编者按：
《企业安全建设指南 金融行业安全架构与技术实践》——聂君 李燕 何扬军 编著，资深信安专家十余年实战经验的结晶，安全领域多位专家联袂推荐。
本书系统化介绍金融行业中企业信息安全的架构与技术实践，总结了作者在金融行业多年的信息安全实践经验，致力于解决金融企业信息安全“最后一公里”问题，内容丰富，实践性强。
第一部分 安全架构
第三章 安全规划
金融企业信息安全建设中，有一项最基本的东西—安全规划，准备不够充分，就会导致工作千头万绪但收效甚微，也会导致员工起早摸黑却碌碌无为。所谓“凡事预则立，不预则废”，有规划的信息安全，才能忙而不乱，事半功倍。
3.1 规划前的思考
我们会在日常工作中有非常多的时间浪费现象，或者感觉太辛苦。著名企业文化与战略专家陈春花老师曾说过，要常问自己三个问题：
1）你为什么会辛苦？很多人会发现你想做的事情下属没帮你去做。
2）你为什么很辛苦？你发现每一个小时的效率不够。
3）你为什么那么辛苦？是因为你发现很多人做的事情并不真正产生效益。
据史书记载，诸葛亮54岁去世，诸葛亮为何英年早逝呢？诸葛亮以忠君扶蜀为先，把自身的健康放在一边，既不锻炼，又不习武。为了一统天下，诸葛亮常常要深谋远虑，运筹帷幄。他还习惯于晚睡早起，一生谨慎小心，军中事无巨细，都要事必躬亲，整天弄得精疲力竭。这种身心劳累的负担，年轻时还能应付，一旦过了中年，就会显出快速衰老的征象。据史书载，诸葛亮的使者到了魏营，司马懿不问军中之事，单问诸葛亮的饮食起居和工作忙闲情况。使者告诉他，诸葛公向来喜欢晚睡早起，连罚打士兵二十军棍这样的小事都要亲自处理，可早饭却吃得很少。司马懿听后马上得出结论：“亮将死矣！”果然不出司马懿所料，不久在撤退途中，诸葛亮就忧虑呕血而亡。可见，事必躬亲，对大BOSS来讲，弊大于利。
三个问题，一则典故，反映了很多问题和错误，这些错误显然都不应该发生。但怎么解决呢？这个见仁见智，可以有很多角度的解决方案。但在信息安全领域，首要的解决方案就是做好安全规划。
金融企业战略规划（通常是五年为周期）、IT战略规划（通常三年为周期）、信息安全三年规划、××年工作计划，是自上而下、一脉相承的。负责制订IT战略规划的人，通常会要求企业安全负责人提供信息安全三年规划作为基础材料，统筹而成。能否做一份看起来高大上，实施起来又接地气可执行的信息安全规划，是金融企业安全负责人的必备技能。
信息安全规划，以及在此框架下的年度工作计划，决定了新一年的安全投入，包括人员和资金的预算。而预算的大小，往往和IT战略规划中信息安全相关内容的篇幅形成正比关系。
在信息安全规划编制启动时间点选择方面，建议选择每年10月启动，12月定稿。有的企业喜欢12月启动，春节前后甚至3月底定稿，这样的时间安排存在很大弊端。企业工作中，总结、考核、预算，通常以自然年为单位（大部分金融企业如此，外资企业不同），而企业员工概念中，一年工作结束一般以农历年为单位。因此元旦到春节后，各种年会、总结、庆祝，基本上处于一个工作断档期。规划如果是3月前后定稿，那么和规划相关的重点项目的资源准备，如合作厂商技术交流测试、项目采购等，就会浪费自然年的第一季度。如果每年10月启动，12月定稿，就可以利用元旦到春节前后的时间，进行规划相关项目、资源的准备工作（比如，采购文档编制、采购流程发起、新招人员面试笔试等），春节后就可以开足马力，立刻开干。
安全规划考虑的因素，除了时间外，还应该考虑监管要求、企业风险偏好、IT战略目标、技术发展、资源约束、安全价值体现等，此处就不一一展开了。
3.2 规划框架
安全规划的框架，应包括概述、需求分析和安全目标、各个安全领域的现状和差距分析、解决方案和计划、安全资源规划、当年重点项目和重点任务、上一版安全规划目标差距分析等。以下是安全规划的框架示例，如图3-1所示。
图3-1 安全规划框架示例
概述部分主要包括信息安全形势分析，安全形势可以是外部安全形势、行业形势、监管和股东要求、对手分析(攻击者、内部异常员工)等。
安全目标是指规划周期结束组织应该达到什么样的信息安全水平。安全目标应该是跳一跳，拼命奔跑才能达到的，甚至是很大概率达不到的，而不应该是躺在床上就能实现的。
对现状和差距的分析相当于自我体检，最重要的是能从过往的安全检查中分析管理差距，以及从白盒检测、黑盒检测失效中获得技术差距。其中黑盒检测有两大利器，即安全众测和红蓝对抗，能够先于对手发现自己的漏洞和弱点，对这类检测失效的原因进行深挖，是差距分析的重点。
解决方案和计划，解决方案提出的一条条解决措施，最终要落到重点项目和任务上去实现。计划分解的频度方面，当年的至少细化到月，未来两年的细化到季度即可。
当年重点项目和重点任务，是解决方案落地的关键，当年的工作目标靠重点项目和重点任务实现。差距、解决方案、重点项目和任务、计划要形成一系列有继承关系的完整链条，才是可落地的整套规划。项目和任务的区别是，项目比任务要大和复杂一些，任务属于优化改进的小措施，项目通常是要立项和花钱的，如图3-2所示。
图3-2 安全规划落地示例
上一版安全规划目标差距分析，是针对上一阶段的规划执行情况进行回顾和检讨，排查实际完成效果与规划目标的差距，分析造成差距的原因，避免新规划执行过程中重蹈覆辙；分析后认为需要调整或补充执行的内容，放入新的规划中落地。
3.3 制订步骤
制订安全规划的步骤包括：
1）调研。
2）确定规划目标、现状和差距。
3）制订解决方案。
4）一稿，二稿……直到定稿。
5）向上层汇报。
6）回顾。
3.3.1调研
做规划前，大BOSS一般喜欢问我们几个问题：
·未来三年，本团队要做的最牛的三件事是什么？
·未来三年，你认为世界最好的团队会做哪三件最牛的事（我们不做的原因）？
·未来三年想做但没敢写入规划的三件事是什么？本团队领域，很有价值但技术没有可能实现的事情是什么？请列出1~2件。
每年最痛苦的就是怎么填这个大坑了，后来，我们将大BOSS的问题转换了一下，更接地气一点：
·这个领域最好的团队在做什么（最佳实践）。
·我们在同业处于什么水平（自我感知）。
·我们的现状（存在哪些差距）。
回答上述问题的最好渠道是实地调研，多方学习，例如：
一是向大型互联网企业学习，这些大型互联网企业无论是面临的安全威胁、全量的攻击场景、复杂的网络和应用环境，还是海量的服务器、终端、人员数量、遇到过的坑等，都是宝贵的实践经验。稍显遗憾的是，互联网企业（特别是做安全的）不太可能敞开心扉进行传道授业解惑。因此，拥有一定的安全圈人脉资源也是企业安全负责人的必备条件之一，越来越多的企业安全人员招聘也要求这点。同时，注意参加这些互联网企业举行的年度会议，也能收获很多干货，建议多参加此类会议，远离厂商自嗨会。
二是向同业学习。可以抓住一切了解金融同业的机会，向规模比自己大的企业学习实践中遇到过的问题，向规模差不多的企业学习资源配置情况，向规模比自己小的企业学习单点突破能力强的领域。每年开春后，北上广深走一圈，基本上就能大致了解整个行业的概况。
3.3.2目标、现状和差距
调研结束后，金融企业安全负责人通常对行业的未来趋势和规划方向有了大致了解，接下来就需要明确本企业的目标，分析现状和差距。
目标
目标来自于企业战略规划和IT战略规划，分为总体目标和具体目标。
·总体目标，应尽可能清晰、简洁，相对宏观和“务虚”。企业安全目标可以定义为“通过综合应用各类安全解决方案，发现并预防各类安全风险，能够承受除DDoS以外的黑客高手或者黑客集团的攻击；内部系统能有效防止非专业人员有意或者无意的数据泄露；能发现对内部重要服务器的普通内部黑客的攻击；对人员进行安全合规教育，违规、违纪现象持续降低，安全审计发现持续降低”。
·具体目标，应尽可能明确、数字化，相对微观和“务实”。例如，非本企业组织的互联网系统漏洞发现为0；安全防护100%全覆盖；互联网基础设施风险在2小时内化解；自动化验证平台100%覆盖所有管控措施，管控措施失效能够在24小时内发现……
关于规划的目标，有两点注意事项需要说明。
一是目标绝对不合理。目标是一种预测，没有人敢说预测是合理的；而且，目标是一种决心，你发誓要做什么，目标就会出来。目标其实是你自己战略的一个安排，决定你目标的是三个要素：你对未来的预测，你下的决心，你的战略想法。
二是实现目标的行动必须合理。理解了这点，规划就成功了大半，才能围绕实现目标制订行动计划。如果实现目标的行动是合理的，那么看似不合理的目标反而有实现的可能。
关于目标，陈春花老师有三个建议，笔者很赞同，在此也做些分享：
·目标一定是从上往下，一定不要从下往上。我们最喜欢犯的错误就是团队或者个人将自己要做的工作一报，报完集合起来然后往下一拍就行。目标绝对不能从底往上报，目标一定是上边来定，其他东西都可以授权，但是目标设定是不授权的。
·目标必须是个人的目标。目标一定要给到个人，而不可以给到部门。
·每一个人承接的不是目标，而是一套解决方案。他必须去承诺这个解决方案，怎么让这个目标实现。目标不是要确保实现1亿的销售额，而是要告诉我为了实现这个销售额的行动方案是什么。
此处，科普一下目标设定的SMART原则及在安全规划领域的应用，如图3-3所示。
图3-3SMART原则
(1）Specific—明确性
所谓明确的就是要用具体的语言清楚地说明要达成的行为标准。明确的目标几乎是所有成功团队的一致特点。很多团队不成功的重要原因之一就是目标模棱两可，或没有将目标有效地传达给相关成员。
举个例子，安全目标中有一条是“防黑反黑”。这种对目标的描述就很不明确，因为我们不知道要防护哪些目标，防护什么级别的黑暗力量。所以最后可以改成：能够承受除DDoS以外的黑客高手或者黑客集团的攻击；内部系统能有效防止非专业人员有意或者无意的数据泄露；能发现对内部重要服务器的普通内部黑客的攻击。
(2）Measurable—衡量性
可衡量的是指应该有一组明确的数据，作为衡量是否达成目标的依据。如果制订的目标没有办法衡量，就无法判断这个目标是否实现。
举个例子，定安全目标时，常见的用词是“提高××水平”“加强××能力”“完善××措施”,这些目标是无法衡量的，因为不知道要提高到什么水平，加强到什么能力，完善哪些措施。在内部定具体安全目标时尽量使用可量化的目标，例如，非我公司组织的互联网系统漏洞发现为0;管控措施失效能够在24小时内发现，等等。
（3）Attainable—可实现性
目标是能够被执行人所接受的，目标设置要坚持员工参与、上下左右沟通，使拟定的工作目标在组织及个人之间达成一致。目标不能是躺在床上就能完成的，也不能是“摘星星”的工作任务。
举个例子，中小金融企业如果提出所有安全防护系统和工具都自研这一目标，虽然勇气可嘉，然而实现起来却非常困难。当目标完全不可实现，会打击团队士气，造成“死猪不怕开水烫”的后果。
（4）Relevant—相关性
目标的相关性是指实现此目标与其他目标的关联情况。如果实现了这个目标，但对其他目标完全不相关，或者相关度很低，那么即使达到这个目标，意义也不大，还很有可能劳民伤财，得不偿失。
举个例子，所有安全规划的目标和任务都是围绕保障企业安全性，并最终促进企业战略目标来计划的，如果一项工作与企业战略目标完全无关，不管其技术先进性多么强，都应该忽略。
（5）Time-bound—时限性
目标的时限性是指目标是有时间限制的，没有时间约束的目标是没有办法衡量和评价的。
举个例子，安全工作的目标和任务需要时间约束，比如三年后达到什么安全水平，每一年提升哪些安全能力，每个季度完成哪些安全任务，都是时间条件强约束。
现状和差距
对于现状和差距主要考虑以下两点：
一是分析维度要全，建议分成安全管理、安全防护、安全运营、安全资源、安全度量五个维度。安全管理考虑组织架构、职责、制度、考核；安全防护考虑覆盖网络层、虚拟层、系统层、应用层、数据层、用户层的纵深防护技术体系；安全运营考虑安全运维、安全验证、安全反制；安全资源考虑人员、流程、资源；安全度量考虑技术维度、安全运营成效、安全满意度和安全价值。现状和差距最好能做到全量摸底，重点突出。
二是敢于自揭老底，自我否定。不要自我感觉良好，没发现异常很可能是发现能力不够，没有事件很可能是运气好。
3.3.3制订解决方案
目标确定并分析差距后，必须针对性地制订解决方案，才能确保目标落地实现。制订解决方案要注意以下几个原则：
一是要体系化。头痛医头脚痛医脚，可能短时间得到一点效果，但禁不住大BOSS问，怎么又是这个问题，怎么又要这个投入，你们能一次性和我说清楚吗，等等。有些问题，初看是技术问题，仔细想想，其实根源还是管理问题。遇到问题，最好从管理和技术两个方面考虑解决措施，得到综合的结果。
二是要可持续。金融企业有个常见的例子，给分行或分支机构上IPS/IDS，但分行或分支机构根本就没有能看懂IPS/IDS日志的管理员，如果合规要求必须上，那一定要考虑日志如何收集、分析和处理。最好的做法是将日志统一上收到总部，由总部统一管理和运营（注意不是运维，日常开机等还是分支机构管，日志分析和异常告警由总部完成）。每项安全措施、每套安全设备都是有管理成本的，如果仅仅上一个技术手段，而不考虑持续的运营，那么这个解决方案整体看来就是无效的。
三是要可接受。制订解决方案后，要确保安全团队的每位成员都从心里认同它、接受它，这样执行才会有效率和有效果。提高团队成员接受程度的一个好方法是，先让团队成员熟悉目标、现状、差距，然后找晚上时间进行头脑风暴，连续一周，强化训练。当然，头脑风暴过后，要记得去“撸串”，团队建设、凝聚力、肚子饿的问题就都一并解决了。
3.3.4定稿
一稿，二稿，……，定稿。关键是迈出第一步，完成第一稿，万事开头难，一旦开始就停不下来了。这个过程还有一个很重要的环节—征求意见。首先，在安全团队内部充分讨论、碰撞，形成共识；其次，在IT内部其他团队征求意见，取得共识；再次，要做好上层汇报，完成定稿。
3.3.5上层汇报
管理领域有个话题—如何管理你的上级，将上级作为你工作的资源之一。这是非常重要而有趣的话题。安全汇报是“管理”上级工作中非常重要的一环，往往也是安全人员最不擅长的一环。
首先，要建立面向高级管理层、IT部门总经理、安全团队内部的安全汇报体系。每年至少要向高级管理层汇报1~2次，内容包括安全规划、安全形势、重大安全决策等。汇报形式可以是IT治理委员会或总裁办公会框架下的正式会议，也可以是定期的签报形式，这取决于企业内部的流程规定和具体需求。
其次，要在IT部门和安全团队内部进行常态化的安全汇报，此类汇报的内容要围绕三个目的展开—介绍取得的成果（邀功），表扬先进和督促后进，索要资源。
具体到安全规划的汇报，建议先向IT部门总经理汇报，就目标、计划、资源达成一致。但大部分总经理没有精力也不应该过多关注解决方案等细节，最多可能关心现状分析中存在的主要问题。达成一致后最好能在高级管理层汇报一次，可以是单独的安全规划议题，也可以合并在IT战略规划中，向高级管理层报告。
3.3.6执行与回顾
安全规划的执行与回顾，是规划全生命周期中非常重要的一个环节。因为一个看似一般但严格执行的规划，远胜于一个看似很好却无法或未能执行的规划。为了确保安全规划的落实，最好的方法是将安全规划目标分解落实到安全重点项目和工作任务，再将重点项目和工作任务分解落实到安全团队每位员工的年度绩效考核中。至少每季度开展一次重点项目和工作任务的回顾，至少每半年开展一次安全团队员工绩效的回顾，回顾后需要制订针对性的改进措施。
在实践中，经常可以听到关于规划无用论的抱怨，如果做完规划就将之束之高阁，那么规划当然没用。而坚定不移地执行规划并做好定期回顾，将规划作为真正的行动指南，规划才能避免成为空中楼阁。
通常信息安全规划一次做三年，每年滚动更新。任正非说过，方向可以大致正确，组织必须充满活力。就是说，大家必须充满活力地去执行规划，但在执行中可以随时调整规划。
3.4 注意事项
从某种意义上讲，安全规划其实是一套行动方案。规划不是目标分解，而是行动指南。在做规划的时候，还有以下几点要特别注意，才能取得更好的成效。
一是要有逻辑，切记堆砌。很多企业安全负责人不重视安全规划，为了省时间，简单地把自己想做的工作全部罗列出来，就形成了一个安全规划。但对于为什么要做这些工作，能解决什么问题，提高到什么安全水平，和同业的差距等，没有系统的介绍，那这份安全规划得到高级管理层支持的概率会很低。
二是既要实（可落地），也要虚（远大目标），虚实结合。总体目标、方向上可以务虚，眼光看远一些，目标定高一些；具体措施上、行动上必须务实，脚踏实地，分解成一项一项行动计划，才可以确保规划的最终效果。
3.5 小结
年底是企业安全负责人最忙的时间，但也是做安全规划的最佳时机，必须重视安全规划，因为安全规划是“纲”，而“纲举”方能“目张”。适时做出一份看起来高大上、实际实施又接地气、可执行的信息安全规划，是企业安全负责人的必备技能。
黑客/网络安全学习路线
对于从来没有接触过黑客/网络安全的同学，目前网络安全、信息安全也是计算机大学生毕业薪资相对较高的学科。
大白也帮大家准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
这也是耗费了大白近四个月的时间，吐血整理，文章非常非常长，觉得有用的话，希望粉丝朋友帮忙点个**「分享」「收藏」「在看」「赞」**
网络安全/渗透测试法律法规必知必会****
今天大白就帮想学黑客/网络安全技术的朋友们入门必须先了解法律法律。
【网络安全零基础入门必知必会】什么是黑客、白客、红客、极客、脚本小子？（02）
【网络安全零基础入门必知必会】网络安全专业术语全面解析（05）
【网络安全入门必知必会】《中华人民共和国网络安全法》（06）
【网络安全零基础入门必知必会】《计算机信息系统安全保护条例》（07）
【网络安全零基础入门必知必会】《中国计算机信息网络国际联网管理暂行规定》（08）
【网络安全零基础入门必知必会】《计算机信息网络国际互联网安全保护管理办法》（09）
【网络安全零基础入门必知必会】《互联网信息服务管理办法》（10）
【网络安全零基础入门必知必会】《计算机信息系统安全专用产品检测和销售许可证管理办法》（11）
【网络安全零基础入门必知必会】《通信网络安全防护管理办法》（12）
【网络安全零基础入门必知必会】《中华人民共和国国家安全法》（13）
【网络安全零基础入门必知必会】《中华人民共和国数据安全法》（14）
【网络安全零基础入门必知必会】《中华人民共和国个人信息保护法》（15）
【网络安全零基础入门必知必会】《网络产品安全漏洞管理规定》（16）
网络安全/渗透测试linux入门必知必会
【网络安全零基础入门必知必会】什么是Linux？Linux系统的组成与版本？什么是命令（01）
【网络安全零基础入门必知必会】VMware下载安装，使用VMware新建虚拟机，远程管理工具（02）
【网络安全零基础入门必知必会】VMware常用操作指南（非常详细）零基础入门到精通，收藏这一篇就够了（03）
【网络安全零基础入门必知必会】CentOS7安装流程步骤教程（非常详细）零基入门到精通，收藏这一篇就够了（04）
【网络安全零基础入门必知必会】Linux系统目录结构详细介绍（05）
【网络安全零基础入门必知必会】Linux 命令大全（非常详细）零基础入门到精通，收藏这一篇就够了（06）
【网络安全零基础入门必知必会】linux安全加固（非常详细）零基础入门到精通，收藏这一篇就够了（07）
网络安全/渗透测试****计算机网络入门必知必会****
【网络安全零基础入门必知必会】TCP/IP协议深入解析（非常详细）零基础入门到精通，收藏这一篇就够了（01）
【网络安全零基础入门必知必会】什么是HTTP数据包&Http数据包分析（非常详细）零基础入门到精通，收藏这一篇就够了（02）
【网络安全零基础入门必知必会】计算机网络—子网划分、子网掩码和网关（非常详细）零基础入门到精通，收藏这一篇就够了（03）
网络安全/渗透测试入门之HTML入门必知必会
【网络安全零基础入门必知必会】什么是HTML&HTML基本结构&HTML基本使用（非常详细）零基础入门到精通，收藏这一篇就够了1
【网络安全零基础入门必知必会】VScode、PhpStorm的安装使用、Php的环境配置，零基础入门到精通，收藏这一篇就够了2
【网络安全零基础入门必知必会】HTML之编写登录和文件上传（非常详细）零基础入门到精通，收藏这一篇就够了3
网络安全/渗透测试入门之Javascript入门必知必会
【网络安全零基础入门必知必会】Javascript语法基础（非常详细）零基础入门到精通，收藏这一篇就够了（01）
【网络安全零基础入门必知必会】Javascript实现Post请求、Ajax请求、输出数据到页面、实现前进后退、文件上传（02）
网络安全/渗透测试入门之Shell入门必知必会
【网络安全零基础入门必知必会】Shell编程基础入门（非常详细）零基础入门到精通，收藏这一篇就够了（第七章）
网络安全/渗透测试入门之PHP入门必知必会
【网络安全零基础入门】PHP环境搭建、安装Apache、安装与配置MySQL（非常详细）零基础入门到精通，收藏这一篇就够（01）
【网络安全零基础入门】PHP基础语法（非常详细）零基础入门到精通，收藏这一篇就够了（02）
【网络安全零基础入门必知必会】PHP+Bootstrap实现表单校验功能、PHP+MYSQL实现简单的用户注册登录功能（03）
网络安全/渗透测试入门之MySQL入门必知必会
【网络安全零基础入门必知必会】MySQL数据库基础知识/安装（非常详细）零基础入门到精通，收藏这一篇就够了（01）
【网络安全零基础入门必知必会】SQL语言入门（非常详细）零基础入门到精通，收藏这一篇就够了（02）
【网络安全零基础入门必知必会】MySQL函数使用大全（非常详细）零基础入门到精通，收藏这一篇就够了（03）
【网络安全零基础入门必知必会】MySQL多表查询语法（非常详细）零基础入门到精通，收藏这一篇就够了（04）
****网络安全/渗透测试入门之Python入门必知必会
【网络安全零基础入门必知必会】之Python+Pycharm安装保姆级教程，Python环境配置使用指南，收藏这一篇就够了【1】
【网络安全零基础入门必知必会】之Python编程入门教程（非常详细）零基础入门到精通，收藏这一篇就够了（2）
python入门教程python开发基本流程控制if … else
python入门教程之python开发可变和不可变数据类型和hash
【网络安全零基础入门必知必会】之10个python爬虫入门实例(非常详细)零基础入门到精通，收藏这一篇就够了（3）
****网络安全/渗透测试入门之SQL注入入门必知必会
【网络安全渗透测试零基础入门必知必会】之初识SQL注入（非常详细）零基础入门到精通，收藏这一篇就够了（1）
【网络安全渗透测试零基础入门必知必会】之SQL手工注入基础语法&工具介绍（2）
【网络安全渗透测试零基础入门必知必会】之SQL注入实战（非常详细）零基础入门到精通，收藏这一篇就够了（3）
【网络安全渗透测试零基础入门必知必会】之SQLmap安装&实战（非常详细）零基础入门到精通，收藏这一篇就够了（4）
【网络安全渗透测试零基础入门必知必会】之SQL防御（非常详细）零基础入门到精通，收藏这一篇就够了（4）
****网络安全/渗透测试入门之XSS攻击入门必知必会
【网络安全渗透测试零基础入门必知必会】之XSS攻击基本概念和原理介绍（非常详细）零基础入门到精通，收藏这一篇就够了（1）
网络安全渗透测试零基础入门必知必会】之XSS攻击获取用户cookie和用户密码（实战演示）零基础入门到精通收藏这一篇就够了（2）
【网络安全渗透测试零基础入门必知必会】之XSS攻击获取键盘记录（实战演示）零基础入门到精通收藏这一篇就够了（3）
【网络安全渗透测试零基础入门必知必会】之xss-platform平台的入门搭建（非常详细）零基础入门到精通，收藏这一篇就够了4
【网络安全渗透测试入门】之XSS漏洞检测、利用和防御机制XSS游戏（非常详细）零基础入门到精通，收藏这一篇就够了5
****网络安全/渗透测试入门文件上传攻击与防御入门必知必会
【网络安全渗透测试零基础入门必知必会】之什么是文件包含漏洞&分类（非常详细）零基础入门到精通，收藏这一篇就够了1
【网络安全渗透测试零基础入门必知必会】之cve实际漏洞案例解析（非常详细）零基础入门到精通， 收藏这一篇就够了2
【网络安全渗透测试零基础入门必知必会】之PHP伪协议精讲(文件包含漏洞)零基础入门到精通，收藏这一篇就够了3
【网络安全渗透测试零基础入门必知必会】之如何搭建 DVWA 靶场保姆级教程（非常详细）零基础入门到精通，收藏这一篇就够了4
【网络安全渗透测试零基础入门必知必会】之Web漏洞-文件包含漏洞超详细全解（附实例）5
【网络安全渗透测试零基础入门必知必会】之文件上传漏洞修复方案6
****网络安全/渗透测试入门CSRF渗透与防御必知必会
【网络安全渗透测试零基础入门必知必会】之CSRF漏洞概述和原理（非常详细）零基础入门到精通， 收藏这一篇就够了1
【网络安全渗透测试零基础入门必知必会】之CSRF攻击的危害&分类（非常详细）零基础入门到精通， 收藏这一篇就够了2
【网络安全渗透测试零基础入门必知必会】之XSS与CSRF的区别（非常详细）零基础入门到精通， 收藏这一篇就够了3
【网络安全渗透测试零基础入门必知必会】之CSRF漏洞挖掘与自动化工具（非常详细）零基础入门到精通，收藏这一篇就够了4
【网络安全渗透测试零基础入门必知必会】之CSRF请求伪造&Referer同源&置空&配合XSS&Token值校验&复用删除5
****网络安全/渗透测试入门SSRF渗透与防御必知必会
【网络安全渗透测试零基础入门必知必会】之SSRF漏洞概述及原理（非常详细）零基础入门到精通，收藏这一篇就够了 1
【网络安全渗透测试零基础入门必知必会】之SSRF相关函数和协议（非常详细）零基础入门到精通，收藏这一篇就够了2
【网络安全渗透测试零基础入门必知必会】之SSRF漏洞原理攻击与防御（非常详细）零基础入门到精通，收藏这一篇就够了3**
**
****网络安全/渗透测试入门XXE渗透与防御必知必会
【网络安全渗透测试零基础入门必知必会】之XML外部实体注入（非常详细）零基础入门到精通，收藏这一篇就够了1
网络安全渗透测试零基础入门必知必会】之XXE的攻击与危害（非常详细）零基础入门到精通，收藏这一篇就够了2
【网络安全渗透测试零基础入门必知必会】之XXE漏洞漏洞及利用方法解析（非常详细）零基础入门到精通，收藏这一篇就够了3
【网络安全渗透测试零基础入门必知必会】之微信XXE安全漏洞处理（非常详细）零基础入门到精通，收藏这一篇就够了4
****网络安全/渗透测试入门远程代码执行渗透与防御必知必会
【网络安全渗透测试零基础入门必知必会】之远程代码执行原理介绍（非常详细）零基础入门到精通，收藏这一篇就够了1
【网络安全零基础入门必知必会】之CVE-2021-4034漏洞原理解析（非常详细）零基础入门到精通，收藏这一篇就够了2
【网络安全零基础入门必知必会】之PHP远程命令执行与代码执行原理利用与常见绕过总结3
【网络安全零基础入门必知必会】之WEB安全渗透测试-pikachu&DVWA靶场搭建教程，零基础入门到精通，收藏这一篇就够了4
****网络安全/渗透测试入门反序列化渗透与防御必知必会
【网络安全零基础入门必知必会】之什么是PHP对象反序列化操作（非常详细）零基础入门到精通，收藏这一篇就够了1
【网络安全零基础渗透测试入门必知必会】之php反序列化漏洞原理解析、如何防御此漏洞？如何利用此漏洞？2
【网络安全渗透测试零基础入门必知必会】之Java 反序列化漏洞（非常详细）零基础入门到精通，收藏这一篇就够了3
【网络安全渗透测试零基础入门必知必会】之Java反序列化漏洞及实例解析（非常详细）零基础入门到精通，收藏这一篇就够了4
【网络安全渗透测试零基础入门必知必会】之CTF题目解析Java代码审计中的反序列化漏洞，以及其他漏洞的组合利用5
网络安全/渗透测试**入门逻辑漏洞必知必会**
【网络安全渗透测试零基础入门必知必会】之一文带你0基础挖到逻辑漏洞（非常详细）零基础入门到精通，收藏这一篇就够了
网络安全/渗透测试入门暴力猜解与防御必知必会
【网络安全渗透测试零基础入门必知必会】之密码安全概述（非常详细）零基础入门到精通，收藏这一篇就够了1
【网络安全渗透测试零基础入门必知必会】之什么样的密码是不安全的？（非常详细）零基础入门到精通，收藏这一篇就够了2
【网络安全渗透测试零基础入门必知必会】之密码猜解思路（非常详细）零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之利用Python暴力破解邻居家WiFi密码、压缩包密码，收藏这一篇就够了4
【网络安全渗透测试零基础入门必知必会】之BurpSuite密码爆破实例演示，零基础入门到精通，收藏这一篇就够了5
【网络安全渗透测试零基础入门必知必会】之Hydra密码爆破工具使用教程图文教程，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之暴力破解medusa，零基础入门到精通，收藏这一篇就够了7
【网络安全渗透测试零基础入门必知必会】之Metasploit抓取密码，零基础入门到精通，收藏这一篇就够了8
****网络安全/渗透测试入门掌握Redis未授权访问漏洞必知必会
【网络安全渗透测试零基础入门必知必会】之Redis未授权访问漏洞，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之Redis服务器被攻击后该如何安全加固，零基础入门到精通，收藏这一篇就够了**
**
网络安全/渗透测试入门掌握**ARP渗透与防御关必知必会**
【网络安全渗透测试零基础入门必知必会】之ARP攻击原理解析，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之ARP流量分析，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之ARP防御策略与实践指南，零基础入门到精通，收藏这一篇就够了
网络安全/渗透测试入门掌握系统权限提升渗透与防御关****必知必会
【网络安全渗透测试零基础入门必知必会】之Windows提权常用命令，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之Windows权限提升实战，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之linux 提权（非常详细）零基础入门到精通，收藏这一篇就够了
网络安全/渗透测试入门掌握Dos与DDos渗透与防御相关****必知必会
【网络安全渗透测试零基础入门必知必会】之DoS与DDoS攻击原理（非常详细）零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之Syn-Flood攻击原理解析（非常详细）零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之IP源地址欺骗与dos攻击，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之SNMP放大攻击原理及实战演示，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之NTP放大攻击原理，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之什么是CC攻击？CC攻击怎么防御？，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之如何防御DDOS的攻击？零基础入门到精通，收藏这一篇就够了
网络安全/渗透测试入门掌握无线网络安全渗透与防御相关****必知必会
【网络安全渗透测试零基础入门必知必会】之Aircrack-ng详细使用安装教程，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之aircrack-ng破解wifi密码(非常详细)零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之WEB渗透近源攻击，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之无线渗透|Wi-Fi渗透思路，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之渗透WEP新思路Hirte原理解析，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之WPS的漏洞原理解析，零基础入门到精通，收藏这一篇就够了
网络安全/渗透测试入门掌握木马免杀问题与防御********必知必会
【网络安全渗透测试零基础入门必知必会】之Metasploit – 木马生成原理和方法，零基础入门到精通，收藏这篇就够了
【网络安全渗透测试零基础入门必知必会】之MSF使用教程永恒之蓝漏洞扫描与利用，收藏这一篇就够了
网络安全/渗透测试入门掌握Vulnhub靶场实战********必知必会
【网络安全渗透测试零基础入门必知必会】之Vulnhub靶机Prime使用指南，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之Vulnhub靶场Breach1.0解析，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之vulnhub靶场之DC-9，零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之Vulnhub靶机Kioptrix level-4 多种姿势渗透详解，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之Vulnhub靶场PWNOS: 2.0 多种渗透方法，收藏这一篇就够了
网络安全/渗透测试入门掌握社会工程学必知必会
【网络安全渗透测试零基础入门必知必会】之什么是社会工程学？定义、类型、攻击技术，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之社会工程学之香农-韦弗模式，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之社工学smcr通信模型，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之社会工程学之社工步骤整理（附相应工具下载）收藏这一篇就够了
网络安全/渗透测试入门掌握********渗透测试工具使用******必知必会**
2024版最新Kali Linux操作系统安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了
【网络安全渗透测试零基础入门必知必会】之渗透测试工具大全之Nmap安装使用命令指南，零基础入门到精通，收藏这一篇就够了
2024版最新AWVS安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了
2024版最新burpsuite安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了
2024版最新owasp_zap安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了
2024版最新Sqlmap安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了
2024版最新Metasploit安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了
2024版最新Nessus下载安装激活使用教程（非常详细）零基础入门到精通，收藏这一篇就够了
2024版最新Wireshark安装使用教程（非常详细）零基础入门到精通，收藏这一篇就够了
觉得有用的话，希望粉丝朋友帮大白点个**「分享」「收藏」「在看」「赞」**
黑客/网络安全学习包
资料目录
-
成长路线图&学习规划
-
配套视频教程
-
SRC&黑客文籍
-
护网行动资料
-
黑客必读书单
-
面试题合集
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享
1.成长路线图&学习规划
要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享
2.视频教程
很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享
3.SRC&黑客文籍
大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录
SRC技术文籍：
黑客资料由于是敏感资源，这里不能直接展示哦！
4.护网行动资料
其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！
5.黑客必读书单
**
**
6.面试题合集
当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。
更多内容为防止和谐，可以扫描获取~
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
扫一扫
1506
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
