零基础学网络安全：别先学编程！3 个月入门计划（附免费资源）

零基础学网络安全：别先学编程！3 个月入门计划（附免费资源）

很多零基础想入门网络安全的朋友，一搜 “学习路线” 就被吓退 ——“先学 Python，再学 C++，还要懂汇编”“必须会逆向，否则没前途”。但其实，网络安全入门根本不用先啃编程！

我见过太多新手，抱着《Python 编程从入门到实践》啃了 1 个月，连 “怎么用 Nmap 扫个端口” 都不会，最后彻底放弃。网络安全的核心是 “解决安全问题”，不是 “写代码”—— 零基础先学 “实用工具 + 基础原理”，能快速上手实操，建立信心，这才是正确的入门路径。

这篇 3 个月入门计划，每天只需 1-2 小时，全程避开复杂编程，用免费资源和靶场练手，帮你从 “啥也不会” 到 “能独立找低危漏洞”，真正走对入门第一步。

一、先打破 3 个误区：零基础入门的 “拦路虎”

在开始计划前，必须先纠正 3 个新手最容易踩的坑，避免走弯路：

误区 1：“不学编程就做不了网络安全”

—— 错！入门阶段 80% 的工作用 “现成工具” 就能完成（比如 Nmap 扫资产、Burp 抓包、Sqlmap 测注入），根本不用写代码。

举例：用 Nmap 扫 “家里的联网设备”，只需复制命令nmap 192.168.1.1/24，不用懂 Python；用 DVWA 复现 SQL 注入，跟着改参数就行，不用写一行代码。

正确逻辑：先会 “用工具解决问题”，等需要自动化（比如批量扫 100 台服务器）时，再学 Python 不迟。

误区 2：“要背完所有协议 / 漏洞原理才能入门”

—— 错！新手不用死记 “TCP 三次握手”“OSI 七层模型”，先懂 “用得上的核心概念” 就行。

举例：不用背 HTTP 协议的所有字段，只需知道 “HTTPS 比 HTTP 安全（有小锁）”“404 是页面找不到”“500 是网站崩了”，这些足够应对入门场景。

正确逻辑：用 “场景驱动学习”—— 遇到 “扫不出端口”，再去查 “防火墙挡住了哪些端口”；遇到 “登录报错”，再去了解 “SQL 注入的基本逻辑”。

误区 3：“必须报几千块的培训班才能学会”

—— 错！现在免费资源足够零基础入门，培训班的 “速成课” 反而容易让你 “只会抄步骤，不懂原理”。

举例：TryHackMe、DVWA 等靶场免费开放，B 站、YouTube 上有大量新手教程，甚至厂商 SRC 还有免费的漏洞提交指南。

正确逻辑：先靠免费资源练 3 个月，能独立找低危漏洞后，再根据需求报进阶班（如果需要）。

二、3 个月入门计划：每天 1-2 小时，从 “0 到能实操”

第 1 个月：打基础 —— 学 “能用得上的核心知识”（不用背，靠实操记）

目标：掌握 “操作系统 + 网络基础 + 工具入门”，能独立完成 “扫资产 + 看日志 + 抓包”。

每周任务拆解（每天 1.5 小时）

周次	核心内容	每天具体操作（1.5 小时）	目标成果
第 1 周	Linux 基础命令（入门必学，服务器常用）	1. 安装 VMware+Ubuntu（附免费镜像链接，跟着教程点鼠标）；2. 学 3 个命令： - ls（看文件）、cd（切目录）、pwd（看当前路径）；3. 每天练 10 分钟：用命令找 “/home” 目录下的文件。	能在 Linux 里 “导航”，知道怎么找文件
第 2 周	Linux 安全相关命令（实用！）	1. 学 3 个命令： - netstat -tuln（看开放端口，比如 80/443）； - grep（搜日志，比如grep “error” /var/log/auth.log）； - sudo（提权，比如sudo apt update）；2. 每天练 15 分钟：用netstat看自己电脑开了哪些端口。	能查 “电脑开了哪些端口”“日志里有没有错误”
第 3 周	HTTP 基础（看懂网页通信）	1. 用 Chrome 浏览器 “F12” 看请求： - 打开百度，F12→Network→刷新，找 “www.baidu.com” 的请求； - 看 “Status Code”（状态码，比如 200 是成功）、“Request Method”（GET/POST）；2. 记 3 个核心概念： - HTTPS 有 “小锁”（加密），HTTP 没有； - GET 请求参数在 URL 里（比如?id=1），POST 在 body 里； - 403 是 “没权限”，404 是 “找不到页面”。	能看懂 “网页请求有没有问题”，知道 HTTPS 和 HTTP 的区别
第 4 周	工具入门（Nmap+Chrome F12）	1. 学 Nmap（扫资产工具）： - 下载 Nmap（Windows/macOS 都有免费版）； - 练 2 个命令： - nmap 127.0.0.1（扫自己电脑）； - nmap -p 80,443 192.168.1.1（扫路由器的 80/443 端口）；2. 用 Chrome F12 抓百度搜索请求，看 “Form Data” 里的 “wd” 参数（就是你搜的关键词）。	能用 Nmap 扫 “家里的设备”，能抓网页请求看参数

第 1 个月免费资源包

• Ubuntu 镜像：阿里云开源镜像站（选 22.04 LTS 版，稳定）；

• Nmap 下载：Nmap 官网（Windows 直接下.exe，macOS 用brew install nmap）；

• 学习视频：B 站 “Linux 就该这么学” 第 1-5 集（只看命令实操部分，不用看理论）。

第 2 个月：练靶场 —— 从 “看教程” 到 “自己动手复现漏洞”

目标：在免费靶场练手，复现 3 个核心漏洞（SQL 注入、XSS、弱口令），知道 “漏洞怎么利用，怎么防护”。

每周任务拆解（每天 2 小时）

周次	核心内容	每天具体操作（2 小时）	目标成果
第 5 周	搭建 DVWA 靶场（最适合新手的 Web 靶场）	1. 用 Docker 搭建 DVWA（简单！不用装环境）： - 安装 Docker Desktop（免费版）； - 执行命令docker pull vulnerables/web-dvwa； - 启动命令docker run -d -p 80:80 vulnerables/web-dvwa；2. 访问http://localhost，登录（默认账号 admin/password），切换到 “Low” 等级。	成功搭建 DVWA，能登录并切换等级
第 6 周	复现 SQL 注入（最基础的漏洞）	1. 进入 DVWA “SQL Injection” 模块： - 输入1，点 Submit，看返回结果； - 输入1’ or 1=1-- （注意空格），看是否返回所有用户； - 查教程理解 “为什么这样能绕过”（不用懂代码，知道 “’ 闭合引号，or 1=1 让条件恒真” 就行）；2. 每天练 20 分钟：尝试不同的注入语句（比如1’ union select 1,2-- ）。	能在 DVWA Low 等级复现 SQL 注入，知道基本原理
第 7 周	复现 XSS（跨站脚本，常见漏洞）	1. 进入 DVWA“XSS (Stored)” 模块（存储型 XSS）： - Name 输 “test”，Message 输； - 点 Submit，看是否弹出 “xss” 弹窗；2. 理解 “为什么危险”： - 弹窗代表 “脚本被执行”，真实场景中可能偷 Cookie、跳钓鱼页；3. 练防护：切换到 “High” 等级，看 XSS 是否被拦截（理解 “输入过滤” 的作用）。	能复现存储型 XSS，知道漏洞危害和基础防护
第 8 周	复现弱口令 + TryHackMe 入门	1. DVWA “Brute Force” 模块（暴力破解）： - 用 Burp Suite 社区版抓包，尝试用 “admin/password” 登录（弱口令）；2. 注册 TryHackMe 账号（免费）： - 完成 “Pre Security” 路径的 “Introduction to Networking” 房间（全中文引导，学基础网络知识）。	能识别弱口令，入门 TryHackMe 靶场

第 2 个月免费资源包

• DVWA 搭建教程：Vulhub 官网（Docker 版最适合新手）；

• Burp Suite 社区版：PortSwigger 官网（免费，够用）；

• TryHackMe：TryHackMe 官网（注册免费，“Pre Security” 路径全免费）；

• 漏洞复现视频：B 站 “DVWA 漏洞复现”（找 “Low 等级” 的教程，跟着操作）。

第 3 个月：做任务 —— 从 “练靶场” 到 “实战小任务”

目标：完成 2 个 “实战级小任务”（提交 SRC 低危漏洞、写漏洞报告），积累真实经验，为后续进阶打基础。

每周任务拆解（每天 2 小时）

周次	核心内容	每天具体操作（2 小时）	目标成果
第 9 周	了解厂商 SRC（漏洞提交平台）	1. 注册 1 个大厂 SRC（推荐 “阿里 SRC” 或 “腾讯 TSRC”）： - 阿里 SRC：https://security.alibaba.com/； - 看 “漏洞提交指南”，重点看 “低危漏洞范围”（比如弱口令、信息泄露）；2. 找 “新手友好的漏洞类型”： - 信息泄露（比如/robots.txt泄露后台地址、/backup.zip泄露备份文件）； - 弱口令（比如管理后台用 “admin/123456” 登录）。	理解 SRC 是什么，知道低危漏洞有哪些
第 10 周	找低危漏洞（从 “自己的小网站” 开始）	1. 如果你有自己的博客 / 小网站： - 用 Nmap 扫端口，看是否开放不必要的端口（比如 3306 数据库端口）； - 检查/robots.txt，看是否泄露敏感路径； - 尝试用 “admin/123456” 登录后台（测试弱口令）；2. 没有网站？用 “本地搭建的 DVWA” 模拟： - 找 DVWA 的 “信息泄露” 漏洞（比如/phpinfo.php泄露 PHP 配置）。	能在自己的环境中找低危漏洞
第 11 周	写漏洞报告（新手版）	1. 参考 SRC 的 “报告模板”，写 1 份简单报告： - 标题：【信息泄露】某网站/robots.txt泄露后台地址； - 漏洞位置：http://xxx.com/robots.txt； - 复现步骤：1. 访问该 URL；2. 看到 “Disallow: /admin”（后台地址）； - 危害：攻击者可能利用后台地址尝试暴力破解； - 修复建议：删除robots.txt中的敏感路径；2. 用 Word 或 Markdown 写，附 1-2 张截图（URL 截图、漏洞效果截图）。	能写出 “逻辑清晰、有截图” 的漏洞报告
第 12 周	提交漏洞 / 总结复盘	1. 尝试提交漏洞： - 如果你在自己的网站 / 本地环境找到漏洞，可模拟提交到 SRC（熟悉流程）； - 也可以找 “公益 SRC”（比如 “CNVD 公益漏洞平台”）提交低危漏洞；2. 复盘 3 个月学习： - 整理 “学会的工具”（Nmap、Burp、DVWA）； - 整理 “学会的漏洞”（SQL 注入、XSS、弱口令、信息泄露）； - 确定下一步方向（比如 “学云安全” 或 “学内网渗透”）。	熟悉漏洞提交流程，明确后续学习方向

第 3 个月免费资源包

• 厂商 SRC 列表：安全客 SRC 平台汇总（选 “新手友好” 的平台）；

• 漏洞报告模板：阿里 SRC “漏洞提交指南” 中的模板（直接参考格式）；

• 公益漏洞平台：CNVD 公益漏洞提交（适合新手练手）。

三、新手避坑 4 条铁律（比学技术更重要）

1. 别贪多：3 个月只学计划里的内容，别同时学 “逆向”“工控安全”—— 贪多会导致 “什么都学不会”；

2. 别只看视频不动手：看 10 遍教程，不如自己动手练 1 遍 —— 比如学 Nmap，一定要自己输命令、看结果；

3. 别害怕报错：遇到 “命令执行失败”“靶场打不开”，先百度报错信息（比如 “nmap command not found” 就是没装 Nmap），新手 90% 的问题都能在百度找到答案；

4. 别触碰法律红线：只在 “自己的环境”“公开靶场”“授权 SRC” 操作，绝对别扫陌生网站、查别人数据（参考上一篇《网络安全≠黑客！3 分钟分清合法与违法》）。

四、3 个月后：下一步怎么进阶？

3 个月后，你已经掌握了 “基础工具 + 漏洞复现 + 报告撰写”，算是真正入门了。接下来可以根据兴趣选方向：

• 想做 “Web 渗透”：再学 Burp 进阶（比如爆破、WAF 绕过）、Sqlmap 高级用法；

• 想做 “安全运维”：学防火墙配置（如 iptables）、日志分析（如 ELK）；

• 想学编程：此时再学 Python（重点学 “自动化脚本”，比如批量扫漏洞的脚本），会比一开始学容易很多。

总结：零基础入门的核心是 “先动手，再深化”

很多人学不会网络安全，不是因为 “没天赋”，而是因为 “一开始就走偏了”—— 把时间浪费在 “学不会的编程”“背不熟的协议” 上，反而失去了信心。

这个 3 个月计划，核心是 “用最小的成本建立信心”：每天 1-2 小时，做 “能看到结果” 的事（比如扫出端口、复现漏洞、写出报告），让你在实操中慢慢理解原理，而不是死记硬背。

网络安全是 “越练越会” 的领域，只要你能坚持完成这 3 个月的计划，就已经超过了 80% 的零基础新手。接下来，再一步步深化，你会发现 “入门之后，路其实很宽”。

网络安全学习路线&学习资源

网络安全的知识多而杂，怎么科学合理安排？

下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！

初级网工

1、网络安全理论知识（2天）

①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）

①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）

①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）

①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）

①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）

①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

【“脚本小子”成长进阶资源领取】

7、脚本编程（初级/中级/高级）

在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级网工

这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。

一些我自己买的、其他平台白嫖不到的视频教程：

需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。

网络安全学习路线&学习资源

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

特别声明：

此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失！！！