本文目录一览：
微信卖酒的都是从哪里进的货？
你微信好友里面有卖酒的吗？知道他们是怎么通过微信赚钱吗？
既然聊了微商，那就多说几个故事与大家分享。
不知道大家有没有注意到，现在微信上面卖酒的人特别多，95%的是贵州的。这些人，加你好友的时候，一般的昵称是：诚信经营，诚信第一，洞藏老酒，华*酒业啊，等等。加好友的方法，一般都是通过微信群来添加，添加的时候写：群主推荐，来自群主推荐，来自通讯录好友等等。少的话，一天一两个加你，多的话，一天几十个人加你也有。
你说做酒的生意，也无可厚非，但是我通过近半年的观察，发现了几个现象：
第一，这些做酒的朋友，不管进入到哪个群，都会以最快的时间在里面发广告，说什么洞藏酒，什么飞天酒，为什么他们要在群里频繁的发广告？因为，群里发广告，最多是被群主踢出群，一般不会举报。所以封号的几率很小。再有就是，一般某个群，都是一个特定的圈子，信任度是比较高的。所以真喜欢喝酒的人，也容易下单，成交比较容易。这就是高明之处，如果你是微信好友，一对一的去群发，你试试看，很容易举报封号。现在老号的成本非常高，你懂的。
第二，我曾经傻傻的在想，贵州的酒业是不是靠这些人推广才大卖的。因为，每天早上一醒来，几十个做酒的加我好友。天啊。这行业到底是怎么赚钱的呢。有一天，我联系其中一位卖酒的朋友，他说酒是免费的，运费21元。我买了一瓶，回来喝了一口，也不懂好坏。我问他一天可以卖几瓶，他说好的话，一天几十箱，不是几瓶。
总结：从做酒的朋友身上学到一个思维，就是简单暴力，直接了当。经验一，微信群营销大有可为，特定圈子风险低，信任高。大量发广告就行了。经验二，微信群要够多。曾经问过其中一个做酒的微友，他说他的群至少500个。经验三，微信群里添加好友，一天100左右没问题。就是这样，大量加群，大量发广告，大量提取好友，大量发朋友圈！有量，有大数据，才有单！就是这么简单！至于酒的质量，我相信，也是有好有坏。大家自己去甄别。
好了，微信群营销，今天只是举其中一个例子，大家有兴趣去研究一下。有什么需要了解的，可以私信我。也可以留言。
漏洞可以随便挖吗
今天测试时发现一个任意用户登录漏洞，简单记录一下（em...写得真的很简单的那种！）
登录成功后的一个请求，里面包含了当前登录用户的用户名和user_id:
后面紧接着一个包含敏感信息的数据包，如下：
可以看到返回信息中包含了当前用户的密码MD5，且可以正常解密。更换为其他的user_id：
可以看到，返回了其他user_id的密码，但是，正常情况下，只有在成功登录一个用户后才能获取用户的user_id，所以要想登录他人账户，必须要知道user_id值对应的用户名.....，既然系统会有一个返回密码的数据包，那就可能有其他的敏感信息返回数据包，于是打开burp的hsitory，底部搜索user_id，终于在茫茫数据包中发现了一个接口：
一个请求，通过登录用户名，返回信息包含了该用户名对应的user_id:
通过id获取密码：
不断遍历用户名可以获得更多的user_id，也就可以通过上面的请求获取更多的用户密码MD5，通过解密后的用户名密码即可登录任意用户：
漏洞挖掘类型总结
如果你刚刚好是一个刚刚学完基础的小白，如果你刚刚好没有参加各种培训，完全自学。
那么你的漏洞清单可能是这样的。
暴力破解漏洞
sql注入漏洞
命令执行漏洞
xss漏洞（跨站脚本）
csrf漏洞（跨站伪造请求）
xxe漏洞
文件上传漏洞
文件包含漏洞
各cms的公开漏洞
没错差不多就是这样的。当然也有可能一些没用写到，因人而异。
如果你有幸看到一个大佬的漏洞清单。那么有可能除了上面那些，还多了下面这几项 逻辑漏洞
ssrf漏洞
信息泄露
js文件可能存在的未授权访问
组合漏洞
……
然而这些也只是一部分，不过我不是大佬，不过欢迎大佬补存，下面我就单讲一下我补充的几种漏洞类型吧。
3: 漏洞类型详解
正式开始前插一条，我之前对漏洞的定义有一点点误解，以为只有上面列表上的才是漏洞，其实不然，只要可以给厂商带来损失的全都是漏洞。逻辑漏洞也是基于这条。回顾一下自己的挖掘过程，其实漏掉了很多。
逻辑漏洞
逻辑漏洞也是一个经久不衰的话题，不过逻辑漏洞并不像前面几种漏洞，可以用扫描器去扫，逻辑漏洞目前，据我所知是没有一个扫描器可以敢说自己能扫到逻辑漏洞的。或许有的厂家敢说自己没有一个sql注入，但是没人敢说自己没有逻辑漏洞（我想也没有厂家敢说自己没有sql注入吧，哈哈哈）。而且，由于现在waf，和防火墙的逐渐完善，sql注入，上传等漏洞，也越来越难以查找和利用，而逻辑漏洞则不存在这种问题。
何为逻辑漏洞，就是由于开发者在开发过程中，由于代码逻辑不严，而造成的一系列可以被攻击者加以恶意利用的漏洞。而逻辑漏洞也是一类漏洞的总称。
举个例子最为常见的就是以低价购买任意价格的东西的支付漏洞，或者找回密码流程控制不严格，导致的可以修改任意用户的登陆密码，还有越权，越权查看他人订单，越权查看他人个人信息等等。
当然这只是一部分，我这里也只是一个引子，具体漏洞的原理以及介绍大家可以去自行搜索关键字，有很多大佬的文章就写得比较好，不然我这篇文章就要写个几十页了。一些漏洞详情大家可以去看乌云。
信息泄露
信息泄露漏洞顾名思义就是信息泄露，信息泄露也分好多种，如。
对于源码泄露，大家可以去github上找，很多程序员会把源码开放在github上，甚至有的人用户名密码都不改的，数据库连接密码啊直接存在源码中，当然想我这种菜鸡找到这种源码泄露就直接提交了，有能力的大佬，直接就是一波审计，然后嘿嘿嘿。而对于员工信息泄露，可以在收集信息的时候收集账号，然后放在社工库跑跑，或者记录下来账号用来爆破。
组合漏洞
组合漏洞是一个可以吧低危漏洞变成高危漏洞的一个神奇的东西。比如你找到一个xss漏洞和一个csrf漏洞，如果两个漏洞单独提交，或许是两个低危，或许是两个忽略。但是如果你把你的xss和csrf组合起来就有可能变成一个高危漏洞，打组合拳，key师傅组合拳打的很厉害，向师傅看齐，key师傅给我说，挖到低危不要着急提交，存起来，万一某一天碰见一另一个漏洞，组合一下，就可以一发入魂了。
说个小技巧，如果你想要详细的漏洞列表，可以去多收集几家src的漏洞说明手册，然后去重，就是一份完美的漏洞列表。
4：个人提高漏洞挖掘能力的方法
这一节讲一下挖掘漏洞应该如何提高和应该有哪些好的习惯。
细心放在第一位，是因为细心真的是非常非常非常重要，我有幸请教过很多大佬成功的秘籍，他们告诉我的第一个词语就是细心，正所谓心细则挖天下。很多漏洞都是需要细心才可以发现，不放过数据包中的任何一个参数，不放过网站的任意一个点，我曾问过团队的小石师傅，如何挖掘那些很多人都挖过的src，这么多人都挖过，一些功能点我还要在测一遍吗。小石师傅并没有给我直接回答，而是讲了他一个漏洞的挖掘经历，那是挖美团的时候，小石师傅直接主站开始挖，并且在个人资料一个很明显的地方，挖到了一个储存xss的高危漏洞。所以，在我们进行漏洞挖掘的时候，不要放弃任何一个可能存在漏洞的地方，每个人都有不同的挖掘方式，网站这么大，总会有几个漏测的地方，并且一个漏洞修复了，谁敢保证，修复完了，就不能再修一个漏洞出来了呢。
耐心
耐心同细心一样，可以说是一对cp。如果你本身就足够信心，那么我想你的耐心也不会差。如果说细心是你漏洞挖掘的利剑，那么耐心就是你的磨刀石，很多时候，碰到一个破站盯几天才能挖到一个漏洞，你坚持下来了就是胜利者，有人说挖洞，也是个运气活，运气好了随随便便就是几个高危，运气不好，几天也挖不到一个。虽然有一定的道理，但是当你的能力足够强，有了自己的套路，想挖漏洞还是轻松加愉快。
会看、会记
会看，会记。这个就简单了，就是要多看多记，多看漏洞详情，多看技术文章，漏洞详情可以在乌云看，还有网上很多人分享的案例，主要是乌云。看完就要记，要让你看的东西真正的成为你的东西，如果你面对一个厂商，还是有无从下手的感觉，就去乌云看漏洞详情，一个一个看，然后把漏洞出现的位置，以及使用的一些技巧记下来，成为属于自己的漏洞挖掘手册，这也是我最近在做的一个事情。还有一些好的文章，好的技巧，或许你一时半会也用不到，但是你要学会记，总有用到的一天。
懂收集
key师傅说过，漏洞挖掘说白了就是一个fuzz的过程，而fuzz最关键的是什么，就是一本高效的字典，没错我们要学会收集字典，想公开的字典有fuzzdb，是一个非常好的fuzz字典合集，当然我们在收集他人字典的同时我们也要自己收集字典，曾经看到一个大佬，搜集了github大量的开发项目的路径，然后组成字典。我也不要求小白可以写程序然后自动收集字典，但是，我们在平时的漏洞挖掘过程中，遇到的一些东西还是要多多的去收集一下，逐步慢慢的形成自己的一本专用字典，绝对可以提高你的漏洞挖掘效率。当你有一本自己收集的字典时，相信你也成为一名大佬了。
勤动手
当你看了大量漏洞，记了大量笔记，这个时候，我相信你最需要的，就是实战，实战是可以把所学所看融会贯通的最快方法，没有之一，只有实战可以锻炼自己的挖洞能力，和效率。看到新的漏洞多去搭建环境复现，这也是对能力的一种提升。
python培训需要多久？
零基础参加Python培训班学习，Python全栈开发+人工智能课程培训时间一般是5到6个月！
以下是老男孩教育Python课程内容：
阶段一：Python开发基础
Python开发基础课程内容包括：计算机硬件、操作系统原理、安装linux操作系统、linux操作系统维护常用命令、Python语言介绍、环境安装、基本语法、基本数据类型、二进制运算、流程控制、字符编码、文件处理、数据类型、用户认证、三级菜单程序、购物车程序开发、函数、内置方法、递归、迭代器、装饰器、内置方法、员工信息表开发、模块的跨目录导入、常用标准库学习，b加密\re正则\logging日志模块等，软件开发规范学习，计算器程序、ATM程序开发等。
阶段二：Python高级级编编程数据库开发
Python高级级编编程数据库开发课程内容包括：面向对象介绍、特性、成员变量、方法、封装、继承、多态、类的生成原理、MetaClass、__new__的作用、抽象类、静态方法、类方法、属性方法、如何在程序中使用面向对象思想写程序、选课程序开发、TCP/IP协议介绍、Socket网络套接字模块学习、简单远程命令执行客户端开发、C\S架构FTP服务器开发、线程、进程、队列、IO多路模型、数据库类型、特性介绍，表字段类型、表结构构建语句、常用增删改查语句、索引、存储过程、视图、触发器、事务、分组、聚合、分页、连接池、基于数据库的学员管理系统开发等。
阶段三：前端开发
前端开发课程内容包括：HTML\CSS\JS学习、DOM操作、JSONP、原生Ajax异步加载、购物商城开发、Jquery、动画效果、事件、定时期、轮播图、跑马灯、HTML5\CSS3语法学习、bootstrap、抽屉新热榜开发、流行前端框架介绍、Vue架构剖析、mvvm开发思想、Vue数据绑定与计算属性、条件渲染类与样式绑定、表单控件绑定、事件绑定webpack使用、vue-router使用、vuex单向数据流与应用结构、vuex actions与mutations热重载、vue单页面项目实战开发等。
阶段四：WEB框架开发
WEB框架开发课程内容包括：Web框架原理剖析、Web请求生命周期、自行开发简单的Web框架、MTV\MVC框架介绍、Django框架使用、路由系统、模板引擎、FBV\CBV视图、Models ORM、FORM、表单验证、Django session cookie、CSRF验证、XSS、中间件、分页、自定义tags、Django Admin、cache系统、信号、message、自定义用户认证、Memcached、redis缓存学习、RabbitMQ队列学习、Celery分布式任务队列学习、Flask框架、Tornado框架、Restful API、BBS+Blog实战项目开发等。
阶段五：爬虫开发
爬虫开发课程内容包括：Requests模块、BeautifulSoup，Selenium模块、PhantomJS模块学习、基于requests实现登陆：抽屉、github、知乎、博客园、爬取拉钩职位信息、开发Web版微信、高性能IO性能相关模块：asyncio、aiohttp、grequests、Twisted、自定义开发一个异步非阻塞模块、验证码图像识别、Scrapy框架以及源码剖析、框架组件介绍(engine、spider、downloader、scheduler、pipeline)、分布式爬虫实战等。
阶段六：全栈项目实战
全栈项目实战课程内容包括：互联网企业专业开发流程讲解、git、github协作开发工具讲解、任务管理系统讲解、接口单元测试、敏捷开发与持续集成介绍、django + uwsgi + nginx生产环境部署学习、接口文档编写示例、互联网企业大型项目架构图深度讲解、CRM客户关系管理系统开发、路飞学城在线教育平台开发等。
阶段七：数据分析
数据分析课程内容包括：金融、股票知识入门股票基本概念、常见投资工具介绍、市基本交易规则、A股构成等，K线、平均线、KDJ、MACD等各项技术指标分析，股市操作模拟盘演示量化策略的开发流程，金融量化与Python，numpy、pandas、matplotlib模块常用功能学习在线量化投资平台：优矿、聚宽、米筐等介绍和使用、常见量化策略学习，如双均线策略、因子选股策略、因子选股策略、小市值策略、海龟交易法则、均值回归、策略、动量策略、反转策略、羊驼交易法则、PEG策略等、开发一个简单的量化策略平台，实现选股、择时、仓位管理、止盈止损、回测结果展示等功能。
阶段八：人工智能
人工智能课程内容包括：机器学习要素、常见流派、自然语言识别、分析原理词向量模型word2vec、剖析分类、聚类、决策树、随机森林、回归以及神经网络、测试集以及评价标准Python机器学习常用库scikit-learn、数据预处理、Tensorflow学习、基于Tensorflow的CNN与RNN模型、Caffe两种常用数据源制作、OpenCV库详解、人脸识别技术、车牌自动提取和遮蔽、无人机开发、Keras深度学习、贝叶斯模型、无人驾驶模拟器使用和开发、特斯拉远程控制API和自动化驾驶开发等。
阶段九：自动化运维开发
自动化运维开发课程内容包括：设计符合企业实际需求的CMDB资产管理系统，如安全API接口开发与使用，开发支持windows和linux平台的客户端，对其它系统开放灵活的api设计与开发IT资产的上线、下线、变更流程等业务流程。IT审计+主机管理系统开发，真实企业系统的用户行为、管理权限、批量文件操作、用户登录报表等。分布式主机监控系统开发，监控多个服务，多种设备，报警机制，基于http+restful架构开发，实现水平扩展，可轻松实现分布式监控等功能。
阶段十：高并发语言GO开发
高并发语言GO开发课程内容包括：Golang的发展介绍、开发环境搭建、golang和其他语言对比、字符串详解、条件判断、循环、使用数组和map数据类型、go程序编译和Makefile、gofmt工具、godoc文档生成工具详解、斐波那契数列、数据和切片、makenew、字符串、go程序调试、slicemap、map排序、常用标准库使用、文件增删改查操作、函数和面向对象详解、并发、并行与goroute、channel详解goroute同步、channel、超时与定时器reover捕获异常、Go高并发模型、Lazy生成器、并发数控制、高并发web服务器的开发等。
零基础学Python应该学习哪些入门知识
关于零基础怎么样能快速学好Python的问题，百度提问和解答的都很多，你可以百度下看看。我觉得从个人自学的角度出发，应从以下几个方面来理解：
1 为什么选择学python？
据统计零基础或非专业的人士学python的比较多，据HackerRank开发者调查报告2018年5月显示（见图），Python排名第一，成为最受欢迎编程语言。Python以优雅、简洁著称，入行门槛低，可以从事Linux运维、Python Web网站工程师、Python自动化测试、数据分析、人工智能等职位，薪资待遇呈上涨趋势。
2 入门python需要那些准备？
2.1 心态准备。编程是一门技术，也可说是一门手艺。如同书法、绘画、乐器、雕刻等，技艺纯熟的背后肯定付出了长时间的反复练习。不要相信几周速成，也不能急于求成。编程的世界浩瀚无边，所以请保持一颗敬畏的心态去学习，认真对待写下的每一行代码，甚至每一个字符。收拾好自己的心态，向着编程的世界出发。第一步至关重要，关系到初学者从入门到精通还是从入门到放弃。选一条合适的入门道路，并坚持走下去。
2.2 配置 Python 学习环境。选Python2 还是 Python3？入门时很多人都会纠结。二者只是程序不兼容，思想上并无大差别，语法变动也并不多。选择任何一个入手，都没有大影响。如果你仍然无法抉择，那请选择 Python3，毕竟这是未来的趋势。
编辑器该如何选？同样，推荐 pycharm 社区版，配置简单、功能强大、使用起来省时省心，对初学者友好，并且完全免费！其他编辑器如：notepad++、sublimeText 3、vim 和 Emacs等不推荐了。
操作环境？Python 支持现有所有主流操作平台，不管是 windows 还是 mac 还是 linux，都能很好的运行 Python。并且后两者都默认自带 Python 环境。
2.3 选择自学的书籍。我推荐的书的内容由浅入深，建议按照先后顺序阅读学习：
2.3.1《Python简明教程》。这是一本言简意赅的 Python 入门教程，简单直白，没有废话。就算没有基础，你也可以像读小说一样，花两天时间就可以读完。适合入门快速了解语法。
2.3.2 廖雪峰编写的《Python教程》。廖先生的教程涵盖了 Python 知识的方方面面，内容更加系统，有一定深度，有一定基础之后学习会有更多的收获。
2.4 学会安装包。Python中有很多扩展包，想要安装这些包可以采用两种方法：
2.4.1 使用pip或easy_install。
1)在网上找到的需要的包，下载下来。eg. rsa-3.1.4.tar.gz;
2)解压缩该文件;
3)命令行工具cd切换到所要安装的包的目录，找到setup.py文件，然后输入python setup.py install
2.4.2 不用pip或easy_install,直接打开cmd，敲pip install rsa。
3 提升阶段需要恒心和耐力。
完成入门阶段的基础学习之后，常会陷入一个瓶颈期，通过看教程很难进一步提高编程水平。这时候，需要的是反复练习，大量的练习。可以从书上的例题、作业题开始写，再写小程序片段，然后写完整的项目。我们收集了一些练习题和网站。可根据自己阶段，选择适合的练习去做。建议最好挑选一两个系列重点完成，而不是浅尝辄止。
3.1 多做练习。推荐网站练习：
crossin编程教室实例：相对于编程教室基础练习着重于单一知识点，
编程实例训练对基础知识的融会贯通；
hackerrank：Python 部分难度循序渐进，符合学习曲线
实验楼：提升编程水平从做项目开始；
codewar：社区型编程练习网站，内容由易到难；
leetcode：为编程面试准备，对初学者稍难；
牛客网：提供 BAT 等大厂笔试题目；
codecombat：提供一边游戏一边编程；
projecteuler：纯粹的编程练习网站；
菜鸟教程100例：基于 py2 的基础练习；
3.2 遇到问题多交流。
3.2.1 利用好搜索引擎。
3.2.2 求助于各大网站。推荐
stackoverflow：这是一个程序员的知识库；
v2ex：国内非常不错的编程社区，不仅仅是包含程序，也包含了程序员的生活；
segmentfault：一家以编程问答为主的网站;
CSDN、知乎、简书等
3.2.3 加入相关的QQ、微信群、百度知道。不懂的可以随时请教。