我经常会看到这一类的问题：
学习 XXX 知识没效果； 学习 XXX 技能没方向； 学习 XXX 没办法入门。
这里给大家一个忠告，如果你完全没有基础的话，前期最好不要盲目去找资料学习。因为大部分人把资料收集好之后，基本上都是放在收藏夹吃灰。同时资料收集的多了，学起来就会迷茫，也会让自己很有压力。
磨刀不误砍柴工，如果你是准备自学的话，要分步骤去进行：
第一步：搭建自学知识框架，具体怎么搭建学习框架，在后面我会讲； 第二步：按照学习框架给自己定制阶段性的学习计划和目标，最好是按周自我反馈和调整； 第三步：针对每周的学习计划寻找合适的自学资源，注意，只找当前需要的，不要贪多； 第四步：找几个懂得人，和他们处理好关系，后面学习过程中遇到问题还能有人给你解答。
这些都要一步一步来，不要想着一口气吃成一个大胖子。
搭建学习框架也是有诀窍的，比如常用的三种方式：
- 和牛人成为朋友，身边的朋友或公司的同事都可以，但要注意，记得请人家吃饭联络好感情，不然到关键时刻，很少有人会去帮你；
- 从各个技术博客网站上面搜索想了解的知识点路线图，然后找高赞的博文，基本上不会差，但要注意辨别真伪；
- 多找几个培训机构，看他们整理的课程大纲是什么样的，涉及哪些知识点，然后做归类汇总。
废话不多说，先上一张图镇楼，看看网络安全有哪些方向，它们之间有什么关系和区别，各自需要学习哪些东西。
黑客怎么入门？
我们落到具体的技术点上来，网络安全学习路线整体学习时间大概半年左右，具体视每个人的情况而定。
如果你把每周要学的内容精细化到这种程度，你还会担心学不会、入不了门吗？其实说到底就是学了两个月，但都是东学一下，西学一下，什么内容都是浅尝辄止，没有深入进去，所以才会有学了 2 个月、入不了门这种感受。
1、Web 安全相关概念（2 周）
熟悉基本概念是基础，包括 SQL 注入、文件上传、XSS（跨站脚本攻击）、CSRF（跨站请求伪造）、一句话木马等。
- SQL 注入：理解数据库查询原理，掌握联合查询、报错注入、盲注等技巧。
- XSS：区分反射型、存储型和 DOM 型 XSS，理解浏览器执行脚本的风险。
- CSRF：理解同源策略及 Token 验证机制。
通过关键字（如 SQL 注入、渗透笔记、入侵过程等）进行 Google 或 SecWiki 搜索，阅读经典书籍如《精通脚本黑客》。虽然这本书很旧也有错误，但是入门还是可以的。看一些渗透笔记/视频，了解渗透实战的整个过程。
2、熟悉渗透相关工具（3 周）
熟悉 AWVS、sqlmap、Burp Suite、nessus、chopper、nmap、Appscan 等相关工具的使用。
- Burp Suite：作为核心代理工具，用于拦截、修改和重放 HTTP 请求。
- sqlmap：自动化 SQL 注入检测工具。
- Nmap：网络扫描器，用于端口扫描和服务识别。
了解该类工具的用途和使用场景，先用软件名字 Google/SecWiki。下载无后门版的这些软件进行安装。学习并进行使用，具体教材可以在 SecWiki 上搜索，例如：Burp 的教程、sqlmap 文档。待常用的这几个软件都学会了可以安装音速启动做一个渗透工具箱。
3、渗透实战操作（5 周）
掌握渗透的整个阶段并能够独立渗透小型站点。网上找渗透视频看并思考其中的思路和原理，关键字（渗透、SQL 注入视频、文件上传入侵、数据库备份、dedecms 漏洞利用等等）。
