网络安全，渗透，小白入门养成计划-优快云博客

本文链接：https://blog.youkuaiyun.com/Hacker_LaoYi/article/details/146713445

自学

这是很难的，你才入门一个方向，什么都不知道，什么都想学，但是又不知道花时间去学习什么，学了有没有用，就算有用，我他妈怎么知道我学的怎么样。我一个一个说

花时间去学习什么？

要回答这个问题，我们要大致清楚网络安全&渗透有哪些方向，举个列子

比如我想学习网络攻防，那么我需要了解web常见的一些漏洞,比如sql注入，xss漏洞，ssrf漏洞，还要掌握信息收集对吧，还有一些工具的使用对吧，比如burpsuit，sqlmap，xray等工具这是最最基础的。如果想要进一步提高，可能需要掌握一些基础的代码，比如php执行命令的代码被禁用了怎么绕，php的一些反序列化，简单的代码分析，审计。漏洞的深度利用，比如上传怎么绕过，waf怎么对抗，最新出现的漏洞的复现，拥有渗透最核心的思路，在基础漏洞上不断变化。如果还想继续提高，需要拥有足够的经验，看见陌生的cms推测是有xxx二次改的，审计代码，研究一个方向寻找0day，跟随目前安全攻防的大方向，原来是注入很火，到现在的各类反序列化，java的漏洞(shiro,fastjson)，内存马能跟随大方向研究，并且有自己的见解。

那么我从入门开始学习，就要学习owasp top10的漏洞，自己找环境复现，明白原理，然后操作即可，然后找一些存在问题的cms，自己搭环境浮现，平时多看看论坛，比如安全客，先知，t00ls等论坛。有人就会问，那么我js学不学，html学不学，网络协议学不学。首先是网上很多傻逼跟你说要学，我只想说，学个鸡8，关于js，渗透中的作用无非是看网页的js寻找信息，一些密码加解密，亦或者是存在xss，我们可以根据js来弹框钓鱼，且github上有源码，你学他干嘛？当我们达到一定的级别，会有一些项目驱动你去学习，但是当你到达这种级别时，你中途历练的过程，就隐隐约约让你大致了解这个语言的框架了。至于html，我用的最多的就是有一些cms可能存在后门（上传），或者存在csrf，需要我们自己构造html，csrf用burpsuit即可，唯一html需要稍微学习一下submit，网络协议，当你用burpsuit抓包，代理会接触这方面的内容，至于tcp什么握手的，攻防基本用不到，什么arp欺骗，真的用不上，至于内网，需要不断的积累，自己搭环境，一步一步来。因为我自己就是0基础学习攻防，谈的都是我自己的见解。当然，这是攻防的案列，还有许多方向。

比如逆向,搞二进制的（pwn，漏洞研究/挖掘，写马），搞apt的，做安服的（也分为驻场，网络攻防，安全研究），安全运营的（基本甲方偏多，企业安全建设），安全产品的（ids，edr，防火墙等），重保等保等方向

我自己学的怎么样

学习完理论一定要自己搭环境复现，有时间多去逛论坛，多去面试！查漏补缺，怀着热爱的心去学习，戒骄戒躁！

网络安全学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

需要网络安全学习路线和视频教程的可以在评论区留言哦~

最后

如果你确实想自学的话，我可以把我自己整理收藏的这些教程分享给你，里面不仅有web安全，还有渗透测试等等内容，包含电子书、面试题、pdf文档、视频以及相关的课件笔记，我都已经学过了，都可以免费分享给大家！

给小伙伴们的意见是想清楚，自学网络安全没有捷径，相比而言系统的网络安全是最节省成本的方式，因为能够帮你节省大量的时间和精力成本。坚持住，既然已经走到这条路上，虽然前途看似困难重重，只要咬牙坚持，最终会收到你想要的效果。

黑客工具&SRC技术文档&PDF书籍&web安全等（可分享）

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。