一、自学网络安全学习的误区和陷阱误区一只注重理论缺乏实践很多自学者沉迷于看大量的理论书籍和教程觉得自己懂了很多但真正上手操作时却一脸懵。网络安全是一门实践性很强的学科一定要多动手多做实验误区二学习没有系统性东学一点西学一点今天学 Web 安全明天又跑去看密码学没有一个清晰的学习路径和规划。这样会导致知识零散无法形成完整的知识体系。误区三忽视基础知识总想着直接学高级的技术比如漏洞挖掘却忽略了计算机原理、操作系统、网络基础这些基础知识。没有扎实的基础上层建筑是很容易崩塌的哦误区四盲目跟风新技术一有新的技术出来就马上跟风去学却没有把现有的技术学精学透。其实很多时候基础的技术才是最重要的。陷阱一网上资料质量参差不齐网上免费的学习资料虽然多但质量难以保证。有些可能已经过时有些甚至是错误的用了这些资料可能会让你越学越迷糊。陷阱二无人指导陷入死胡同自学过程中遇到问题没人解答自己琢磨半天也找不到出路不仅浪费时间还可能打击学习的积极性。陷阱三缺乏真实项目经验自己学习很难接触到真实的项目不了解实际工作中的需求和流程导致学的东西与实际应用脱节。二、学习网络安全的一些前期准备1.硬件选择对于学习网络安全硬件的选择很重要。电脑处理器选英特尔 i7 或 AMD 锐龙 7 以上多核为佳。内存至少 16GB32GB 更好方便运行虚拟机和处理大任务。要有大容量 SSD 硬盘比如 1TB 以上加快系统和软件运行速度。显示器27 英寸以上、高分辨率的较好。网络设备路由器要有防火墙、端口转发和 VPN 功能。千兆以太网交换机用于构建本地网络。存储设备移动硬盘备份数据选容量大、速度快的。U 盘方便小文件传输。其他配件像舒适的键盘、高精度鼠标也能提升使用体验。根据自身需求和预算来选硬件满足学习需要。2.软件选择很多人会纠结学习黑客到底是用Linux还是Windows或者是Mac系统Linux虽然看着很酷炫但是对于新人入门并不友好。Windows系统一样可以用虚拟机装靶机来进行学习至于编程语言首推Python因为其良好的拓展支持性。当然现在市面上很多网站都是PHP的开发的所以选择PHP也是可以的。其他语言还包括C、Java…很多朋友会问是不是要学习所有的语言呢答案是否定的引用我上面的一句话学习编程只是工具不是目的我们的目标不是成为程序员这里额外提一句学习编程虽然不能带你入门但是却能决定你能在网络安全这条路上到底能走多远所以推荐大家自学一些基础编程的知识3.语言能力我们知道计算机最早是在西方发明出来的很多名词或者代码都是英文的甚至现有的一些教程最初也是英文原版翻译过来的而且一个漏洞被发现到翻译成中文一般需要一个星期的时间在这个时间差上漏洞可能都修补了。而且如果不理解一些专业名词在与其他黑客交流技术或者经验时也会有障碍所以需要一定量的英文和黑客专业名词不需要特别精通但是要能看懂基础的比如说肉鸡、挂马、shell、WebShell等等三、网络安全学习路线第一阶段基础操作入门学习基础知识入门的第一步是学习一些当下主流的安全工具课程并配套基础原理的书籍一般来说这个过程在1个月左右比较合适。在这个阶段你已经对网络安全有了基本的了解。如果你学完了第一步相信你已经在理论上明白了上面是sql注入什么是xss攻击对burp、msf、cs等安全工具也掌握了基础操作。这个时候最重要的就是开始打地基所谓的“打地基”其实就是系统化的学习计算机基础知识。而想要学习好网络安全首先要具备5个基础知识模块1.操作系统2.协议/网络3.数据库4.开发语言5.常见漏洞原理学习这些基础知识有什么用呢计算机各领域的知识水平决定你渗透水平的上限。【1】比如你编程水平高那你在代码审计的时候就会比别人强写出的漏洞利用工具就会比别人的好用【2】比如你数据库知识水平高那你在进行SQL注入攻击的时候你就可以写出更多更好的SQL注入语句能绕过别人绕不过的WAF【3】比如你网络水平高那你在内网渗透的时候就可以比别人更容易了解目标的网络架构拿到一张网络拓扑就能自己在哪个部位拿到以一个路由器的配置文件就知道人家做了哪些路由【4】再比如你操作系统玩的好你提权就更加强你的信息收集效率就会更加高你就可以高效筛选出想要得到的信息第二阶段实战操作1.挖SRC挖SRC的目的主要是讲技能落在实处学习网络安全最大的幻觉就是觉得自己什么都懂了但是到了真的挖漏洞的时候却一筹莫展而SRC是一个非常好的技能应用机会。2.从技术分享帖漏洞挖掘类型学习观看学习近十年所有0day挖掘的帖然后搭建环境去复现漏洞去思考学习笔者的挖洞思维培养自己的渗透思维3.靶场练习自己搭建靶场或者去免费的靶场网站练习有条件的话可以去购买或者报靠谱的培训机构一般就有配套的靶场练习第三阶段参加CTF比赛或者HVV行动推荐CTF比赛CTF有三点【1】接近实战的机会。现在网络安全法很严格不像之前大家能瞎搞【2】题目紧跟技术前沿而书籍很多落后了【3】如果是大学生的话以后对找工作也很有帮助如果你想打CTF比赛直接去看赛题赛题看不懂根据不懂的地方接着去看资料推荐HVV护网HVV有四点【1】也能极大的锻炼你提高自身的技术最好是参加每年举行的HVV行动【2】能认识许多圈内的大佬扩大你的人脉【3】HVV的工资也很高所以参加的话也能让你赚到不少钱【4】和CTF比赛一样如果是大学生的话以后对找工作也很有帮助四、学习资料的推荐书单推荐计算机操作系统【1】编码隐藏在计算机软硬件背后的语言【2】深入理解操作系统【3】深入理解windows操作系统【4】Linux内核与实现编程开发类【1】 windows程序设计【2】windwos核心变成【3】Linux程序设计【4】unix环境高级变成【5】IOS变成【6】第一行代码Android【7】C程序语言设计【8】C primer plus【9】C和指针【10】C专家编程【11】C陷阱与缺陷【12】汇编语言王爽【13】java核心技术【14】java编程思想【15】Python核心编程【16】Linuxshell脚本攻略【17】算法导论【18】编译原理【19】编译与反编译技术实战【20】代码整洁之道【21】代码大全【22】TCP/IP详解【23】Rootkit 系统灰色地带的潜伏者【24】黑客攻防技术宝典【25】加密与解密【26】C 反汇编与逆向分析技术揭秘【27】web安全测试【28】白帽子讲web安全【29】精通脚本黑客【30】web 前端黑客技术揭秘【31】程序员的应用【32】英语写作手册风格的要素常见的网络安全及论坛看雪论坛安全课安全牛安全内参绿盟先知社区XCTF联盟我下面也给大家整理了一些网络安全的资料大家不想一个一个去找的话可以参考一下这些资料哈网络安全学习路线学习资源网络安全的知识多而杂怎么科学合理安排下面给大家总结了一套适用于网安零基础的学习路线应届生和转行人员都适用学完保底6k就算你底子差如果能趁着网安良好的发展势头不断学习日后跳槽大厂、拿到百万年薪也不是不可能初级网工1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗【“脚本小子”成长进阶资源领取】7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级网工这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。感兴趣的童鞋可以研究一下不懂得地方可以【点这里】加我耗油跟我学习交流一下。网络安全工程师企业级学习路线如图片过大被平台压缩导致看不清的话可以【点这里】加我耗油发给你大家也可以一起学习交流一下。一些我自己买的、其他平台白嫖不到的视频教程需要的话可以扫描下方卡片加我耗油发给你都是无偿分享的大家也可以一起学习交流一下。网络安全学习路线学习资源结语网络安全产业就像一个江湖各色人等聚集。相对于欧美国家基础扎实懂加密、会防护、能挖洞、擅工程的众多名门正派我国的人才更多的属于旁门左道很多白帽子可能会不服气因此在未来的人才培养和建设上需要调整结构鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”才能解人才之渴真正的为社会全面互联网化提供安全保障。