转行网络安全4年，我终于明白学历和技术的博弈，从来不是二选一

前言：30 岁，大专学历，在运维岗上看到了天花板

2021 年的冬天，我攥着手里的离职证明，站在写字楼楼下的寒风里，第一次认真思考 “未来”。那时我 30 岁，大专读的是计算机应用技术，做了 6 年运维 —— 每天和服务器日志、硬件故障打交道，薪资卡在 11K 没动过 3 年。

压垮我的最后一根稻草，是公司的一次裁员。和我同组的 95 后，本科毕业，运维经验只有 2 年，却因为 “学历符合集团人才标准” 留了下来。领导找我谈话时说：“不是你能力不行，是现在招人，本科是基本线了。”

那天晚上，我翻遍了招聘软件，发现想转的岗位里，“网络安全” 格外显眼 —— 薪资普遍 20K 起，岗位需求翻了一倍。可点开任职要求，“本科及以上学历”“计算机相关专业” 的字样像针一样扎眼。我对着屏幕发呆：难道我一个大专生，连转行的资格都没有？

也就是那天，我在 优快云 上刷到一篇《零基础转网安：学历不够，技术来凑》的文章，作者和我一样是大专学历，却靠技术拿到了大厂 offer。那篇文章里的一句话，成了我后来的执念：“在网络安全领域，HR 可能会因为学历筛掉你，但漏洞不会 —— 它只认能不能被找到。”

第一章：转行之初，学历成了挡在面前的 “玻璃门”

我花了 1 个月做转行规划：先学 Web 渗透基础，再考 CISP-PTE 证书，最后用实战项目补学历短板。可真正开始投简历时，我才发现，学历这道坎，比想象中更难跨。

1. 第一次面试：HR 的 “学历质疑”，让我哑口无言

第一个面试的是家中小型安全公司，岗位是渗透测试工程师助理。HR 看到我的简历，皱着眉问：“大专学历，之前做运维，没接触过安全，凭什么觉得能做好渗透测试？”

我赶紧拿出准备好的靶场笔记 —— 里面记满了 DVWA 靶场的 SQL 注入、XSS 漏洞复现步骤，还有自己搭的 Web 环境截图。可 HR 扫了一眼，说：“这些网上都有教程，随便找个人学两周也能做。我们之前招的实习生都是本科，至少基础更扎实。”

那天的技术面根本没开始，就结束了。走在地铁里，我反复翻着手机里的学习记录：凌晨 2 点的 Kali 虚拟机截图、写满 Linux 命令的笔记本、SQLMap 的测试日志…… 突然觉得特别委屈：难道我花了 3 个月学的东西，连被技术面试官看到的资格都没有？

2. 海投 20 家，18 家死在 “学历初筛”

接下来的一个月，我投了 20 家公司，有 18 家连面试机会都没给。其中一家 HR 更直接，在拒绝邮件里写：“经初筛，您的学历不符合我司‘本科及以上’的招聘要求，建议提升学历后再投递。”

我甚至考虑过报成人本科，但咨询后发现，最快拿证也要 2.5 年 —— 等拿到证，网安的风口会不会过了？我看着 优快云 收藏夹里的漏洞分析文章，又打开虚拟机里的 SQLI-LAB 靶场，手指悬在键盘上：要不，再试试？

那时我才明白，学历在转行初期，更像一道 “入场券”—— 没有它，你连展示技术的舞台都上不去。但我也没放弃：既然正规渠道走不通，那就用 “技术成果” 敲 door。

第二章：死磕技术，用靶场和 SRC 攒 “硬通货”

我调整了策略：不再死磕 “全职岗位”，先从 “漏洞提交” 和 “兼职测试” 入手，用实打实的成果证明自己。那段时间，我每天只睡 5 小时，把所有时间都砸在了 “技术落地” 上。

1. 3 个月刷完 5 个靶场，把 “基础漏洞” 嚼碎了

我给自己列了 “靶场通关计划”：从最基础的 DVWA 开始，再到 SQLI-LAB、Upload-Lab、WebGoat，最后挑战 VulnHub 的实战环境。每天下班（那时找了份临时的运维兼职），就坐在电脑前，一熬就是半夜。

为了搞懂 “文件上传漏洞”，我在虚拟机里搭了 3 个不同版本的 Apache 服务器，测试 “后缀名绕过”“MIME 类型欺骗”“图片马解析”—— 光是 “.htaccess 文件配置”，就试了 17 种不同的写法，直到成功让服务器执行伪装成图片的 PHP 木马。

有次为了复现 “逻辑漏洞导致的越权”，我对着某电商平台的测试环境（SRC 提供的合法测试域），反复模拟 “下单 - 支付 - 取消” 的流程，终于发现 “取消订单后，系统未清空优惠券使用记录，可重复用券”—— 这个漏洞后来被平台评为 “中危”，给了我 500 元奖金，还发了官方致谢证书。

我把这些经历整理成 “漏洞分析报告”，发布在 优快云 上，标题里特意加上 “大专生转行网安实战记录”。没想到文章发出去 3 天，就有 2000 多阅读，还有人在评论区问：“能请教一下 SQL 盲注的测试技巧吗？”

2. 提交 12 个 SRC 漏洞，拿到 3 家企业的 “实战证明”

我开始专注于 SRC 平台（企业安全应急响应中心），专门挑 “低门槛” 的漏洞来挖 —— 比如 “反射型 XSS”“后台弱口令”“信息泄露”。刚开始提交的 3 个漏洞，都被判定为 “无效”：要么是企业早已修复，要么是我没提供完整的利用步骤。

我没气馁，翻遍了 优快云 上的 “SRC 漏洞提交技巧” 文章，学会了 “分步骤录屏”“标注漏洞位置”“提供修复建议”。第 4 次提交时，我发现某教育平台的 “教师端登录页” 有 SQL 注入漏洞，不仅录了测试视频，还写了 “漏洞成因分析”：“由于登录参数未做过滤，直接拼接 SQL 语句，导致攻击者可通过’ or 1=1#绕过验证。”

这次漏洞被判定为 “高危”，平台不仅给了我 1000 元奖金，还邀请我加入 “白帽合作群”。后来我又陆续在阿里云 SRC、腾讯 SRC 提交了 9 个有效漏洞，拿到了 3 家企业的 “安全贡献证书”—— 这些证书，成了我简历里最亮眼的部分。

3. 考下 CISP-PTE，给技术 “加个章”

为了让技术更 “官方”，我报名了 CISP-PTE（注册渗透测试工程师）考试。备考的 2 个月里，我每天背 “渗透测试流程”，练 “漏洞利用代码编写”，甚至把常见的 WAF 绕过方法做成了思维导图。

考试那天，最后一道 “内网渗透” 题差点难住我：需要通过 “永恒之蓝” 漏洞获取第一台机器权限，再用 Mimikatz 抓取密码，横向移动到数据库服务器。我手忙脚乱地敲命令，在考试结束前 10 分钟，终于拿到了 “flag”。

当收到 CISP-PTE 证书的邮件时，我第一时间把证书扫描件加到了简历里 —— 现在我的简历，不再只有 “大专学历” 和 “运维经验”，还有 “12 个 SRC 漏洞”“5 个靶场通关记录”“CISP-PTE 证书”。我想，这次应该能拿到面试机会了吧？

第三章：面试反转：技术打破了学历偏见

2022 年夏天，我投了一家做企业安全服务的公司，岗位是渗透测试工程师。这次，我在简历开头就写：“持有 CISP-PTE 证书，累计提交 12 个有效 SRC 漏洞，附漏洞报告链接。”

1. 技术面：3 个实战题，我答出了 “超出预期” 的细节

没想到，这次不仅收到了面试邀请，技术面试官一上来就问：“你在 SRC 提交的那个电商平台逻辑漏洞，能讲讲当时是怎么发现的吗？”

我把测试流程拆成了 3 步：“首先观察到‘取消订单后优惠券未回收’，然后用 Burp Suite 抓包分析，发现取消接口只更新了订单状态，没调用优惠券重置接口，最后用 Python 写了个简单脚本，模拟 10 次重复用券，验证漏洞存在。”

面试官又出了道实战题：“如果一个网站的登录页有 WAF，你怎么测试 SQL 注入？” 我答了 3 种方法：“先用 Burp Suite 的 WAF Bypass 插件测试常见绕过规则，比如把union换成UNION，或者用注释符/**/分割关键词；如果不行，试试时间盲注，用if(ascii(substr(database(),1,1))=115,sleep(5),0)判断数据库名首字母；最后还可以尝试 HTTP 参数污染，比如username=admin’&username= or 1=1#，有些 WAF 可能只过滤第一个参数。”

面试官点点头，又让我在他的笔记本上演示 “用 Burp Suite 改包实现 CSRF 攻击”。我熟练地打开 Burp，抓了个 “修改密码” 的包，去掉 Token 参数，生成 CSRF Poc 页面 —— 整个过程不到 5 分钟。

2. 终面：CEO 的提问，让我重新理解 “学历和技术”

终面时，CEO 看到我的学历，问：“你觉得，大专学历会不会成为你未来发展的瓶颈？”

我没回避，而是拿出手机，打开我的 优快云 博客和 SRC 漏洞记录：“我承认，学历让我一开始很难拿到面试机会，但这 3 个月，我通过 12 个漏洞、5 个靶场、1 本证书，证明我能做好渗透测试。未来我会报成人本科提升学历，但现在，我的技术能解决企业的实际问题 —— 比如帮客户找到漏洞，避免数据泄露。”

CEO 笑了：“我们招的是能干活的人，不是学历证书。你提交的漏洞报告里，连‘修复建议的代码示例’都写了，比很多本科毕业生还细致。下周一来上班吧。”

那天走出公司，我给家里打了个电话，声音忍不住发抖：“我拿到 offer 了，薪资 22K。” 挂了电话，我看着手里的 CISP-PTE 证书，突然觉得，所有熬夜刷题、反复测试的日子，都值了。

第四章：入职后：技术才是 “立身之本”，学历只是 “锦上添花”

入职后，我才发现，在实际工作中，学历的权重会越来越低，而技术的重要性会越来越高 —— 因为客户不会关心你是什么学历，只会关心你能不能找到他们系统里的漏洞。

1. 第一次项目：我比硕士同事先找到 “核心漏洞”

入职后的第一个项目，是给某银行做渗透测试。我和一个名校硕士同事组队，他负责 “内网扫描”，我负责 “Web 应用测试”。

第一天测试，他用 Nessus 扫出了一堆 “低危漏洞”（比如服务器版本暴露、弱密码），而我在测试网银的 “转账接口” 时，发现了一个逻辑漏洞：“当转账金额为负数时，系统会反向增加余额 —— 比如转 - 1000 元，余额会多 1000 元。”

我赶紧录了测试视频，写了漏洞报告，还附上了 “修复建议”：“在后端加金额校验，判断金额是否大于 0，同时前端和后端都要做验证，避免前端绕过。”

客户评审时，技术负责人拿着我的报告说：“这个漏洞要是没发现，后果不堪设想。你们团队很专业。” 后来我才知道，这个漏洞被评为 “高危”，客户给公司追加了 20 万的服务费用。

事后，硕士同事拍着我的肩膀说：“没想到你这么厉害，我之前在学校里学的都是理论，实战经验比你差远了。” 我笑着说：“都是在 SRC 里练出来的，多踩几次坑就会了。”

2. 晋升答辩：技术成果比学历更有说服力

2023 年底，公司有个 “高级渗透测试工程师” 的晋升名额。候选人里，除了我，还有两个本科毕业、有 3 年经验的同事。

答辩时，领导问：“你们觉得自己最有竞争力的地方是什么？” 那两个同事说的是 “项目经验丰富”“熟悉多种测试工具”，而我拿出了 3 样东西：

过去一年提交的 8 个高危 SRC 漏洞报告，其中 2 个被纳入 “国家信息安全漏洞库”；
我主导的某电商平台渗透测试项目，帮客户修复了 17 个漏洞，避免了潜在的数据泄露风险；
我给团队做的 “WAF 绕过实战手册”，里面整理了 23 种常见绕过方法，被公司用作新人培训材料。

最后，我补充了一句：“我知道我的学历不如其他同事，但过去一年，我负责的项目漏洞发现率比平均水平高 30%，客户满意度 100%。”

一周后，晋升结果出来了 —— 我成功晋升，薪资涨到了 35K。领导在会上说：“晋升看的是‘能为公司创造多少价值’，而价值的核心，是技术能力。”

第五章：回望 3 年：学历与技术的 “互补而非对立”

现在，我已经报了成人本科，每周抽 2 个晚上学习。有人问我：“你现在技术这么厉害，还需要补学历吗？” 我总会说：“技术是我的‘立身之本’，但学历能让我走得更远 —— 比如以后想进大厂做架构师，学历可能还是个门槛，但现在的我，已经不怕了。”

如果你和我一样，学历不高，却想转行网络安全，我想对你说 3 句话：

不要被 “学历门槛” 吓退： 初期可以从 SRC 漏洞提交、兼职测试入手，用技术成果攒 “硬通货”—— 漏洞不会因为你的学历低而不被发现，企业也不会因为你的学历低而拒绝能为他们解决问题的人。

技术要 “落地”，不要 “纸上谈兵”： 学 SQL 注入，就去 SQLI-LAB 里练；学文件上传，就去 Upload-Lab 里试；学渗透测试，就去 SRC 里提交漏洞 —— 只有在实战中踩过坑，你的技术才是真的技术。

学历可以 “补”，技术不能 “停”： 如果有条件，尽量提升学历，它会帮你突破更高的天花板；但无论有没有学历，都要持续学习技术 —— 网络安全技术更新太快，今天的 “大神”，明天可能就因为跟不上新技术而被淘汰。

现在，我偶尔会在 优快云 上写转行经验，评论区里总有和我当年一样迷茫的人。我总会回复他们：“学历只是标签，技术才是底气。只要你愿意死磕技术，就一定能找到属于自己的路。”

就像 3 年前的我，从来没想过自己能从一个大专学历的运维，成长为高级渗透测试工程师。但现在我知道，所有的不可能，都是从 “再试一次” 开始的 —— 而支撑我 “再试一次” 的，就是那些熬夜敲过的代码、复现过的漏洞、拿到的证书。

未来的路还长，我会继续补学历，也会继续深耕技术。因为我知道，在网络安全这条路上，学历和技术，从来都是 “1+1>2” 的关系。

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，请看下方扫描即可前往获取