2、学习脚本编程语言，比如python，js
2、学习网络协议，主要是应用层协议http等
3、学习了以上三点之后，继续学习掌握基本的web攻击手段和防护原理，可参考刺总的《白帽子讲web安全》
4、了解渗透流程，比如踩点、嗅探等
5、熟悉主流web渗透工具，建议可以安装kali操作系统，里面都有集成
最后，推荐你多去逛逛比如FreeBuf 之类的信息安全论坛
好玩的东西是需要自己发现的。每个语言都能找到好玩的。 不过好玩的并不容易发现。当你找到了，你会觉着，无论如何要立即去实现它。比如python在手机上有一个移植版本，可以让你轻松写手机程序。 另外python的大数据分析处理也不错。 python的视频采集，语音识别也可以。
python快速开发效率比java高10倍。
python做过一个3D的渲染的软件，也做过一套大型游戏 ，还可以模拟游戏服务器。
python的白帽子技术也不错，有专门一本书，灰帽子技术。
第一，可以买一本《白帽子讲web安全》来看着先，作者是吴翰清。先了解常见漏洞的原理，没必要研究的太深，因为光看很难理解，后面结合实践来理解事半功倍。
第二，多看一些安全公众号的文章，和一些博客文章，然后可以试着去做一些ctf的题目，可以拓展你的知识面和帮助你理解，几个较好的ctf平台有bugku、xctf，国外的有hackthebox，不过hackthebox难度较大，不建议一上来就去那里。ctf的题目不应该局限于web题目，其他的都可以做一下，毕竟一些安全比赛题目类型很多。
第三，可以去挖一些公益漏洞，挖之前先看别人怎么挖，挖漏洞是有技巧的，多看文章，可以去了解一下src。
第四，学好python，它是最契合网络安全的语言，可以用他来写脚本进行攻击非常nice。当然了如果可以的话，也要学好java，很多漏洞扫描器都是java写的，逆向方向需要java代码审计能力。也要学好网页设计这门课程，都是基础来的。
第五，web安全的最后都是内网渗透，拿下了一个网站，紧接着要拿下的就是他的主机，Linux基础要学好，这个你前面的积累，也是放到最后的一个。
