网络安全（黑客）学习的三大不可取之处-优快云博客

本文链接：https://blog.youkuaiyun.com/chengxuyuanyy/article/details/143845874

经常有同学问关于网络安全学习的问题，还有学习方向的选择问题，学什么不学什么等等，由于存在以下三个问题，所以经常会感到迷茫，想学习无从下手。
在这里插入图片描述

一、急功近利

每个人进入安全行业的时候都有问题和诱惑，比如某些排行榜，看着大佬们挖洞那么容易，肯定也会羡慕；各大CTF比赛，别人团队突破那么多题目，自己智能做个签到题；各种黑客大会，大佬们展示自己挖到的0day漏洞，什么浏览器、什么路由器、什么系统漏洞这些CVE编号，会问自己怎么不行。

安全圈也是一个江湖，有江湖的地方就会有排行榜，就会有大佬和菜鸟，每一个菜鸟都想成为大佬，如何成为大佬就是菜鸟们最关注的问题。所以就涌现出好多的急功近利者，这个知识点没有弄清楚，就去看另外一个知识点；普通的漏洞都没有挖到过，还想要去挖0day漏洞，期望可以通过这种方式成为大佬，脱离菜鸟的队伍。

任何学习参考、学习路径和方向，都不能让你直接成为大佬，基础一定是自己努力后的结果。大家从小就听过拔苗助长的故事，不符合发展规律的方式只会让你根基不稳，虽然学了很多花拳绣腿的东西，真正实战的时候根本无法解决问题。最后还是靠自己扎实的学习，解决问题的能力在社会上立足。

所以急功近利的心态一定不能有，别人的成功不是一朝一夕的事情，踏踏实实的学习，安全相关的基础不能丢！

二、眼高手低

安全圈算是互联网里比较小的一个群体，这个群体在用户的眼里还是很神秘的，比如大家都知道黑客、病毒这类词语，对于安全从业者的认识也是从新闻中一些xxx黑客入侵了xxx，哪些电脑中了xxx病毒，电脑卡，文件被锁等等。在圈子里，存在一个顺口溜：唬得住 50k、唬不住 5k，解释一下就是在找安全工作的时候，面试好了可以要 50k，面试不好可以要 5k，说明安全行业没有一个好的标准去评判一个人的能力水平，公司企业懂安全的人也比较少，大量的面试官是没有能力识别安全人员的水平到底怎么样的。

为什么会说眼高手低呢？因为面试主要看聊的怎么样，往往你看的资料多，啥都说一说，就能唬住大量的面试官，不可能让你实战去搞一个网站，人都是趋于懒惰的，能不动手尽量不动手，能看懂技术文章就认为自己会了，而不去亲自实践，这也是大量的安全初学者喜欢看视频学习的原因，讲师在视频里搭建环境，测试教学，学员看完就觉得学会了，自己并不会去实践，然而这种学习方式是非常不可取的，一方面记忆是个问题，用不了多久就忘了，另一方面在自己解决问题的时候，遇到问题发现一脸懵逼，老师就是这么操作的，为啥我会有问题呢？最后还是要自己去研究原理，或者主动搜索解决办法，解决前辈的经验。

技术不是理论，看一看就行，技术对于动手能力的要求是非常关键的，理论指导实践，没有理论你就没有方向，没有技术你没法解决实际问题，我们作为安全技术的人才，实践动手能力不可缺，能动手就不要光看，别人说的不一定对，相信自己的操作，一定要实操验证，不能人云亦云，真理是实践出来的。

三、三心二意

在学习web安全的时候，看到很多公众号在发内网渗透的技术和文章，又觉得自己内网方面啥都不会，很焦虑，这就是三心二意惹的祸，吃的碗里看着锅里，在安全初学的时候一定要专注，先把一个领域研究透了，再去扩展其他方面，由浅入深的学习方法是可以复用的，一个方面学深，另一个方向再去学的时候会事半功倍，很容易做好。

安全行业的细分领域太多，每两年就会出一个新的概念，从最开始的渗透测试、web 安全，内网渗透到现在的红蓝对抗、威胁情报、移动安全、代码审计、态势感知等，对于安全初学者而言，最有吸引力的还是渗透和红蓝对抗，因为这两个方向是攻击领域的，也是突破权限最有成就感的事情，研究的技术都是最新最有用的，是走在安全技术的前沿的，也是学习和研究人数最多的。

在初学安全的时候，一定会经受各种各样的诱惑，时间和精力是有限的，如今的人才标准是 T 字型的人才，在一个方向深扎下去，可以体现自己的能力，然后扩展知识面，可以在多个领域发挥自己的作用，这样的人才是所有公司都想要的人才。

总结

关于学习这个事儿，每个人都有自己想法，没有一个通用的学习方法适合所有的人，我们能做的就是分享自己的一些想法和经验，希望可以帮助一些目前正在面临一些选择和迷茫的同学

同时，我也在用尽全力帮助那些想要转行、想要高薪工作、想要改变自己生活的同学。这么多年年以来，一直专注于网络安全这个方向，让大家学到真正的网络安全知识、真正的找到心仪的工作！

题外话

根据腾讯安全发布的《互联网安全报告》，目前中国网络安全人才供应严重匮乏，每年高校安全专业培养人才仅有3万余人，而网络安全岗位缺口已达70万，缺口高达95%。

在这里插入图片描述

我们到招聘网站上，搜索【网络安全】【Web安全工程师】【渗透测试】等职位名称，可以看到安全岗位薪酬待遇好，随着工龄和薪酬增长，呈现「越老越吃香」的情况。

在这里插入图片描述

我们看一看招聘网站技术向网络工程师的招聘要求，平均薪资水平相当可观：

在这里插入图片描述

网络安全学习路线&学习资源

网络安全的知识多而杂，怎么科学合理安排？

下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！

初级网工

1、网络安全理论知识（2天）

①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）

①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）

①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）

①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）

①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）

①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

【“脚本小子”成长进阶资源领取】

7、脚本编程（初级/中级/高级）

在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级网工

这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。

一些我自己买的、其他平台白嫖不到的视频教程：

需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。