网络安全入门教程：从零基础到精通指南

前言

1. 入行网络安全这是一条坚持的道路，三分钟的热情可以放弃往下看了。
2. 多练多想，不要离开了教程什么都不会了，最好看完教程自己独立完成技术方面的开发。
3. 有时多百度，我们往往都遇不到好心的大神，谁会无聊天天给你做解答。
4. 遇到实在搞不懂的，可以先放放，以后再来解决。

级别划分

全部按小白基础（会写个表格 word 就行的这种）：

• 1 级：脚本小子；难度：无。达到'一分钱买 iphone、黑掉母校官网挂女神照片什么的'的部分水准。
• 2 级：网络安全工程师；难度：低。能凭借技术就业，当一个薪资不错的白领，不过门槛会越来越高。
• 3 级：实验室研究员；难度：中。精通至少一门领域，审计经验出色，脚本、POC、二进制相关都了解。
• 4 级：安全大咖级；难度：高。某一领域知识点打穿并有自己的了解建树。一个人能支撑 APT 某一职能的所有需求树。（其实此点和经验/时间有关，难度也与天赋没有太大关系）

所以，如果你只是想入门，想要学会一些技能，不管你基础多差，都能够照葫芦画瓢做到，觉得入门艰难的人，恐怕三分钟热度居多。

如何入门？

第一阶段：基础操作入门

入门的第一步是学习一些当下主流的安全工具课程并配套基础原理的书籍，一般来说这个过程在一个月左右比较合适。

第二阶段：学习基础知识

在这个阶段，你已经对网络安全有了基本的了解。如果你学完了第一步，相信你已经在理论上明白了什么是 SQL 注入，什么是 XSS 跨站脚本攻击，对 Burp、MSF、CS 等安全工具也掌握了基础操作。这个时候最重要的就是开始打地基！

所谓的'打地基'其实就是系统化的学习计算机基础知识。而想要学习好网络安全，首先要具备 5 个基础知识模块：

1. 操作系统
2. 协议/网络
3. 数据库
4. 开发语言
5. 常见漏洞原理

学习这些基础知识有什么用呢？

计算机各领域的知识水平决定你渗透水平的上限。

1. 比如：你编程水平高，那你在代码审计的时候就会比别人强，写出的漏洞利用工具就会比别人的好用；
2. 比如：你数据库知识水平高，那你在进行 SQL 注入攻击的时候，你就可以写出更多更好的 SQL 注入语句，能绕过别人绕不过的 WAF；
3. 比如：你网络水平高，那你在内网渗透的时候就可以比别人更容易了解目标的网络架构，拿到一张网络拓扑就能自己在哪个部位，拿到一个路由器的配置文件，就知道人家做了哪些路由；
4. 再比如你操作系统玩的好，你提权就更加强，你的信息收集效率就会更加高，你就可以高效筛选出想要得到的信息。

第三阶段：实战操作

1. 挖 SRC：挖 SRC 的目的主要是将技能落在实处，学习网络安全最大的幻觉就是觉得自己什么都懂了，但是到了真的挖漏洞的时候却一筹莫展，而 SRC 是一个非常好的技能应用机会。
2. 从技术分享帖学习：观看学习近十年所有 0day 挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
3. 靶场练习：自己搭建靶场或者去免费的靶场网站练习，有条件的话可以去购买或者报靠谱的培训机构，一般就有配套的靶场练习。

第四阶段：参加 CTF 比赛或者 HVV 行动

推荐：CTF

CTF 有三点：

1. 接近实战的机会。现在网络安全法很严格，不像之前大家能瞎搞。
2. 题目紧跟技术前沿，而书籍很多落后了。
3. 如果是大学生的话，以后对找工作也很有帮助。 如果你想打 CTF 比赛，直接去看赛题，赛题看不懂，根据不懂的地方接着去看资料。

推荐：HVV（护网）

HVV 有四点：

1. 也能极大的锻炼你，提高自身的技术，最好是参加每年举行的 HVV 行动。
2. 能认识许多圈内的大佬，扩大你的人脉。
3. HVV 的工资也很高，所以参加的话也能让你赚到不少钱。
4. 和 CTF 比赛一样如果是大学生的话，以后对找工作也很有帮助。