我想学渗透测试，刚开始该看什么书呢？或者该怎么做？介绍一下！
这个要根据个人的实际情况来决定的，比如你先要去了解什么是渗透测试：
1、渗透测试属于信息安全行业，准确的说是网络计算机/IT行业
2、现在你知道了它的行业属性，那么你是否具备一些这个行业的知识呢?
3、具备的话学习起来比较简单，直接去学习渗透测试实战就行，不具备接着往下看
4、现在知道它行业属性，你大概就能清楚需要些什么样的基础知识了；下面是我从非计算机网络相关专业的同学想要学习渗透测试必须掌握的知识。
5、前期入门大概需要掌握或者说了解以下知识点：
1)了解基本的网络知识，例如什么是IP地址（63.62.61.123）去掉点是扣扣学习群，IP地址的基本概念、IP段划分、什么是A段、B段、C段等2）广域网、局域网、相关概念和IP地址划分范围。
3)端口的基本概念？端口的分类？
4)域名的基本概念、什么是URL、了解TCP/IP协议、
5)了解开放式通信系统互联参考模型（OSI）
6)了解http（超文本传输协议）协议概念、工作原理
7)了解WEB的静态页面和WEB动态页面，B/S和C/S结构
8)了解常见的服务器、例如、Windows server2003、Linux、UNIX等
9)了解常见的数据库、MySQL、Mssql、、Access、Oracle、db2等
10)了解基本的网络架构、例如：Linux + Apache + MySQL + php
11)了解基本的Html语言，就是打开网页后,在查看源码里面的Html语言
12)了解一种基本的脚本语言、例如PHP或者asp，jsp，cgi等
然后你想学习入门，需要学习以下最基础的知识：
1、开始入门学习路线
1)深入学习一种数据库语言，建议从MySQL数据库或者SQL Server数据库、简单易学且学会了。
其他数据库都差不多会了。
2)开始学习网络安全漏洞知识、SQL注入、XSS跨站脚本漏洞、CSRF、解析漏洞、上传漏洞、命令执行、弱口令、万能密码、文件包含漏洞、本地溢出、远程溢出漏洞等等
)工具使用的学习、御剑、明小子、啊D、穿山甲（Pangolin）、Sqlmap、burpsuite抓包工具等等
2、Google hacker 语法学习
3、漏洞利用学习、SQL注入、XSS、上传、解析漏洞等
4、漏洞挖掘学习
5、想成为大牛的话、以上都是皮毛中的皮毛，但前提是以上的皮毛都是最基础的。
6、Linux系统命令学习、kali Linux 里面的工具学习、Metesploit学习
7、你也可以找一些扣扣群去和大佬交流，比如上面的IP去掉点就是，里面有很多的教程。
8、没事多逛逛安全论坛、看看技术大牛的文章、漏洞分析文章等
10、提升自己的专业能力、把自己练成一个技术大牛、能给你带来一份稳定的高薪水工作，同时你还可利用自己的技术，额外的接些单子，做做副业，这个行业里是有很多单子可以接的。
语文的人文性和工具性怎样渗透到具体的课堂教学中
《语文课程标准》提出：“语文是最重要的交际工具,是人类文化的重要组成部分。工具性和人文性的统一，是语文课程的基本特点。”这就把语文学科的性质完整地表述出来了，语文是最重要的交际工具，具有工具性；语文又是人类文化的重要组成部分，具有人文性，二者是统一的。语文教学的这两重属性，犹如人的双目，缺一就会造成 “视觉”上的偏差；又如一张纸的两面，它们本身就是一个相互融合，相互渗透的不可分割体。在讨论“两性统一”这个问题之前，我们来先看看什么是语文？然后再讨论“两性统一”的问题。
一、工具性：语文的符号特性
语文的“工具性”，是指语文本身是表情达意、交流思想的符号，是人脑的思维工具，是学习其他学科的工具，也是一门基础学科，是学好其他课程的基础和保证。同时，语文可以传承文化，传达社会价值观，从而维系社会的正常运行。
二、人文性：语文的文化特性
语文的“工具性”作为符号的工具属性，与“人文性”表现为形式与内容的关系：通过语言符号表达人文情感。语文教学的目标就是要培养能够正确感知世界、认识世界，在学会使用语言符号的基础上应用符号表达思想感情，做一个听、说、读、写全面发展的有思想的人，全面提高学生的综合素质，为人类文化（特别是中华民族的文化）做出贡献。这就意味着它还要具有深层次的“人文性”。
人文性是语文课程的重要文化特性，课程内容、课程资源中丰富的人文内涵，决定了这一课程性质。人文性，可以理解为人性与文化性的整合，包括价值、文化传统、道德、情感、人性、人存在的意义等精神生活的方方面面。
三、工具性和人文性的统一
语文是一门基础工具学科。因为语言是交际的工具，是表达思想感情、交流思想感情、传递文化的工具。学习语文就是要使学生牢牢掌握语言工具。语文教学的首要任务，就是要教会学生使用语言,要使学生学会理解和自我表达语言，学会用语言进行交流。语言最主要的功能是进行交流作用，任何人都离不开口语交流，在普及教育的社会，更离不开书面语言的交流。学习语文归根到底就是要学得口头语言和书面语言的交流能力。过去我们对于语言的交际作用在语文教学中重视不够，但在新制订的《语文课程标准》中，明确提出：“学生必须具有日常口语交际的基本能力，在各种交际活动中，学会倾听、表达与交流。学会积累语言。” 语文学科不仅具有工具性，而且还具有人文性。语言和思维、语言和思想是统一的。具体到语文教学中，就要使语文教学和人文精神的培养统一起来。小学语文教学不仅能提高学生理解语言和表达语言的能力而且可以发展思维能力提高思想品德和陶冶情操。从这个意义上理解，语文学科的工具性不仅表现在再认知上，同时也体现在表情达意上，体现在发展学生的情思及人格培养上。所以语文应称为表情达意的学科；成为对学生进行人文教育、思想教育、情感教育的学科；语文是具有很强的人文性、情感性、思想性的学科。工具性和人文性的统一，正体现了语言的性质。理解工具性和人文性二者的统一，我认为必须掌握两点：第一、二者的统一，不能偏重某一方面。语文教学不仅仅同各科一样要完成思想教育的共同任务，而进行人文教育是语文学科本质属性决定的个性任务。通过语文教学培育学生的人格是不能忽视的。但是语言的性质既有语言形式，又有语言内涵，语言形式和文化、思想、情感内涵是一个统一体，所以语文教学历来讲求文道统一，即语言形式和内容的统一。第二、工具性与人文性的统一，必须寓教于文。凡是语言规范、内容科学的文字表述材料，都可以作为语文教材。当然，作为语文教材必须要加以精选，教学时，其着眼点是在语文形式；而其他学科如历史、地理、社会、思品等，教学的着眼点是在语言内容。语文教学着眼于语文形式，但是并不是抛弃内容，语言所载负的人文、思想、情感内涵，是寓于语言之中的，也就是必须寓教于文；在理解、感悟语言的同时接受文化、情感的陶冶，体现语文教学特色。
四、语文课堂教学中如何实现工具性与人文性的统一呢？
当我们怀着欣欣然迈进语文课堂时，却发现了许多的飘飘然，不禁要问：工具何在？人文何在？统一，又如何在？课堂教学目标是根据知识与能力，过程与方法，情感、态度和价值观三个维度设计的。其中，前两个综合维度体现工具性，后一个维度体现人文性。三个维度的互相渗透、融为一体，就是工具性、人文性统一的体现。语文课堂上，学生对语文材料的反应往往是不同的，因此课堂教学应少一些限制，多一些自由。学生必须能自己发现问题，并通过共同探讨、相互交流来增强感悟能力，提高语文素养。教师应把功夫下在提高自身的人文素养和学识水平，为学生的自主学习营造良好的氛围，为师生平等对话创设理想的情境上。教师作为课堂的主导者，在尊重学生的差异性、多样性的基础上，通过师生、生生之间的互动、对话，帮助学生建构意义。我们切不可丢掉语言文字这个本体，忽视对文本语言文字的理解、揣摩、积累和运用；我们更不可置人文性的感悟于一边，忽视对文本的丰富多彩的人文性的体验。我们要让学生在品味文本语言的过程中给学生以人文关照，真正实现工具性与人文性的统一，让学生在获得基本的语文能力、言语智慧的同时，也得到了人文思想、人文精神的滋养，从而把人文性落实在工具性上面，使两者同生共构，相得益彰，全面促进学生语文素养的形成与发展。
五、语文课堂教学中要实现工具性与人文性的统一，在实践操作上还会遇到哪些问题呢？
从教师的角度看，如何发掘教材中的人文因素，如何在教学中渗透人文精神，应采用什么教学策略来促使工具性和人文性的统一，何谓两者统一的最佳状态和最佳效果，采用什么样的评价标准。从学生的角度看，应具备什么态度、情感对待工具性和人文性的统一，怎样处理教学的统一要求和个人的独特感悟、体验、理解的关系，如何通过探究活动，透过语言文字的表层去体会语文的人文精神、理解语言文字中蕴含的人文特征。这些都是实现工具性与人文性的统一，在实践操作中还会遇到的问题。
总之，实现语文教学工具性与人文性的“统一”，来自于我们对工具和人文的正确解读与准确把握，来自于我们对目前语文课堂的反思与创新，来自于我们在语文课堂实践中真正地将其融合。不是一朝一夕能做到的事。因此，所有的语文教育工作者必须在《语文课程标准》的指导下，树立正确的观念，在教学实践中不断探索。
新手小白想学习渗透和网络安全，从哪里入手？
基础到入门的学习路线
一、网络安全
网络基础
网络概述
（行业背景+就业方向+课程体系结构）
Vmware
IP地址的概述与应用
DOS命令与批处理
Windows服务安全
用户管理
破解系统用户密码
NTFS权限
文件服务器
DNS服务
DHCP服务
IIS服务
活动目录
域控管理
组策略（一）
组策略（二）
安全策略
PKI与证书服务
windows安全基线
Windows server 2003安全配置基线
阶段综合项目一
以太网交换与路由技术
回顾windows服务
OSI协议簇
交换机的基本原理与配置
IP包头分析与静态路由
分析ARP攻击与欺骗
虚拟局域网VLAN
VTP
单臂路由与DHCP
子网划分VLSM
高级网络技术
回顾
三层交换
ACL-1
ACL-2
网络地址转换
动态路由协议RIP
ipsec VPN
VPN远程访问
网络安全基线
Cisco基础网络设备安全配置基线
安全设备防护
防火墙原理及部署方式
防火墙高级配置
IDS
WAF
阶段综合项目二
二、服务安全
Linux安全运维
Linux操作系统介绍与安装与目录结构分析
Linux系统的基本操作与软件安装
Linux系统下用户以及权限管理
网络配置与日志服务器建立应急思路
建立php主页解析以及主页的访问控制
Nginx服务都建立以及tomcat负载均衡
iptables包过滤与网络地址转换
实用型脚本案例
阶段综合项目三
三、代码安全
前端代码安全
HTML语言
CSS盒子模型
JS概述与变量
JS数据类型
JS函数
程序的流程控制
条件判断与等值判断结构
循环结构
JS数组
数据库安全
sqlserver
access
oracle
mysql
后台代码安全
PHP基础
PHP语法
PHP流程控制与数组
PHP代码审计中常用函数
PHP操作mysql数据库
PHP代码审计（一）
PHP代码审计（二）
Python安全应用
初识python上篇
初识python下篇
基础进阶与对象和数字
字符串列表和元祖
字典条件循环和标准输入输出
错误异常函数基础
函数的高级应用和模块
面向对象编程与组合及派生
正则表达式和爬虫
socket套接字
四、渗透测试
渗透测试导论
渗透测试方法论
法律法规与道德
Web 工作机制
HTTP 协议
Cookie 与session
同源策略
情报收集
DNS
DNS 解析
IP 查询
主机测探与端口扫描
网络漏洞扫描
Web 漏洞扫描
其他工具
口令破解
口令安全威胁
破解方式
windows 口令破解
Linux 口令破解
网络服务口令破解
在线密码查询网站
常见的漏洞攻防
SQL 注入基础
四大基本手法
其他注入手法
SQLmap 的使用
XSS 漏洞概述
XSS 的分类
XSS的构造
XSS 的变形
Shellcode 的调用
XSS 通关挑战
实战：Session 劫持
PHP 代码执行
OS 命令执行
文件上传漏洞原理概述
WebShell 概述
文件上传漏洞的危害
常见的漏洞攻防
PUT 方法上传文件
.htaccess 攻击
图片木马的制作
upload-labs 上传挑战
Web容器解析漏洞
开源编辑器上传漏洞
开源CMS 上传漏洞
PHP 中的文件包含语句
文件包含示例
漏洞原理及特点
Null 字符问题
文件包含漏洞的利用
业务安全概述
业务安全测试流程
业务数据安全
密码找回安全
CSRF
SSRF
提权与后渗透
服务器提权技术
隧道技术
缓冲区溢出原理
Metasploit Framework
前言
urllib2
SQL 注入POC 到EXP
定制EXP
案例：Oracle Weblogic CVE2017-10271 RCE
案例：JBoss AS 6.X 反序列化
五、项目实战
漏洞复现
内网靶机实战
内网攻防对抗
安全服务规范
安全众测项目实战
外网渗透测试实战
六、安全素养
网络安全行业导论
网络安全岗位职责分析
网络安全法认知
网络安全认证
职业人素质
渗透测试的步骤有哪些
渗透测试步骤
明确目标
· 确定范围：测试目标的范围，ip，域名，内外网。
· 确定规则：能渗透到什么程度，时间?能否修改上传?能否提权等。
· 确定需求：web应用的漏洞、业务逻辑漏洞、人员权限管理漏洞等等。
信息收集
方式：主动扫描，开放搜索等。
开放搜索：利用搜索引擎获得，后台，未授权页面，敏感url等。
漏洞探索
利用上一步中列出的各种系统，应用等使用相应的漏洞。
方法：
1.漏扫，awvs，IBM appscan等。
2.结合漏洞去exploit-db等位置找利用。
3.在网上寻找验证poc。
内容：
系统漏洞：系统没有及时打补丁
Websever漏洞：Websever配置问题
Web应用漏洞：Web应用开发问题
其它端口服务漏洞：各种21/8080(st2)/7001/22/3389
通信安全：明文传输，token在cookie中传送等。
漏洞验证
将上一步中发现的有可能可以成功利用的全部漏洞都验证一遍，结合实际情况，搭建模拟环境进行试验。成功后再应用于目标中。
自动化验证：结合自动化扫描工具提供的结果
手工验证，根据公开资源进行验证
试验验证：自己搭建模拟环境进行验证
登陆猜解：有时可以尝试猜解一下登陆口的账号密码等信息
业务漏洞验证：如发现业务漏洞，要进行验证
公开资源的利用
信息分析
为下一步实施渗透做准备：
精准打击：准备好上一步探测到的漏洞的exp，用来精准打击
绕过防御机制：是否有防火墙等设备，如何绕过
定制攻击路径：最佳工具路径，根据薄弱入口，高内网权限位置，最终目标
绕过检测机制：是否有检测机制，流量监控，杀毒软件，恶意代码检测等
攻击代码：经过试验得来的代码，包括不限于xss代码，sql注入语句等
获取所需
实施攻击：根据前几步的结果，进行攻击
获取内部信息：基础设施
进一步渗透：内网入侵，敏感目标
持续性存在：一般我们对客户做渗透不需要。rookit，后门，添加管理账号，驻扎手法等
清理痕迹：清理相关日志，上传文件等
信息整理
整理渗透工具：整理渗透过程中用到的代码，poc，exp等
整理收集信息：整理渗透过程中收集到的一切信息
整理漏洞信息：整理渗透过程中遇到的各种漏洞，各种脆弱位置信息
形成报告
按需整理：按照之前第一步跟客户确定好的范围，需求来整理资料，并将资料形成报告
补充介绍：要对漏洞成因，验证过程和带来危害进行分析
修补建议：当然要对所有产生的问题提出合理高效安全的解决办法
一套Linux渗透教程（带你玩转Kali附安卓下Kali渗透,劫持等）(无KEY) 解压密码 谢谢！
这个教程就是个注水肉，一直逼逼歪歪，没什么实货，简直就是浪费生命
kali linux 渗透全教程及各种工具用法
Metasploit渗透测试指南
这本书不光是讲Metasploit的，还讲很多别的工具，比较全，不错，还有实际的例子
网站渗透入侵全部教程
新手先学法律知识，知道哪些行为不能做再学渗透技术。
学习基本的技术术语，了解基本的黑客技术。链接：https://www.xf1433.com/3935.html正式学习课程，可以观看小风教程网的免费课程。链接：https://www.xf1433.com/zhinan新手可以看完小风教程网的基础课程，自己学会搭建一个靶场，再通过学会的技术去自己入侵自己搭建的网站，这样既不会违法也能实战学习到技术。因为网站漏洞是复杂的，不同的网站有不同的漏洞，对于新手来说应该把所有常见漏洞都学会，才能系统入门渗透。