网络安全是一个很大的体系，但现在大多数网络安全事件的入口都是WEB，所以这里我主要说下WEB体系的黑客学习。
这里我把WEB黑客的学习分为3个阶段：
第一阶段主要是培养兴趣，所以不去看涉及太多技术的东西，学习周期保持在 1 周以内，不要被廉价的快感迷惑住，继续学习。
Hack for fun
找后台
万能密码/弱口令
盲打后台
表单串改
文件上传
推荐阅读：《黑客防线》《非安全》等安全周边杂志。
第二阶段是关注技术本身，相信Know it then hack it，只有对原理了然于心，才能做到真正的自由，只有突破更多的限制，才可能获得真正意义上的技术进步。
Learning by doing
敏感信息搜集
SQL注入基础
XSS基础
认识CSRF
文件上传bypass
深入逻辑漏洞
推荐阅读：《黑客攻防技术宝典.Web实战篇（第2版）》《黑客入侵网页攻防修炼》
第三阶段在第二阶段长期训练后这阶段不会有太大问题，主要是还多的了解现实环境的存在的问题与关联，及复杂度较高的一些技术。
V
1、代码审计入门
ASP SQL注入
PHP 变量覆盖
2、危险的第三方
第三方JS/Iframe
域名商
IDC
插件 ...
3、邮箱XSS挖掘
业务X
bypass X
4、服务器提权
5、内网扩散
推荐阅读：@大风的《白帽子讲web安全》 和 @余弦 的《Web前端黑客技术揭秘》
原文：http://www.cnblogs.com/Mander/p/3621061.html