2023 年的今天，請謹慎選擇網(wǎng)絡(luò)安全專業(yè)
前言
2023 年的今天，慎重進入網(wǎng)安行業(yè)吧，目前來說信息安全方向的就業(yè)對于學(xué)歷的容忍度比軟件開發(fā)要大得多，還有很多高中被挖過來的大佬。
理由很簡單，目前來說，信息安全的圈子人少，985、211 院校很多都才建立這個專業(yè)，加上信息安全法的存在，形成了小圈子的排他效應(yīng)，大佬們的技術(shù)交流都是在小圈子內(nèi)進行，很難說全部的 985、211 院校都能快速形成這種圈子效應(yīng)，這些都需要時間，所以根本就不可能形成那種所謂的只看學(xué)歷，除非是北京郵電那幾個學(xué)校至于學(xué)習(xí)方向，不要去聽那些營銷號說的幾天入門不需要學(xué)編程的，學(xué)好專業(yè)課尤其是編程非常重要??
這直接就決定了你的成長天花板，如果你才剛上大一，建議學(xué)完編程學(xué)漏洞原理，可以把所有漏洞自己寫個小靶場，自己寫個 exp，多去復(fù)現(xiàn)漏洞，學(xué)著去跟蹤漏洞形成原理。
提供安全學(xué)習(xí)之前的具體路徑，路徑并不一定是最適合大家的，大家自主擇優(yōu)選擇，如果你想杠我，那你就是對的：
1.網(wǎng)絡(luò)原理：基本的五層模型，基本的路由協(xié)議，交換機、路由器、防火墻它們是干嘛的以及基本的工作原理。
2.操作系統(tǒng):linux 的操作命令，windows 的操作命令，以及它們的服務(wù)搭建，域和云的搭建，以及概念
3.編程語言：我現(xiàn)在非?？粗鼐幊陶Z言，因為對于漏洞理解，以及平時的刷洞，目標爬取的腳本，懂不懂編程語言天壤之別。推薦學(xué)習(xí) PYTHON PHP JAVA 當然還有 MYSQL 和前端如果把它當作語言的話
4.經(jīng)典漏洞原理的學(xué)習(xí)：學(xué)習(xí)一些經(jīng)典的工具，看一些攻擊靶場的 wp，嘗試去玩一些攻擊靶場，然后學(xué)著去追一些新的漏洞成型原理，嘗試寫一些 POC 然后就是學(xué)習(xí)信息收集，橫向，提權(quán)，免殺，痕跡清理，代碼審計就看自己的了，其實安全的教程網(wǎng)絡(luò)中很多，安全的基礎(chǔ)大同小異，但是我是真的認為網(wǎng)絡(luò)基礎(chǔ)和開發(fā)基礎(chǔ)真的很重要，所以寫了這么一篇，安全是一個需要積累的過程。
一、基礎(chǔ)部分
基礎(chǔ)部分需要學(xué)習(xí)以下內(nèi)容：
1.計算機網(wǎng)絡(luò) ：
重點學(xué)習(xí) OSI、TCP/IP 模型，網(wǎng)絡(luò)協(xié)議，網(wǎng)絡(luò)設(shè)備工作原理等內(nèi)容，其他內(nèi)容快速通讀
2.Linux 系統(tǒng)及命令
由于目前市面上的 Web 服務(wù)器 7 成都是運行在 Linux 系統(tǒng)之上，如果要學(xué)習(xí)滲透 Web 系統(tǒng)，最起碼還是要對 linux 系統(tǒng)非常熟悉，常見的操作命令需要學(xué)會
學(xué)習(xí)建議：學(xué)習(xí)常見的 10%左右的命令適用于 90%的工作場景，和 office 軟件一樣，掌握最常用的 10%的功能，基本日常使用沒什么問題，遇到不會的，再去找度娘；常見的 linux 命令也就 50-60 個，很多小白囫圇吞棗什么命令都學(xué)，發(fā)現(xiàn)記不住?。。。?！這個學(xué)習(xí)方法也是不對的
3.Web 框架
熟悉 web 框架的內(nèi)容，前端 HTML，JS 等腳本語言了解即可，后端 PHP 語言重點學(xué)習(xí)，切記不要按照開發(fā)的思路去學(xué)習(xí)語言，php 最低要求會讀懂代碼即可，當然會寫最好，但不是開發(fā)，但不是開發(fā)，但不是開發(fā)，重要的事情說三遍
4.數(shù)據(jù)庫
需要學(xué)習(xí) SQL 語法，利用常見的數(shù)據(jù)庫 MySQL 學(xué)習(xí)對應(yīng)的數(shù)據(jù)庫語法，也是一樣，SQL 的一些些高級語法可以了解，如果沒有時間完全不學(xué)也不影響后續(xù)學(xué)習(xí)，畢竟大家不是做數(shù)據(jù)庫分析師，不需要學(xué)太深
二、Web 安全
1.Web 滲透
掌握 OWASP 排名靠前的 10 余種常見的 Web 漏洞的原理、利用、防御等知識點，然后配以一定的靶場練習(xí)即可
推薦靶場：常見的靶場都可以上 github 平臺搜索，推薦以下靶場 DVWA、bWAPP、upload-labs-master、SQL-lib-master、WebBug、pikachu 等，有些是綜合靶場，有些是專門針對某款漏洞的靶場
2.安全工具學(xué)習(xí)
Web 滲透階段還是需要掌握一些必要的工具
主要要掌握的工具和平臺：burp、AWVS、Appscan、Nessus、sqlmap、nmap、shodan、fofa、代理工具 ssrs、hydra、medusa、airspoof 等，以上工具的練習(xí)完全可以利用上面的開源靶場去練習(xí)，足夠了
練習(xí)差不多了，可以去 SRC 平臺滲透真實的站點，看看是否有突破，如果涉及到需要繞過 WAF 的，需要針對繞 WAF 專門去學(xué)習(xí)，姿勢也不是特別多，系統(tǒng)性學(xué)習(xí)學(xué)習(xí)，然后多總結(jié)經(jīng)驗，更上一層樓
3.自動化滲透
自動化滲透需要掌握一門語言，且需要熟練運用，可以是任何一門自己已經(jīng)掌握得很熟悉得語言，都可以，如果沒有一門掌握很好的，那我推薦學(xué)習(xí) python，最主要原因是學(xué)起來簡單，模塊也比較多，寫一些腳本和工具非常方便
學(xué)習(xí) python 不需要掌握很多不需要的模塊，也不需要開發(fā)成千上萬行的代碼，僅利用它編寫一些工具和腳本，少則 10 幾行代碼，多則 1-200 行代碼，一般代碼量相對開發(fā)人員已經(jīng)少得不能再少了，例如一個精簡得域名爬蟲代碼核心代碼就 1-20 行而已
花幾天時間學(xué)習(xí)一下 python 的語法，有代碼基礎(chǔ)得朋友，最快可能一天就可以學(xué)習(xí)完 python 的語法，因為語言都是相通的，但是學(xué)習(xí)語言最快的就是寫代碼，別無他法；接下來可以開始嘗試寫一些常見得工具，如爬蟲、端口探測、數(shù)據(jù)包核心內(nèi)容提取、內(nèi)網(wǎng)活躍主機掃描等，此類代碼網(wǎng)上一搜一大把；然后再寫一些 POC 和 EXP 腳本，以靶場為練習(xí)即可；有的小伙伴可能又要問了，什么是 POC 和 EXP，自己度娘去，養(yǎng)成動手的好習(xí)慣
4.代碼審計
此處內(nèi)容要求代碼能力比較高，因此如果代碼能力較弱，可以先跳過此部分的學(xué)習(xí)，不影響滲透道路上的學(xué)習(xí)和發(fā)展。
但是如果希望在 Web 滲透上需要走得再遠一些，需要精通一門后臺開發(fā)語言，推薦 php，因為后臺采用 php 開發(fā)的網(wǎng)站占據(jù)最大，當然你還精通 python、asp、java 等語言，那恭喜你，你已經(jīng)具備很好的基礎(chǔ)了
代碼審計顧名思義，審計別人網(wǎng)站或者系統(tǒng)的源代碼，通過審計源代碼或者代碼環(huán)境的方式去審計系統(tǒng)是否存在漏洞（屬于白盒測試范疇）
那具體要怎么學(xué)習(xí)呢？學(xué)習(xí)的具體內(nèi)容按照順序列舉如下：
掌握 php 一些危險函數(shù)和安全配置
熟悉代碼審計的流程和方法
掌握 1-2 個代碼審計工具，如 seay 等
掌握常見的功能審計法；（推薦審計一下 AuditDemo，讓你產(chǎn)生自信）
常見 CMS 框架審計（難度大）
CMS 框架審計，可以去一些 CMS 官方網(wǎng)站，下載一些歷史存在漏洞的版本去審計，框架的學(xué)習(xí)利用官方網(wǎng)站的使用手冊即可，如 ThinkPHP3.2 版本是存在一些漏洞，可以嘗試讀懂代碼；但是切記不要一上來就看代碼，因為 CMS 框架的代碼量比較大，如果不系統(tǒng)先學(xué)習(xí)框架，基本屬于看不懂狀態(tài)；學(xué)習(xí)框架后能夠具備寫簡單的 POC，按照代碼審計方法結(jié)合工具一起審計框架；其實也沒有想想中的那么難，如果你是開發(fā)人員轉(zhuǎn)行的，恭喜你，你已經(jīng)具備代碼審計的先天性優(yōu)勢。
那有的朋友又問了，我代碼很差，不學(xué)習(xí)代碼審計行不行，代碼審計不是學(xué)習(xí)網(wǎng)絡(luò)安全的必要條件，能夠掌握最好，掌握不了也不影響后續(xù)的學(xué)習(xí)和就業(yè)，但你需要選擇一個階段，練習(xí)得更專業(yè)精通一些，如 web 滲透或者內(nèi)網(wǎng)滲透，再或者是自動化滲透
三、內(nèi)網(wǎng)安全
恭喜你，如果學(xué)到這里，你基本可以從事一份網(wǎng)絡(luò)安全相關(guān)的工作，比如滲透測試、Web 滲透、安全服務(wù)、安全分析等崗位
如果想就業(yè)面更寬一些，技術(shù)競爭更強一些，需要再學(xué)習(xí)內(nèi)網(wǎng)滲透相關(guān)知識
內(nèi)網(wǎng)的知識難度稍微偏大一些，這個和目前市面上的學(xué)習(xí)資料還有靶場有一定的關(guān)系；內(nèi)網(wǎng)主要學(xué)習(xí)的內(nèi)容主要有：內(nèi)網(wǎng)信息收集、域滲透、代理和轉(zhuǎn)發(fā)技術(shù)、應(yīng)用和系統(tǒng)提權(quán)、工具學(xué)習(xí)、免殺技術(shù)、APT 等等
四、滲透拓展
滲透拓展部分，和具體工作崗位聯(lián)系也比較緊密，盡量要求掌握，主要有日志分析、安全加固、應(yīng)急響應(yīng)、等保測評等內(nèi)容；其中重點掌握前三部分，這塊的資料網(wǎng)絡(luò)上也不多，也沒有多少成型的書籍資料，可通過行業(yè)相關(guān)的技術(shù)群或者行業(yè)分享的資料去學(xué)習(xí)即可，能學(xué)到這一步，基本上已經(jīng)算入門成功，學(xué)習(xí)日志分析、安全加固、應(yīng)急響應(yīng)三部分的知識也相對較為容易
但是有很多零基礎(chǔ)的小白代碼基礎(chǔ)通常較弱，很多小白會倒在前期學(xué)習(xí)語言上，所以推薦先學(xué)習(xí) web 滲透和工具，也比較有意思，容易保持一個高漲的學(xué)習(xí)動力和熱情。像 php 語言、自動化滲透和代碼審計部分內(nèi)容，可以放在最后，當學(xué)習(xí)完畢前面知識后，也相當入門后，再來學(xué)習(xí)語言，相對會容易一些
五、零基礎(chǔ)如何快速入門
如果你問我，小白應(yīng)該如何有效的快速入門，我會毫不猶豫的告訴你“找個靠譜的入門課程帶你入門”比起你看書或者自己一個人慢慢摸索，效率是高很多的！
下面這個課程是我比較推薦的，課程是完全面向零基礎(chǔ)的朋友，老師講的通俗易懂，就算是小白也能完全跟得上，而且每節(jié)課程都配備了相對應(yīng)的靶場練習(xí)，這樣就可以在實踐中印證理論、加深理解、同時繼續(xù)擴展學(xué)習(xí)，這對小白來說幫助非常大
這個課程適合零基礎(chǔ)入門者，全視頻實操教學(xué)+配套靶場練習(xí)+全套滲透工具，。不僅帶你輕松入門學(xué)習(xí)網(wǎng)絡(luò)安全，還能幫助你培養(yǎng)滲透思維！
這份完整版的教程已經(jīng)上傳，朋友們?nèi)绻枰梢渣c擊下方鏈接免費領(lǐng)取【保證100%免費】
