + + Oracle + + PostgreSQL + + Access + + SQLite + + ... + * 牛逼的工具我不仅用的顺其自然，源码还读过几遍，我能修改 - * sqlmap - * ... + + sqlmap + + ... + * 我具备创造性，而不仅仅是跟在大牛身后 - * 研究出了几个不错的技巧 - * 发了几篇不错的Paper - * 对外会议/沙龙等进行了几次分享 - * 写出了自己的相关工具，爽 + + 研究出了几个不错的技巧 + + 发了几篇不错的Paper + + 对外会议/沙龙等进行了几次分享 + + 写出了自己的相关工具，爽 + * 我实战了N回，遇到了很多奇葩环境，我有足够的信心绕过 * 以上这些之后，这才叫熟练！其他同理 @@ -129,64 +175,75 @@ -------- 推荐理由 -^^^^^^^^ +~~~~~~~~ * 打通任督二脉的书，怎能不看？ * 任何科学研究最终必须至少到哲学层面，触碰到上帝的脚 * 具体技术类书籍请见“专业技能”相关部分 +鸡汤类 +~~~~~~ + 黑客与画家 -^^^^^^^^^^ - -心得 -"""" -* 设计与研究 - - * 研究必须是“新”的，而设计必须是“好”的 -* 设计者的品味 - - * 好设计是简单的设计 - - * 抓住本质 - * 好设计是永不过时的设计 - - * 如果解决方法是丑陋的，那就肯定还有更好的解决方法，只是还没有发现而已 - * 好设计是解决主要问题的设计 - * 好设计是启发性的设计 - * 好设计通常是有点趣味性的设计 - * 好设计是艰苦的设计 - * 好设计是看似容易的设计 - * 好设计是对称的设计 - * 好设计是模仿大自然的设计 - * 好设计是一种再设计 - * 好设计是能够复制的设计 - * 好设计往往是奇特的设计 - * 好设计是成批出现的 - * 好设计常常是大胆的设计 +"""""""""" + +印象深刻：设计者的品味 + +* 好设计是简单的设计 + + + 抓住本质 + +* 好设计是永不过时的设计 + + + 如果解决方法是丑陋的，那就肯定还有更好的解决方法，只是还没有发现而已 + +* 好设计是解决主要问题的设计 +* 好设计是启发性的设计 +* 好设计通常是有点趣味性的设计 +* 好设计是艰苦的设计 +* 好设计是看似容易的设计 +* 好设计是对称的设计 +* 好设计是模仿大自然的设计 +* 好设计是一种再设计 +* 好设计是能够复制的设计 +* 好设计往往是奇特的设计 +* 好设计是成批出现的 +* 好设计常常是大胆的设计 浪潮之巅 -^^^^^^^^ +"""""""" -* 感受IT帝国的崛起与没落，我们现在站在又一个互联网浪潮之巅 +感受IT帝国的崛起与没落，我们现在站在又一个互联网浪潮之巅 -产品经理 -^^^^^^^^ +洁癖类 +~~~~~~ -* 人人都是产品经理 -* 结网 +* 重构 +* 代码整洁之道 +* 代码大全2 +* 数学之美 + +敏捷类 +~~~~~~ -高效程序员的45个习惯 -^^^^^^^^^^^^^^^^^^^^ +* Rework中文版 -代码大全2 -^^^^^^^^^ + + 37signals团队的敏捷经验 + +* 高效程序员的45个习惯 + +产品类 +~~~~~~ + +* 人人都是产品经理 +* 结网 神书 -^^^^ +~~~~ * 自私的基因 * 失控 * 万物由来 ... -^^^^ +~~~ diff --git a/conf.py b/conf.py index 5830eda..d3a06d0 100644 --- a/conf.py +++ b/conf.py @@ -48,9 +48,9 @@ # built documents. # # The short X.Y version. -version = 'V2.1' +version = 'V2.2' # The full version, including alpha/beta/rc tags. -release = 'V2.1' +release = 'V2.2' # The language for content autogenerated by Sphinx. Refer to documentation # for a list of supported languages. diff --git a/contribute/index.rst b/contribute/index.rst index c5a543b..9b2f295 100644 --- a/contribute/index.rst +++ b/contribute/index.rst @@ -5,7 +5,8 @@ Show Source? 别看了，加入我们吧 ;-) http://blog.knownsec.com/2012/02/knownsec-recruitment/ -* by @知道创宇(www.knownsec.com) 余弦（新浪：@余弦） +* by 余弦 +* by 行之 * by Knownsec Team 致谢 diff --git a/download/Knownsec_RD_Checklist.zip b/download/Knownsec_RD_Checklist.zip new file mode 100644 index 0000000..55aca0e Binary files /dev/null and b/download/Knownsec_RD_Checklist.zip differ diff --git a/download/web_component.png b/download/web_component.png new file mode 100644 index 0000000..e554920 Binary files /dev/null and b/download/web_component.png differ diff --git a/download/webapp_sec_structure.pptx b/download/webapp_sec_structure.pptx deleted file mode 100644 index 7b93dba..0000000 Binary files a/download/webapp_sec_structure.pptx and /dev/null differ diff --git a/intro/index.rst b/intro/index.rst index 307e8b9..40fefbb 100644 --- a/intro/index.rst +++ b/intro/index.rst @@ -6,6 +6,7 @@ http://blog.knownsec.com/2012/02/knownsec-recruitment/ * 本技能表为知道创宇研发工程师必备技能 -* 聪明的人会根据每个tip进行自驱动扩展 +* 聪明的人会根据每个Tip进行自驱动扩展 * 不聪明的，坐等别人手把手的人请绕行，不仅不适合知道创宇，也不适合任何有Geek精神的公司 * 附件标志是我们推荐的附加资源，感谢资源提供者 +* :download:`知道创宇研发技能表v2.2离线版打包下载 ` diff --git a/special/index.rst b/special/index.rst index b052139..26d47f4 100644 --- a/special/index.rst +++ b/special/index.rst @@ -5,412 +5,612 @@ Show Source? 别看了，加入我们吧 ;-) http://blog.knownsec.com/2012/02/knownsec-recruitment/ -**基础必备** ------------- +原则 +---- + +* 至少完整看完与练习好一本书 +* 至少过一遍官方文档 -人品第一 -^^^^^^^^ +基础必备 +-------- HTTP抓包与调试 -^^^^^^^^^^^^^^ +~~~~~~~~~~~~~~ * Firefox插件 - * Firebug/Firecookie + + Firebug/Firecookie + + - 抓包与各种调试 - * 抓包与各种调试 - * Tamper Data + + Tamper Data - * 拦截修改 - * Live HTTP Headers + - 拦截修改 - * 重放功能 - * HackBar + + Live HTTP Headers - * 编码解码/POST提交 - * Modify Headers + - 重放功能 + + + HackBar + + - 编码解码/POST提交 + + + Modify Headers + + + 修改头部 - * 修改头部 * Fiddler - * 浏览器代理神器 - * 拦截请求或响应 - * 抓包 - * 重放 - * 模拟请求 - * 编码解码 - * 第三方扩展 + + 浏览器代理神器 + + 拦截请求或响应 + + 抓包 + + 重放 + + 模拟请求 + + 编码解码 + + 第三方扩展 + + - Watcher - * Watcher + 1. Web前端安全的自动审计工具 - * Web前端安全的自动审计工具 * Wireshark - * 各种强大的过滤器语法 + + 各种强大的过滤器语法 + * tcpdump - * 命令行的类Wireshark抓包神器 + + 命令行的类Wireshark抓包神器 + * Python - * urllib2 + + urllib2 - * 打开请求响应调试 + - 打开请求响应调试 - * 编辑urllib2的do_open里的h.set_debuglevel - * 改为h.set_debuglevel(1)，这时可以清晰看到请求响应数据，包括HTTPS + 1. 编辑urllib2的do_open里的h.set_debuglevel + 2. 改为h.set_debuglevel(1)，这时可以清晰看到请求响应数据，包括HTTPS 什么是跳转 -^^^^^^^^^^ +~~~~~~~~~~ + +服务端跳转 +"""""""""" + +* 302 + + + -* 服务端跳转 +* 301 - * 302 + + - * - * 301 +* u = urllib2.urlopen(url)后，u.url能得到服务端跳转后的地址 - * - * u = urllib2.urlopen(url)后，u.url能得到服务端跳转后的地址 + + urllib2自己的特性 + + 所谓的会跟进去 - * urllib2自己的特性 - * 所谓的会跟进去 -* 客户端跳转 +客户端跳转 +"""""""""" - * +* - * htmlparse解析就行了 - * location.href = "http://evilcos.me"; + + htmlparse解析就行了 - * 正则（弱），JS引擎（王道） +* location.href = "http://evilcos.me"; + + + 正则（弱），JS引擎（王道） Python编码规范 -^^^^^^^^^^^^^^ +~~~~~~~~~~~~~~ + +编码规范 +"""""""" * :download:`PythonCodingRule.pdf ` +入门书 +"""""" + +Python核心编程2 + +* 第4章 Python对象 + + + 完整熟练 + +* 6.8 Unicode + + + 完整熟练 + +* 8.11 迭代器和iter()函数 + + + 完整熟练 + +* 第9章 文件的输入和输出 + + + 完整熟练 + +* 第10章 错误和异常 + + + 完整熟练 + +* 第11章 函数和函数式编程 + + + 完整熟练 + +* 第12章 模块 + + + 完整熟练 + +* 第14章 执行环境 + + + 完整熟练 + +* 第15章 正则表达式 + + + 完整熟练 + +* 第18章 多线程编程 + + + 完整熟练 + +* 20.2 使用Python进行Web应用：创建一个简单的Web客户端 + + + 完整熟练 + Office能力 -^^^^^^^^^^ +~~~~~~~~~~ * Word文档编写，看去要专业，尤其对外的 * Excel里面大量的统计、图表功能，需要善于使用 -* PPT演讲、培训等必备，如何做好PPT？百度一下... -* **进一步** +* PPT演讲、培训等必备，如何做好PPT？Google一下... +* 进一步 + + + yEd + + Visio + + Freemind + + - 本技能表就是这个制作 - * yEd - * Visio - * Freemind + + Sphinx -熟练VIM -^^^^^^^ + - 本技能表reStructuredText版本就是这个制作 + +熟练Vim +~~~~~~~ * 实战至少3回合：http://coolshell.cn/articles/5426.html 算法 -^^^^ +~~~~ * 快排 * 二分 正则表达式 -^^^^^^^^^^ +~~~~~~~~~~ * 调试工具 - * **Kodos** - * **RegexBuddy** + + Kodos + + RegexBuddy + + - 支持多种语言 + - 支持调试优化 - * 支持多种语言 - * 支持调试优化 - * **http://www.regexper.com/** + * http://www.regexper.com/ - * 正则图解 + + 正则图解 + +* 正则表达式30分钟入门教程：http://deerchao.net/tutorials/regex/regex.htm * http://wiki.ubuntu.org.cn/Python正则表达式操作指南 * :download:`regex/regularexpressions.pptx ` * :download:`regex/正则表达式引擎浅析.txt ` 研发能力 -^^^^^^^^ +~~~~~~~~ + +瀑布模型 +"""""""" + +* 需求 -> 需求分析 -> 设计 -> 开发 -> 测试 -> 上线 -> 运维/运营 + +需求分析能力 +"""""""""""" + +* 给你一个需求，如何给出一个优美的执行思路 +* 这个能力非常非常非常的关键 -* 瀑布模型 +调试能力 +"""""""" - * 需求 -> 需求分析 -> 设计 -> 开发 -> 测试 -> 上线 -> 运维/运营 -* **需求分析能力** +* 只要定位出，就没有解决不了的Bugs +* 肉眼看到的都是假象 - * 给你一个需求，如何给出一个优美的执行思路 - * 这个能力非常非常非常的关键 -* 调试能力 + + 一定要专业的工具与经验配合 - * 只要定位出，就没有解决不了的Bugs - * 肉眼看到的都是假象 +* Bugs在哪出现，最终就在哪进行真实模拟调试 +* 缩小范围 - * 一定要专业的工具与经验配合 - * Bugs在哪出现，最终就在哪进行真实模拟调试 - * 缩小范围 + + 构建自己的测试样例 - * 构建自己的测试样例 + - 排除网络复杂未知情况 - * 排除网络复杂未知情况 - * 关联模块一个个排除 - * Python单步调试 + + 关联模块一个个排除 + + Python单步调试 - * import pdb;pdb.set_trace() - * 在需要单步调试的地方加上面这句，运行程序后中断在此，然后h查看指令进行一步步细细调试 - * 粗暴调试：print -* 敏捷思想 + - import pdb;pdb.set_trace() + - 在需要单步调试的地方加上面这句，运行程序后中断在此，然后h查看指令进行一步步细细调试 - * 快速迭代 - * 任务拆细 - * 定义好V1的目标，快速完成V1为优先 - * 习惯Wiki记录，利于沉淀与分享 + + 粗暴调试：print + +敏捷思想 +"""""""" + +* 快速迭代 +* 任务拆细 +* v1原则：定义好v1的目标，快速完成v1为优先 +* 习惯Wiki记录，利于沉淀与分享 翻墙 -^^^^ +~~~~ * http://code.google.com/p/goagent/ * SSH隧道 - * http://www.ibm.com/developerworks/cn/linux/l-cn-sshforward/index.html - * 本地转发 + + http://www.ibm.com/developerworks/cn/linux/l-cn-sshforward/index.html + + 本地转发 - * ssh -L :: - * 远程转发 + - ssh -L :: - * 反弹 - * ssh -R :: - * 动态转发 + + 远程转发 - * ssh -D + - 反弹 + - ssh -R :: -kscomm -^^^^^^ + + 动态转发 -* 知道创宇的公共模块，精华 -* threadpool -* spider -* charsetck -* redirectck -* ... + - ssh -D -**原则** --------- +Web安全 +------- -* 至少完整看完与练习好一本书 -* 至少过一遍官方文档 +Web服务组件 +~~~~~~~~~~~ -Python ------- +8+1：一图胜千言哎:) -* 书 +.. image:: /download/web_component.png + +* 钟馗之眼 + + + 网络空间搜索引擎 + + 大数据，懂的人懂，不懂的人不懂 + + http://www.zoomeye.org + +* 组件具有影响面，越底层的组件影响面可能越大 + +安全维度 +~~~~~~~~ + +* 漏洞 +* 风险 +* 事件 + +Web安全标准 +~~~~~~~~~~~ + +* OWASP +* WASC +* 我们内部Wiki + +实战环境 +~~~~~~~~ + +XSS +""" + +* ks-xsslab_open（内部虚拟机） + + + 可以搞通 - * Python核心编程2 + - XSS + - CSRF + - ClickJacking - * 第4章 Python对象 +* http://xss-quiz.int21h.jp/ - * 完整熟练 - * 6.8 Unicode + + 答案：:download:`xss/xss_quiz.txt ` - * 完整熟练 - * 8.11 迭代器和iter()函数 +SQL +""" - * 完整熟练 - * 第9章 文件的输入和输出 +* https://github.com/Audi-1/sqli-labs - * 完整熟练 - * 第10章 错误和异常 + + SQLI-LABS is a platform to learn SQLI - * 完整熟练 - * 第11章 函数和函数式编程 +500多个WSL靶场 +"""""""""""""" - * 完整熟练 - * 第12章 模块 +渗透虚拟机/BT5/Kali +""""""""""""""""""" - * 完整熟练 - * 第14章 执行环境 +* 海量各类型黑客工具 - * 完整熟练 - * 第15章 正则表达式 +书 +~~ - * **完整熟练** - * 第18章 多线程编程 +* 黑客攻防技术宝典（Web实战篇） +* 白帽子讲Web安全 +* Web前端黑客技术揭秘 - * 完整熟练 - * 20.2 使用Python进行Web应用：创建一个简单的Web客户端 + + 余弦和xisigr自己出品 - * 完整熟练 - * 可爱的Python +* SQL注入攻击与防御 + +Papers +~~~~~~ + +* http://www.exploit-db.com/papers/ +* blackhat/defcon/国内各安全沙龙等Papers需要持续跟进 + +研发清单 +-------- + +编码环境 +~~~~~~~~ + +* pip +* Vagrant +* tmux/screen +* Vim +* zsh + oh-my-zsh +* Python2.7 +* >Django1.4 + + + http://djangobook.py3k.cn/2.0/ + +* web.py +* node.js +* Ubuntu/Gentoo/CentOS +* IPython +* 版本控制 + + + Git/SVN + + GitLab + +* Nginx + uWSGI + +Python +~~~~~~ - * 抽空品味下鸡汤是个不错的选择 * 官方手册 - * 至少过一遍，这都没过一遍，视野会局限 + + 至少过一遍，这都没过一遍，视野会局限 + + 行之说：「我没看过Python的书，却熟读官方手册……」 Linux ------ +~~~~~ * 书 - * :download:`Bash新手指南.pdf ` - * :download:`高级Bash脚本编程.pdf ` + + :download:`Bash新手指南.pdf ` + + :download:`高级Bash脚本编程.pdf ` + * :download:`bash快捷操作.txt ` * :download:`screen最佳实践.pdf ` * :download:`crontab格式详解.pdf ` 前端 ----- +~~~~ -* 书 +书 +"" - * JavaScript DOM编程艺术 -* 了解DOM +* JavaScript DOM编程艺术 - * 这同样是搞好前端安全的必要基础 -* 库 +了解DOM +""""""" - * jQuery +* 这同样是搞好前端安全的必要基础 - * 优秀的插件应该体验一遍，并做些尝试 - * 官方文档得过一遍 - * Bootstrap +库 +"" - * 应该使用一遍 - * Django +* jQuery - * http://djangobook.py3k.cn/2.0/ + * 优秀的插件应该体验一遍，并做些尝试 + * 官方文档得过一遍 -Web安全 -------- +* ECharts -WebApp分层 -^^^^^^^^^^ + + 来自百度 -* 第三方内容 +* Google API +* ZoomEye Map组件 - * 如：CNZZ, Google Ad, Mashup等 -* 前端框架 + + ZoomEye团队自己基于开源的打造 - * 插件体系 - * 如：jQuery, Bootstrap等 -* 应用本身 +* AngularJS - * 插件体系 - * 如：Discuz!, WordPress, Trac等 -* 开发框架 + + Google出品的颠覆性前端框架 - * 插件体系 - * 如：ThinkPHP, Django, Rails等 -* 支撑层 +* Bootstrap - * CGI语言 - * Web容器 - * 操作系统 -* :download:`Web应用安全结构.pptx ` + + 应该使用一遍 -安全维度 -^^^^^^^^ +爬虫进阶 +~~~~~~~~ -* 漏洞 -* 风险 -* 事件 +* 代理池 -Web安全标准 -^^^^^^^^^^^ + + 爬虫「稳定」需要 -* OWASP -* WASC -* 我们内部Wiki +* 网络请求 -实战环境 -^^^^^^^^ + + wget/curl + + urllib2/httplib2/requests + + scrapy -* XSS +* 验证码破解 - * ks-xsslab_open（内部虚拟机） + + pytesser - * 可以搞通 +调度 +~~~~ - * XSS - * CSRF - * ClickJacking - * http://xss-quiz.int21h.jp/ +* crontab是最原生的定时调度 +* 基于Redis实现的分布式调度 +* 基于RPyC实现的分布式调度 +* Celery/Gearman等调度框架 - * 答案：:download:`xss/xss_quiz.txt ` -* SQL +并发 +~~~~ - * https://github.com/Audi-1/sqli-labs +* 线程池 - * SQLI-LABS is a platform to learn SQLI -* 100多个WSL靶场 + + 进程内优美的并发方案 - * 渗透虚拟机/BT5/Kali +* 协程 - * 海量各类型黑客工具 + + 进程内另一种优美的并发方案 -书 -^^^^ +* 多进程 -* 黑客攻防技术宝典（Web实战篇） -* 白帽子讲Web安全 -* Web前端黑客技术揭秘 -* SQL注入攻击与防御 + + os.fork + + multiprocessing -Papers -^^^^^^ +数据结构 +~~~~~~~~ -* http://www.exploit-db.com/papers/ -* blackhat/defcon/国内各安全沙龙等Papers需要持续跟进 +* JSON +* cPickle +* protobuf -设计思想 --------- +数据库 +~~~~~~ -* 人人都是架构师——我还是一贯的想法 ;-) -* 实战出真知 -* 如何设计 +* MySQL +* MongoDB +* Cassandra +* Hadoop体系 +* Redis +* SQLite +* bsddb + +DevOps +~~~~~~ + +* SSH证书 +* Fabric +* SaltStack +* Puppet +* pssh/dsh + +调试 +~~~~ + +* pdb +* logging +* Sentry +* strace/ltrace +* lsof +* 性能 - * :download:`任务架构设计变迁.pptx ` - * 松耦合、紧内聚 - * 单元与单元属性 - * 生产者与消费者 - * 结构 - - * 队列 - * LRU - * 分布式 - - * 存储 - * 计算 - * 资源考虑 - - * CPU - * 内存 - * 带宽 - * 粗暴美学/暴力美学 - - * 大数据，先考虑run it（运行之），然后才能知道规律在哪 - * “run it优先”能快速打通整体，洞察问题 - * “run it优先”能摆脱细节（繁枝末节）的束缚 - * “run it优先”能快速迭代出伟大的V1 - * 一个字总结 - - * 美 -* 核心存储与计算 - - * MySQL - * MongoDB - * Cassandra - * Hadoop体系 - * Redis - * Memcached - * RabbitMQ - * Celery - * Gearman + + Python内 + + - timeit + - cProfile + - Python性能分析指南：http://www.oschina.net/translate/python-performance-analysis + + + Python外 + + - top/htop/free/iostat/vmstat/ifconfig/iftop... 算法 ----- +~~~~ * 分词 * 贝叶斯 * :download:`algorithm/贝叶斯.txt ` + * 神经元 * 遗传算法 +* 聚类/分类 * ... + +持续集成 +~~~~~~~~ + +* 自测试 + + + nose + +* Jenkins + +协作 +~~~~ + +* 类似Trello的在线协同平台 +* 微信 +* 立会 + +设计思想 +-------- + +* 人人都是架构师：具备架构思想是一件多酷的事 +* 实战出真知 +* 如何设计 + + + :download:`任务架构设计变迁.pptx ` + + 松耦合、紧内聚 + + 单元与单元属性 + + 生产者与消费者 + + 结构 + + - 队列 + - LRU + + + 分布式 + + - 存储 + - 计算 + + + 资源考虑 + + - CPU + - 内存 + - 带宽 + + + 粗暴美学/暴力美学 + + - 大数据，先考虑run it（运行之），然后才能知道规律在哪 + - “run it优先”能快速打通整体，洞察问题 + - “run it优先”能摆脱细节（繁枝末节）的束缚 + - “run it优先”能快速迭代出伟大的V1 + + + 一个字总结 + + - 美 + +优质资源 +-------- + +* 知乎周刊：http://zhuanlan.zhihu.com/Weekly +* 码农周刊：http://weekly.manong.io/ +* Pycoder's Weekly：http://pycoders.com/archive/ +* Hacker News：https://news.ycombinator.com/ +* Startup News：http://news.dbanotes.net/ +* 极客头条：http://geek.csdn.net/ +* InfoQ：http://www.infoq.com/cn +* Stack Overflow：http://stackoverflow.com/ +* GitHub：https://github.com/ +* FreeBuf：http://www.freebuf.com/ +* WooYun：http://drops.wooyun.org/ + +牛人1,2,3 +--------- + +* 1研究：研究东西，有足够洞察力，研究水准不错 +* 2研发：hack idea自己有魄力实现，不懂研发的黑客如同不会游泳的海盗 +* 3工程：研发出来的需要实战、需要工程化，否则只是玩具，而不能成为真的武器