絡(luò)安全入門學習路線：從零基礎(chǔ)到滲透測試實戰(zhàn))
1. 先給“黑客”祛魅這個行當?shù)降自谧鍪裁唇?jīng)常有人私信問我同一個問題“我想學黑客能不能教我怎么黑別人的網(wǎng)站”說實話我第一次接觸網(wǎng)絡(luò)安全的時候也是帶著這種好奇入坑的。但等你真正進了這個圈子在靶場里泡了半年、看了一整年的漏洞報告再回頭看“黑客”這兩個字你會覺得當初的想法又中二又危險?，F(xiàn)在很多新人被短視頻和影視劇帶偏了以為黑客就是穿著帽衫、黑掉攝像頭、在鍵盤上噼里啪啦敲幾下就能轉(zhuǎn)走別人賬戶里的錢。真實的網(wǎng)絡(luò)安全行業(yè)完全不是這樣。先說結(jié)論這個行業(yè)的絕大多數(shù)從業(yè)者干的是防御、檢測、修復、合規(guī)的活兒真正做攻擊滲透的人也必須有授權(quán)才能動手。我們?nèi)ψ永锇迅闫茐牡姆Q為“黑帽”把發(fā)現(xiàn)漏洞并提交給官方修復的稱為“白帽”兩者之間還有“灰帽”——就是那種沒授權(quán)但也沒惡意、純粹炫技的人。國內(nèi)還有個有年代感的詞叫“紅客”泛指有愛國立場的技術(shù)愛好者但嚴格來說這不是職業(yè)分類。那“駭客”又是什么這個詞其實是對英文hacker的音譯變體但在中文語境下更多人用“黑客”泛指技術(shù)高手“駭客”則帶有一點“惡意入侵者”的色彩。熱詞里還有個“白客”這個詞現(xiàn)實中很少用出現(xiàn)在中文互聯(lián)網(wǎng)早期指代正面的安全技術(shù)人員。說白了稱謂不重要重要的是你掌握了技術(shù)之后選擇站哪一邊。再說說網(wǎng)絡(luò)安全這個領(lǐng)域到底包含什么。很多人以為只有“滲透測試”才是網(wǎng)絡(luò)安全其實這只是其中一個方向。完整的知識體系包括網(wǎng)絡(luò)與系統(tǒng)安全防火墻策略、入侵檢測、基線檢查、系統(tǒng)加固Web安全SQL注入、XSS、CSRF、文件上傳漏洞的挖掘與修復安全運營SOC監(jiān)控、日志分析、威脅狩獵、事件響應(yīng)密碼學與協(xié)議安全加密算法、TLS/SSL、認證機制二進制與逆向工程漏洞挖掘、病毒分析、軟件破解合規(guī)與等保等級保護測評、數(shù)據(jù)安全法、行業(yè)監(jiān)管要求所以你問我“從零基礎(chǔ)入門到精通看這一篇夠不夠”我會老實告訴你一篇文章不可能讓你精通但可以幫你把這潭水看清楚知道先干什么、后干什么、哪些坑不能踩。這篇文章就是給那些真正想入行、想自學的新手畫一張完整的地圖。在地圖拿到手之前千萬別急著買什么“黑客神器工具包”十有八九是割韭菜或者打包木馬的。2. 從零開始的學習路線地基打不牢遲早要返工新手最容易犯的毛病就是一上來就下載各種攻擊工具對著某個網(wǎng)站瞎試。這不叫學習叫給自己找麻煩。我見過太多人折騰了三個月工具會點了但連“為什么這個漏洞存在”都說不清楚。面試官一問TCP三次握手和HTTP請求流程直接卡殼。工具永遠只是表達思想的手段漏洞的本質(zhì)是代碼、協(xié)議、配置中的邏輯缺陷。2.1 第一階段把計算機基礎(chǔ)打扎實不管你未來想做滲透測試、安全運維還是安全研發(fā)以下三門課是繞不過去的計算機網(wǎng)絡(luò)重點學OSI七層模型、TCP/IP協(xié)議族、HTTP/HTTPS協(xié)議、DNS解析過程。不用背報文格式但要理解握手、揮手、狀態(tài)碼、請求方法這些概念。操作系統(tǒng)Windows和Linux至少熟一個我建議優(yōu)先Linux因為大部分服務(wù)器、靶場環(huán)境、安全工具都跑在Linux上?；A(chǔ)命令要會文件操作、權(quán)限管理、進程查看、網(wǎng)絡(luò)配置。一門編程語言首選Python用來寫腳本、寫POC概念驗證代碼。不用學到精通能寫爬蟲、能處理報文就夠用。HTML和JavaScript的讀寫能力也要有畢竟Web漏洞是入門的主流方向。這個階段不用追求速度每天兩小時堅持三個月左右基礎(chǔ)就能達到“能聽懂圈內(nèi)人在說什么”的水平。2.2 第二階段搭建自己的“合法靶場”光看書不練手永遠學不會安全。但練習必須在自己搭的靶場里做這是原則問題。具體怎么搭呢虛擬化平臺裝一個VMware Workstation或者VirtualBox這是免費且主流的方案。靶機系統(tǒng)推薦先從DVWADamn Vulnerable Web Application開始它自帶低中高三檔難度的漏洞環(huán)境專門給新手練Web漏洞。進階可以裝VulHub、Sqli-labs、Upload-labs這些開源靶場。攻擊機裝一個Kali Linux它預裝了大量的滲透測試工具。雖然很多人詬病“Kali是腳本小子的玩具”但它確實是新手認識工具生態(tài)最好的起點。我自己給新手的建議是第一次配環(huán)境別追求復雜先跑通DVWA再說。我在教學過程中發(fā)現(xiàn)很多新人卡死在環(huán)境搭建上裝了三天系統(tǒng)連服務(wù)都起不來這是非常消耗信心的一步。如果實在裝不上可以考慮云上靶場現(xiàn)在不少培訓機構(gòu)提供在線實驗環(huán)境重點是先把練習做起來。2.3 第三階段跟著漏洞原理“打怪升級”基礎(chǔ)打牢、靶場跑通之后就可以按專題逐個攻克Web漏洞了。每個漏洞的學習路徑是固定的原理 - 手工復現(xiàn) - 工具輔助驗證 - 防御方案。這一篇不可能把每個漏洞都寫全但我會在后文把最核心的幾個漏洞原理講透你先建立整體認知然后按這個框架逐個深挖。學習路線圖大概是HTML/JS基礎(chǔ) - SQL注入 - XSS跨站腳本 - CSRF - 文件上傳 - 命令執(zhí)行 - SSRF - 反序列化。這條路走下來恭喜你已經(jīng)超越90%的“百度網(wǎng)盤黑客”了。3. 信息收集滲透測試里被低估的“第一步”我記得帶過的很多新人一拿到靶機就急著用掃描器跑跑完看報告一頭霧水。這就是典型的“還沒學會走就想跑”。信息收集是滲透測試的起點也是最考驗?zāi)托暮图毿牡囊徊?。在真實的攻防演練中拿到一個目標之后前期偵察可能占掉整個項目四分之一甚至更多的時間。信息收集的核心目標很明確搞清楚這個目標的“攻擊面”有多大。通俗說就是找到目標暴露在互聯(lián)網(wǎng)上的所有入口——有多少臺服務(wù)器、多少個IP、哪些端口開著、跑著什么服務(wù)、用的什么中間件和框架、有沒有旁站和子域名、有沒有暴露的管理后臺和敏感文件。新手可以先掌握以下五類信息收集手段域名與子域收集子域名可以擴大攻擊面常見思路是通過證書透明度Certificate Transparency、DNS爆破等方式收集。IP與端口掃描拿到IP后掃描開放端口看看跑的是Web服務(wù)、數(shù)據(jù)庫還是SSH然后對應(yīng)找已知漏洞。Nmap是必學工具-sS半開掃描最常用。指紋識別判斷網(wǎng)站用了什么CMS如WordPress、什么框架如ThinkPHP、Spring、什么中間件如Nginx、Apache、Tomcat不同指紋對應(yīng)不同漏洞庫。工具可以用瀏覽器插件Wappalyzer或者命令行工具WhatWeb。目錄與接口枚舉很多敏感路徑不會被搜索引擎收錄需要主動去“猜”。經(jīng)典工具是dirsearch跑一遍常見字典往往能掃出后臺登錄頁、備份文件、API接口文檔。Google Hacking與歷史信息巧妙使用搜索引擎語法可以搜出暴露的管理后臺、配置文件、開發(fā)文檔。還記得有個項目在源碼注釋里遺留了內(nèi)網(wǎng)IP和數(shù)據(jù)庫賬號這種信息稍加整合攻擊鏈就出來了。很多新人覺得信息收集只是“掃一掃”而已沒什么技術(shù)含量。但真正的差距恰恰體現(xiàn)在這里高手能通過一條子域名和一個后臺路徑推斷出目標內(nèi)部的網(wǎng)絡(luò)架構(gòu)、代碼框架版本甚至開發(fā)團隊的編碼習慣。這些信息最終決定了后續(xù)測試的效率。這里必須強調(diào)一句老生常談但必須說透的話信息收集只能在獲得授權(quán)的范圍內(nèi)進行。你可以在自己的靶場、SRC平臺授權(quán)范圍內(nèi)或者在攻防演練中按規(guī)則去收集跑到別人網(wǎng)站上掃端口、翻目錄那是違法行為不是技術(shù)。4. Web漏洞必修課三大經(jīng)典漏洞的原理、利用與防御4.1 SQL注入數(shù)據(jù)庫在“翻譯”你傳進去的話SQL注入是Web安全里最經(jīng)典、也最“歷史悠久”的漏洞類型本質(zhì)就是程序的數(shù)據(jù)庫查詢語句把用戶輸入的內(nèi)容當成了代碼來執(zhí)行。舉個例子一個登錄業(yè)務(wù)在代碼里可能是這樣拼SQL的SELECT * FROM users WHERE usernameadmin AND password123456如果哪一步?jīng)]有做參數(shù)化處理攻擊者在用戶名處輸入admin --拼出來的SQL就變成了SELECT * FROM users WHERE usernameadmin -- AND password123456--在MySQL里是注釋符后面的密碼判斷直接被注釋掉了于是只要知道用戶名就能登錄。手工注入的基本邏輯是判斷閉合方式 - 判斷字段數(shù) - 判斷回顯位置 - 提取數(shù)據(jù)庫版本、庫名、表名、字段名、數(shù)據(jù)。這一套流程建議新手先在靶場里手工做十次以上再考慮上sqlmap工具。原因很簡單工具能幫你跑出結(jié)果但幫不了你理解為什么。面試的時候面試官不會只看你會不會用sqlmap更重要的是問你如何繞WAF、如何判斷注入點類型。防御方案現(xiàn)在成熟了核心就一條使用預編譯參數(shù)化查詢把SQL語句結(jié)構(gòu)和參數(shù)數(shù)據(jù)分開傳遞。底層數(shù)據(jù)庫會先把SQL結(jié)構(gòu)編譯好再以“數(shù)據(jù)”的形式綁定參數(shù)無論傳進去什么特殊字符都只是一串字符串永遠不會被當作SQL代碼執(zhí)行。另外對所有的用戶輸入做白名單校驗也從源頭上縮小了風險。4.2 XSS跨站腳本網(wǎng)頁里的“惡意演員”XSS比SQL注入更容易被新人忽略因為它的危害不像“拖庫”那么直接。但我一直跟學員說XSS是現(xiàn)代Web應(yīng)用中出現(xiàn)頻率最高、變形最多、利用鏈最長的一類漏洞。它的原理可以這樣理解一個網(wǎng)站有個留言板功能用戶能輸入評論網(wǎng)站把評論原樣展示到頁面里。如果你在評論里輸入的是scriptalert(xss)/script而服務(wù)器沒有做過濾、轉(zhuǎn)義那么這段代碼就會被瀏覽器當成頁面腳本執(zhí)行。這就是最基礎(chǔ)的反射型和存儲型XSS。反射型惡意腳本通過URL參數(shù)傳入服務(wù)端輸出到頁面用戶點擊惡意鏈接才會觸發(fā)。存儲型惡意腳本被持久化保存到數(shù)據(jù)庫里任何一個用戶打開頁面都會中招。評論區(qū)、個人簡介、訂單留言這些位置是重災(zāi)區(qū)。DOM型服務(wù)端根本沒參與完全在前端DOM操作里把危險數(shù)據(jù)拼進了HTML。XSS真正的殺傷力在于配合其他業(yè)務(wù)使用。打個比方攻擊者可以構(gòu)造一個看起來完全正常的鏈接誘騙用戶點擊腳本竊取Session Cookie后回傳——于是攻擊者不需要知道密碼直接續(xù)上用戶的登錄態(tài)就能接管會話。更嚴重的場景是配合后臺管理功能比如在管理員瀏覽的頁面里注入腳本直接以管理員身份執(zhí)行敏感操作。防御的關(guān)鍵是“輸出編碼”數(shù)據(jù)在進入HTML、JavaScript、CSS、URL等不同上下文之前必須用對應(yīng)的編碼函數(shù)把、、、、等特殊字符轉(zhuǎn)義。其次是Content-Security-PolicyCSP響應(yīng)頭它可以告訴瀏覽器“只信任白名單里的腳本源”就算頁面代碼被插入了惡意腳本瀏覽器也會拒絕執(zhí)行?，F(xiàn)代的框架如Vue、React在默認情況下對插值做了轉(zhuǎn)義但v-html、dangerouslySetInnerHTML這類“不轉(zhuǎn)義接口”依然是XSS的高發(fā)點。4.3 文件上傳與命令執(zhí)行從“放文件”到“控制服務(wù)器”文件上傳功能幾乎每個網(wǎng)站都有頭像上傳、附件上傳、導入Excel……但很多開發(fā)都沒想過這個口子一旦沒守好就等于直接給攻擊者遞了一把打開服務(wù)器的鑰匙。最經(jīng)典的利用方式就是上傳WebShell。攻擊者構(gòu)造一個內(nèi)容為一句話木馬的文件?php eval($_POST[cmd]); ?如果服務(wù)端沒有校驗文件內(nèi)容只校驗了擴展名把它傳上去然后通過Web訪問這個文件——恭喜攻擊者已經(jīng)拿到你在服務(wù)器上執(zhí)行命令的“遙控器”了。所以文件上傳的防御要注意三層白名單校驗只允許指定的擴展名禁止一切不在名單里的類型。內(nèi)容校驗用服務(wù)端檢查文件頭magic number、MIME類型和文件內(nèi)容不能只看前端傳的參數(shù)。存儲與執(zhí)行分離上傳文件放到獨立的靜態(tài)文件服務(wù)器或?qū)ο蟠鎯χ胁辉试S在Web應(yīng)用目錄下直接執(zhí)行腳本。命令執(zhí)行漏洞相對少一些但一旦存在就是致命的。這類漏洞的本質(zhì)是程序把用戶的輸入拼進了系統(tǒng)命令里比如服務(wù)器端調(diào)用了system(ping . $ip)這樣的代碼。防御手段包括盡量避免直接調(diào)用系統(tǒng)命令、對命令參數(shù)做嚴格白名單、使用禁用的開箱API等等。5. 抓包分析入門用Wireshark看清網(wǎng)絡(luò)里的“車輛行駛?cè)罩尽鼻懊嬷v的大部分是Web層的漏洞原理但如果你只停留在瀏覽器和HTTP層很多網(wǎng)絡(luò)層面的安全問題你是看不見的。我建議所有初學者盡早養(yǎng)成抓包、看包的習慣。這不僅對滲透測試有用對排查日常網(wǎng)絡(luò)故障、理解協(xié)議細節(jié)同樣幫助巨大。Wireshark是目前最主流的網(wǎng)絡(luò)協(xié)議分析工具免費開源全平臺支持。它能做什么簡單說把網(wǎng)卡上流過的每一個數(shù)據(jù)包都“拍下來”然后按照協(xié)議棧一層層拆開給你看。我第一次用它分析一個慢速網(wǎng)站問題時通過看TCP往返時延和重傳率很快就找到了瓶頸那種“原來網(wǎng)線里的數(shù)據(jù)是這么走的”的感覺比背十遍OSI模型都管用。很多新手從網(wǎng)上找一些練習數(shù)據(jù)包來練手最常見的一個題目就是使用wireshark查看并分析靶機桌面下的capture.pcapng數(shù)據(jù)包文件找到黑客的ip地址。這種題怎么解呢我給你列一套可以復用的分析思路打開pcapng文件后先別急著亂翻?？唇y(tǒng)計菜單里的“協(xié)議分級”了解這個包里主要是什么流量——是HTTP多還是TCP多有沒有可疑的IRC、Telnet等明文協(xié)議的流量。定位可疑IP。用統(tǒng)計 - 端點查看流量最集中的IP地址。攻擊者一般不會是流量最干凈的IP。如果一個IP既訪問了你的Web服務(wù)又嘗試連你的數(shù)據(jù)庫端口那就有嫌疑。追蹤流Follow TCP Stream。選中可疑的HTTP請求右鍵跟蹤TCP流可以直接看到請求和響應(yīng)的完整內(nèi)容。在這個視圖里賬號密碼、攻擊payload往往就擺在明面上。看時間線。攻擊不一定包在單個包里很可能是先掃描、再利用、再回連的節(jié)奏。通過時間列看包與包之間的間隔可以判斷哪些行為是“主動攻擊”哪些是正常訪問。這里給你一個實戰(zhàn)小例子。假設(shè)pcapng里有大量來自203.0.113.5的攻擊流量表現(xiàn)為短時間內(nèi)向目標IP的多個端口發(fā)送TCP SYN包緊接著又有幾個帶有/admin/login.php?id1特征的HTTP請求。通過Wireshark篩選器輸入ip.addr 203.0.113.5就會把該IP相關(guān)的所有包過濾出來。再配合HTTP請求篩選http.request就能看到攻擊路徑是什么樣的。這種分析能力在安全運營中心的日常工作中用得非常多。抓包分析的核心技能是會“過濾”。Wireshark的顯示過濾器語法一定要練熟比如ip.src 192.168.1.1只看源地址tcp.port 443只看443端口的流量http.request.method POST只看POST請求tls.handshake.type 1只看TLS握手包其實不用全背你只需要掌握幾個常用的然后善用右下角的“表達式”按鈕它會給你列出一整棵協(xié)議字段樹照著點就行。新手最容易犯的錯誤是一打開抓包就抓全網(wǎng)卡抓到幾百MB文件卡到電腦死機。正確做法是先確定你要看什么流量再設(shè)置對應(yīng)的抓包過濾器減少無關(guān)數(shù)據(jù)干擾。6. 走向?qū)崙?zhàn)SRC平臺與CTF賽事才是“合法打怪”的副本從實力角度說靶場只能幫你建立手感進入商業(yè)環(huán)境或者參加真實項目才是檢驗水平的開始。但對新手來說最穩(wěn)妥、最合法的“出師之路”是SRC平臺和CTF比賽。6.1 SRC把挖洞變成正經(jīng)事SRC全稱是Security Response Center也就是廠商的安全應(yīng)急響應(yīng)中心。國內(nèi)主流互聯(lián)網(wǎng)公司基本都有自己的SRC平臺也有行業(yè)聚合平臺把幾十上百家企業(yè)的眾測項目匯總在一起。在這些平臺上白帽子可以在廠商“授權(quán)”的資產(chǎn)范圍內(nèi)尋找安全漏洞提交后獲得積分或現(xiàn)金獎勵。新手第一次上SRC我建議按三條原則來從小目標開始。別一上來就去碰大廠核心業(yè)務(wù)那些邊緣系統(tǒng)反而容易被遺漏但優(yōu)先級也低。先找那些“測試賬號開放、企業(yè)自建應(yīng)用”的項目練手漏洞數(shù)量多、審核快。先在測試站上驗證再提交。廠商給的測試環(huán)境怎么折騰都行但千萬不要拿測試Payload去打線上數(shù)據(jù)。這是行業(yè)底線。報告寫清楚。很多新手挖到漏洞但報告寫得一塌糊涂沒有截圖、復現(xiàn)步驟模糊、影響范圍說不清。一份合格的漏洞報告至少應(yīng)該包含漏洞URL、漏洞類型、復現(xiàn)步驟最好帶請求包和響應(yīng)包、影響分析、修復建議。記住審核人員一天看幾百份報告你的報告越清晰評級往往越高?，F(xiàn)在這個行業(yè)已經(jīng)很成熟了SRC渠道可以讓你在沒入職之前就建立自己的漏洞挖掘記錄。很多公司招聘安全工程師非常看重SRC排名和提交記錄這比簡歷上自吹自擂有說服力得多。6.2 CTF打比賽是成長的“加速器”CTFCapture The Flag是網(wǎng)絡(luò)安全競賽的主流形式解題方向分為Web、Pwn二進制漏洞利用、Reverse逆向工程、Crypto密碼學、Misc雜項等。對入門者來說Web方向的題目最友好也是我最推薦新手先入坑的方向。國內(nèi)比較權(quán)威、老牌的CTF賽事包括XCTF國際聯(lián)賽、強網(wǎng)杯、護網(wǎng)杯、網(wǎng)鼎杯等。很多廠商和機構(gòu)也會定期辦一些新人友好的線上賽。打比賽最大的價值不是名次而是它逼著你在有限時間內(nèi)快速學習一個新的小知識點——這種“被迫式快速學習”的節(jié)奏一旦適應(yīng)后面自學任何新工具都會快很多。我的個人建議是入行前半年每周參加一場線上CTF不會的題目賽后看Writeup看懂后再自己獨立做一遍。半年下來你對Web漏洞、編碼繞過、密碼學的理解會比你看十個月教程深得多。由于Web賽題經(jīng)常結(jié)合真實的CMS框架、開源組件所以多留意當前的CVE公共漏洞披露對打比賽和挖SRC都有幫助。7. 就業(yè)關(guān)口考證、面試與崗位的真實畫像不少人學網(wǎng)絡(luò)安全是為了找工作那這部分你得拿小本本記好。7.1 常見的就業(yè)方向滲透測試工程師授權(quán)范圍內(nèi)對系統(tǒng)發(fā)起模擬攻擊產(chǎn)出測試報告。出差多、實戰(zhàn)多、成長快。安全運維/安全運營工程師負責防火墻、WAF、IDS/IPS維護看日志、處理告警、安全加固。崗位需求量大適合入門。安全研發(fā)工程師做安全產(chǎn)品掃描器、WAF、SIEM的后端開發(fā)要求代碼能力強。等保測評師依據(jù)國家等級保護標準對系統(tǒng)進行測評偏合規(guī)方向不需要很強的攻防能力。應(yīng)急響應(yīng)/安全服務(wù)工程師甲方被攻破之后入場做排查、取證、清除后門、恢復系統(tǒng)。7.2 證書到底有沒有用這個問題幾乎每個新手都問過。我的看法是證書是敲門磚不是護身符。在校學生考NISP國家信息安全水平考試性價比很高從業(yè)者想提升含金量可以看CISP注冊信息安全專業(yè)人員、CISSP注冊信息系統(tǒng)安全專家。但真正面試時面試官最看重的還是你的實戰(zhàn)能力和思路。你可以在簡歷里寫“曾在XSRC平臺提交過X個高危漏洞”這比一張證書有用得多。7.3 網(wǎng)絡(luò)安全面試題會問什么結(jié)合我自己面試和被面試的經(jīng)歷新人的技術(shù)面大概集中在以下三類基礎(chǔ)概念類三次握手和四次揮手的過程是什么HTTP和HTTPS的區(qū)別對稱加密和非對稱加密的區(qū)別漏洞原理類SQL注入如何判斷注入點存儲型XSS和反射型XSS的區(qū)別文件上傳繞過都有哪些思路Redis未授權(quán)訪問怎么利用和修復場景分析類如果線上服務(wù)器CPU飆升你會怎么排查收到一個釣魚郵件怎么分析日志里出現(xiàn)大量401錯誤怎么辦這些題都不需要你背答案只要你前面階段是認真練過來的完全可以答得比較順。如果發(fā)現(xiàn)自己答不上來趁現(xiàn)在把這些知識的“基本盤”補扎實面試就沒那么可怕了。8. 新手避坑清單這些話沒人提醒你可能要摔幾次跤最后這部分是我最想對新手說的一些“體己話”不一定都是技術(shù)但每一條都是我或者身邊朋友真實踩過的坑。1. 千萬不要下載來路不明的“黑客工具包”。熱詞里有些像“黑客神器網(wǎng)站大全”“黑客開戶軟件下載”之類的東西十有八九是坑。真正的開源安全工具基本都是公開的、體積不大、有官方文檔的。那種打包幾百個工具、還要你關(guān)閉殺毒軟件的東西請直接刪掉。我做過測試很多“工具包”里有后門木馬你一運行就等于把電腦的控制權(quán)送給了別人。安全圈的人竟然被“黑客工具”釣魚說出去都丟人。2. 別搞“無授權(quán)測試”。哪怕你學有所成也別拿同學、同事、鄰居的網(wǎng)站來練手更不能拿政府、學校、企業(yè)的系統(tǒng)來試。我們這行最講究的就是“邊界感”——授權(quán)是底線。技術(shù)能力越強越要懂得邊界在哪里。3. 學習不要追求速成?！皬娜腴T到精通”這種標題本身就是個悖論。安全是攻防對抗的行業(yè)攻擊技術(shù)在變、防御技術(shù)在變、業(yè)務(wù)也在變沒有人能真正“精通”。我?guī)Я诉@么多年新人發(fā)現(xiàn)成長最快的往往不是天賦最高的而是最能沉下心一個漏洞一個漏洞啃的那種人。今天搞會一個XSS的繞過姿勢明天搞會一個內(nèi)網(wǎng)穿透的思路積累半年之后你就真的站在門檻上了。4. 多寫筆記多輸出。我一直鼓勵新人把自己學過的漏洞原理、踩過的坑寫成文章。你寫出來的過程就是你把這些知識重新組織、內(nèi)化的過程。我自己的博客就是從一篇很幼稚的SQL注入筆記開始的現(xiàn)在回看雖然漏洞百出但正是那時候養(yǎng)成的總結(jié)習慣讓我能走得更遠。5. 保持耐心以戰(zhàn)養(yǎng)戰(zhàn)。學習到一定程度一定要找實戰(zhàn)機會。SRC平臺、CTF比賽、開源項目找issue復現(xiàn)都是好的方式。如果你身邊找不到安全的圈子就多混一些技術(shù)社區(qū)參加線上線下的分享認識同路的人。一個人閉門造車過不了多久就會因為看不到反饋而放棄。做個簡單的總結(jié)吧。網(wǎng)絡(luò)安全這個領(lǐng)域入門不難難的是方向感和自律。把基礎(chǔ)打牢、在靶場里磨透每一個經(jīng)典漏洞、多看報文、參加比賽、寫報告這條路走下來你已經(jīng)超越絕大多數(shù)人了。希望這一篇將近七千字的干貨筆記能幫你少走一些我當年走過的彎路。我們后會有期。 網(wǎng)絡(luò)安全入門學習路線：從零基礎(chǔ)到滲透測試實戰(zhàn)
1. 先給“黑客”祛魅這個行當?shù)降自谧鍪裁唇?jīng)常有人私信問我同一個問題“我想學黑客能不能教我怎么黑別人的網(wǎng)站”說實話我第一次接觸網(wǎng)絡(luò)安全的時候也是帶著這種好奇入坑的。但等你真正進了這個圈子在靶場里泡了半年、看了一整年的漏洞報告再回頭看“黑客”這兩個字你會覺得當初的想法又中二又危險?，F(xiàn)在很多新人被短視頻和影視劇帶偏了以為黑客就是穿著帽衫、黑掉攝像頭、在鍵盤上噼里啪啦敲幾下就能轉(zhuǎn)走別人賬戶里的錢。真實的網(wǎng)絡(luò)安全行業(yè)完全不是這樣。先說結(jié)論這個行業(yè)的絕大多數(shù)從業(yè)者干的是防御、檢測、修復、合規(guī)的活兒真正做攻擊滲透的人也必須有授權(quán)才能動手。我們?nèi)ψ永锇迅闫茐牡姆Q為“黑帽”把發(fā)現(xiàn)漏洞并提交給官方修復的稱為“白帽”兩者之間還有“灰帽”——就是那種沒授權(quán)但也沒惡意、純粹炫技的人。國內(nèi)還有個有年代感的詞叫“紅客”泛指有愛國立場的技術(shù)愛好者但嚴格來說這不是職業(yè)分類。那“駭客”又是什么這個詞其實是對英文hacker的音譯變體但在中文語境下更多人用“黑客”泛指技術(shù)高手“駭客”則帶有一點“惡意入侵者”的色彩。熱詞里還有個“白客”這個詞現(xiàn)實中很少用出現(xiàn)在中文互聯(lián)網(wǎng)早期指代正面的安全技術(shù)人員。說白了稱謂不重要重要的是你掌握了技術(shù)之后選擇站哪一邊。再說說網(wǎng)絡(luò)安全這個領(lǐng)域到底包含什么。很多人以為只有“滲透測試”才是網(wǎng)絡(luò)安全其實這只是其中一個方向。完整的知識體系包括網(wǎng)絡(luò)與系統(tǒng)安全防火墻策略、入侵檢測、基線檢查、系統(tǒng)加固Web安全SQL注入、XSS、CSRF、文件上傳漏洞的挖掘與修復安全運營SOC監(jiān)控、日志分析、威脅狩獵、事件響應(yīng)密碼學與協(xié)議安全加密算法、TLS/SSL、認證機制二進制與逆向工程漏洞挖掘、病毒分析、軟件破解合規(guī)與等保等級保護測評、數(shù)據(jù)安全法、行業(yè)監(jiān)管要求所以你問我“從零基礎(chǔ)入門到精通看這一篇夠不夠”我會老實告訴你一篇文章不可能讓你精通但可以幫你把這潭水看清楚知道先干什么、后干什么、哪些坑不能踩。這篇文章就是給那些真正想入行、想自學的新手畫一張完整的地圖。在地圖拿到手之前千萬別急著買什么“黑客神器工具包”十有八九是割韭菜或者打包木馬的。2. 從零開始的學習路線地基打不牢遲早要返工新手最容易犯的毛病就是一上來就下載各種攻擊工具對著某個網(wǎng)站瞎試。這不叫學習叫給自己找麻煩。我見過太多人折騰了三個月工具會點了但連“為什么這個漏洞存在”都說不清楚。面試官一問TCP三次握手和HTTP請求流程直接卡殼。工具永遠只是表達思想的手段漏洞的本質(zhì)是代碼、協(xié)議、配置中的邏輯缺陷。2.1 第一階段把計算機基礎(chǔ)打扎實不管你未來想做滲透測試、安全運維還是安全研發(fā)以下三門課是繞不過去的計算機網(wǎng)絡(luò)重點學OSI七層模型、TCP/IP協(xié)議族、HTTP/HTTPS協(xié)議、DNS解析過程。不用背報文格式但要理解握手、揮手、狀態(tài)碼、請求方法這些概念。操作系統(tǒng)Windows和Linux至少熟一個我建議優(yōu)先Linux因為大部分服務(wù)器、靶場環(huán)境、安全工具都跑在Linux上?；A(chǔ)命令要會文件操作、權(quán)限管理、進程查看、網(wǎng)絡(luò)配置。一門編程語言首選Python用來寫腳本、寫POC概念驗證代碼。不用學到精通能寫爬蟲、能處理報文就夠用。HTML和JavaScript的讀寫能力也要有畢竟Web漏洞是入門的主流方向。這個階段不用追求速度每天兩小時堅持三個月左右基礎(chǔ)就能達到“能聽懂圈內(nèi)人在說什么”的水平。2.2 第二階段搭建自己的“合法靶場”光看書不練手永遠學不會安全。但練習必須在自己搭的靶場里做這是原則問題。具體怎么搭呢虛擬化平臺裝一個VMware Workstation或者VirtualBox這是免費且主流的方案。靶機系統(tǒng)推薦先從DVWADamn Vulnerable Web Application開始它自帶低中高三檔難度的漏洞環(huán)境專門給新手練Web漏洞。進階可以裝VulHub、Sqli-labs、Upload-labs這些開源靶場。攻擊機裝一個Kali Linux它預裝了大量的滲透測試工具。雖然很多人詬病“Kali是腳本小子的玩具”但它確實是新手認識工具生態(tài)最好的起點。我自己給新手的建議是第一次配環(huán)境別追求復雜先跑通DVWA再說。我在教學過程中發(fā)現(xiàn)很多新人卡死在環(huán)境搭建上裝了三天系統(tǒng)連服務(wù)都起不來這是非常消耗信心的一步。如果實在裝不上可以考慮云上靶場現(xiàn)在不少培訓機構(gòu)提供在線實驗環(huán)境重點是先把練習做起來。2.3 第三階段跟著漏洞原理“打怪升級”基礎(chǔ)打牢、靶場跑通之后就可以按專題逐個攻克Web漏洞了。每個漏洞的學習路徑是固定的原理 - 手工復現(xiàn) - 工具輔助驗證 - 防御方案。這一篇不可能把每個漏洞都寫全但我會在后文把最核心的幾個漏洞原理講透你先建立整體認知然后按這個框架逐個深挖。學習路線圖大概是HTML/JS基礎(chǔ) - SQL注入 - XSS跨站腳本 - CSRF - 文件上傳 - 命令執(zhí)行 - SSRF - 反序列化。這條路走下來恭喜你已經(jīng)超越90%的“百度網(wǎng)盤黑客”了。3. 信息收集滲透測試里被低估的“第一步”我記得帶過的很多新人一拿到靶機就急著用掃描器跑跑完看報告一頭霧水。這就是典型的“還沒學會走就想跑”。信息收集是滲透測試的起點也是最考驗?zāi)托暮图毿牡囊徊?。在真實的攻防演練中拿到一個目標之后前期偵察可能占掉整個項目四分之一甚至更多的時間。信息收集的核心目標很明確搞清楚這個目標的“攻擊面”有多大。通俗說就是找到目標暴露在互聯(lián)網(wǎng)上的所有入口——有多少臺服務(wù)器、多少個IP、哪些端口開著、跑著什么服務(wù)、用的什么中間件和框架、有沒有旁站和子域名、有沒有暴露的管理后臺和敏感文件。新手可以先掌握以下五類信息收集手段域名與子域收集子域名可以擴大攻擊面常見思路是通過證書透明度Certificate Transparency、DNS爆破等方式收集。IP與端口掃描拿到IP后掃描開放端口看看跑的是Web服務(wù)、數(shù)據(jù)庫還是SSH然后對應(yīng)找已知漏洞。Nmap是必學工具-sS半開掃描最常用。指紋識別判斷網(wǎng)站用了什么CMS如WordPress、什么框架如ThinkPHP、Spring、什么中間件如Nginx、Apache、Tomcat不同指紋對應(yīng)不同漏洞庫。工具可以用瀏覽器插件Wappalyzer或者命令行工具WhatWeb。目錄與接口枚舉很多敏感路徑不會被搜索引擎收錄需要主動去“猜”。經(jīng)典工具是dirsearch跑一遍常見字典往往能掃出后臺登錄頁、備份文件、API接口文檔。Google Hacking與歷史信息巧妙使用搜索引擎語法可以搜出暴露的管理后臺、配置文件、開發(fā)文檔。還記得有個項目在源碼注釋里遺留了內(nèi)網(wǎng)IP和數(shù)據(jù)庫賬號這種信息稍加整合攻擊鏈就出來了。很多新人覺得信息收集只是“掃一掃”而已沒什么技術(shù)含量。但真正的差距恰恰體現(xiàn)在這里高手能通過一條子域名和一個后臺路徑推斷出目標內(nèi)部的網(wǎng)絡(luò)架構(gòu)、代碼框架版本甚至開發(fā)團隊的編碼習慣。這些信息最終決定了后續(xù)測試的效率。這里必須強調(diào)一句老生常談但必須說透的話信息收集只能在獲得授權(quán)的范圍內(nèi)進行。你可以在自己的靶場、SRC平臺授權(quán)范圍內(nèi)或者在攻防演練中按規(guī)則去收集跑到別人網(wǎng)站上掃端口、翻目錄那是違法行為不是技術(shù)。4. Web漏洞必修課三大經(jīng)典漏洞的原理、利用與防御4.1 SQL注入數(shù)據(jù)庫在“翻譯”你傳進去的話SQL注入是Web安全里最經(jīng)典、也最“歷史悠久”的漏洞類型本質(zhì)就是程序的數(shù)據(jù)庫查詢語句把用戶輸入的內(nèi)容當成了代碼來執(zhí)行。舉個例子一個登錄業(yè)務(wù)在代碼里可能是這樣拼SQL的SELECT * FROM users WHERE usernameadmin AND password123456如果哪一步?jīng)]有做參數(shù)化處理攻擊者在用戶名處輸入admin --拼出來的SQL就變成了SELECT * FROM users WHERE usernameadmin -- AND password123456--在MySQL里是注釋符后面的密碼判斷直接被注釋掉了于是只要知道用戶名就能登錄。手工注入的基本邏輯是判斷閉合方式 - 判斷字段數(shù) - 判斷回顯位置 - 提取數(shù)據(jù)庫版本、庫名、表名、字段名、數(shù)據(jù)。這一套流程建議新手先在靶場里手工做十次以上再考慮上sqlmap工具。原因很簡單工具能幫你跑出結(jié)果但幫不了你理解為什么。面試的時候面試官不會只看你會不會用sqlmap更重要的是問你如何繞WAF、如何判斷注入點類型。防御方案現(xiàn)在成熟了核心就一條使用預編譯參數(shù)化查詢把SQL語句結(jié)構(gòu)和參數(shù)數(shù)據(jù)分開傳遞。底層數(shù)據(jù)庫會先把SQL結(jié)構(gòu)編譯好再以“數(shù)據(jù)”的形式綁定參數(shù)無論傳進去什么特殊字符都只是一串字符串永遠不會被當作SQL代碼執(zhí)行。另外對所有的用戶輸入做白名單校驗也從源頭上縮小了風險。4.2 XSS跨站腳本網(wǎng)頁里的“惡意演員”XSS比SQL注入更容易被新人忽略因為它的危害不像“拖庫”那么直接。但我一直跟學員說XSS是現(xiàn)代Web應(yīng)用中出現(xiàn)頻率最高、變形最多、利用鏈最長的一類漏洞。它的原理可以這樣理解一個網(wǎng)站有個留言板功能用戶能輸入評論網(wǎng)站把評論原樣展示到頁面里。如果你在評論里輸入的是scriptalert(xss)/script而服務(wù)器沒有做過濾、轉(zhuǎn)義那么這段代碼就會被瀏覽器當成頁面腳本執(zhí)行。這就是最基礎(chǔ)的反射型和存儲型XSS。反射型惡意腳本通過URL參數(shù)傳入服務(wù)端輸出到頁面用戶點擊惡意鏈接才會觸發(fā)。存儲型惡意腳本被持久化保存到數(shù)據(jù)庫里任何一個用戶打開頁面都會中招。評論區(qū)、個人簡介、訂單留言這些位置是重災(zāi)區(qū)。DOM型服務(wù)端根本沒參與完全在前端DOM操作里把危險數(shù)據(jù)拼進了HTML。XSS真正的殺傷力在于配合其他業(yè)務(wù)使用。打個比方攻擊者可以構(gòu)造一個看起來完全正常的鏈接誘騙用戶點擊腳本竊取Session Cookie后回傳——于是攻擊者不需要知道密碼直接續(xù)上用戶的登錄態(tài)就能接管會話。更嚴重的場景是配合后臺管理功能比如在管理員瀏覽的頁面里注入腳本直接以管理員身份執(zhí)行敏感操作。防御的關(guān)鍵是“輸出編碼”數(shù)據(jù)在進入HTML、JavaScript、CSS、URL等不同上下文之前必須用對應(yīng)的編碼函數(shù)把、、、、等特殊字符轉(zhuǎn)義。其次是Content-Security-PolicyCSP響應(yīng)頭它可以告訴瀏覽器“只信任白名單里的腳本源”就算頁面代碼被插入了惡意腳本瀏覽器也會拒絕執(zhí)行?，F(xiàn)代的框架如Vue、React在默認情況下對插值做了轉(zhuǎn)義但v-html、dangerouslySetInnerHTML這類“不轉(zhuǎn)義接口”依然是XSS的高發(fā)點。4.3 文件上傳與命令執(zhí)行從“放文件”到“控制服務(wù)器”文件上傳功能幾乎每個網(wǎng)站都有頭像上傳、附件上傳、導入Excel……但很多開發(fā)都沒想過這個口子一旦沒守好就等于直接給攻擊者遞了一把打開服務(wù)器的鑰匙。最經(jīng)典的利用方式就是上傳WebShell。攻擊者構(gòu)造一個內(nèi)容為一句話木馬的文件?php eval($_POST[cmd]); ?如果服務(wù)端沒有校驗文件內(nèi)容只校驗了擴展名把它傳上去然后通過Web訪問這個文件——恭喜攻擊者已經(jīng)拿到你在服務(wù)器上執(zhí)行命令的“遙控器”了。所以文件上傳的防御要注意三層白名單校驗只允許指定的擴展名禁止一切不在名單里的類型。內(nèi)容校驗用服務(wù)端檢查文件頭magic number、MIME類型和文件內(nèi)容不能只看前端傳的參數(shù)。存儲與執(zhí)行分離上傳文件放到獨立的靜態(tài)文件服務(wù)器或?qū)ο蟠鎯χ胁辉试S在Web應(yīng)用目錄下直接執(zhí)行腳本。命令執(zhí)行漏洞相對少一些但一旦存在就是致命的。這類漏洞的本質(zhì)是程序把用戶的輸入拼進了系統(tǒng)命令里比如服務(wù)器端調(diào)用了system(ping . $ip)這樣的代碼。防御手段包括盡量避免直接調(diào)用系統(tǒng)命令、對命令參數(shù)做嚴格白名單、使用禁用的開箱API等等。5. 抓包分析入門用Wireshark看清網(wǎng)絡(luò)里的“車輛行駛?cè)罩尽鼻懊嬷v的大部分是Web層的漏洞原理但如果你只停留在瀏覽器和HTTP層很多網(wǎng)絡(luò)層面的安全問題你是看不見的。我建議所有初學者盡早養(yǎng)成抓包、看包的習慣。這不僅對滲透測試有用對排查日常網(wǎng)絡(luò)故障、理解協(xié)議細節(jié)同樣幫助巨大。Wireshark是目前最主流的網(wǎng)絡(luò)協(xié)議分析工具免費開源全平臺支持。它能做什么簡單說把網(wǎng)卡上流過的每一個數(shù)據(jù)包都“拍下來”然后按照協(xié)議棧一層層拆開給你看。我第一次用它分析一個慢速網(wǎng)站問題時通過看TCP往返時延和重傳率很快就找到了瓶頸那種“原來網(wǎng)線里的數(shù)據(jù)是這么走的”的感覺比背十遍OSI模型都管用。很多新手從網(wǎng)上找一些練習數(shù)據(jù)包來練手最常見的一個題目就是使用wireshark查看并分析靶機桌面下的capture.pcapng數(shù)據(jù)包文件找到黑客的ip地址。這種題怎么解呢我給你列一套可以復用的分析思路打開pcapng文件后先別急著亂翻?？唇y(tǒng)計菜單里的“協(xié)議分級”了解這個包里主要是什么流量——是HTTP多還是TCP多有沒有可疑的IRC、Telnet等明文協(xié)議的流量。定位可疑IP。用統(tǒng)計 - 端點查看流量最集中的IP地址。攻擊者一般不會是流量最干凈的IP。如果一個IP既訪問了你的Web服務(wù)又嘗試連你的數(shù)據(jù)庫端口那就有嫌疑。追蹤流Follow TCP Stream。選中可疑的HTTP請求右鍵跟蹤TCP流可以直接看到請求和響應(yīng)的完整內(nèi)容。在這個視圖里賬號密碼、攻擊payload往往就擺在明面上。看時間線。攻擊不一定包在單個包里很可能是先掃描、再利用、再回連的節(jié)奏。通過時間列看包與包之間的間隔可以判斷哪些行為是“主動攻擊”哪些是正常訪問。這里給你一個實戰(zhàn)小例子。假設(shè)pcapng里有大量來自203.0.113.5的攻擊流量表現(xiàn)為短時間內(nèi)向目標IP的多個端口發(fā)送TCP SYN包緊接著又有幾個帶有/admin/login.php?id1特征的HTTP請求。通過Wireshark篩選器輸入ip.addr 203.0.113.5就會把該IP相關(guān)的所有包過濾出來。再配合HTTP請求篩選http.request就能看到攻擊路徑是什么樣的。這種分析能力在安全運營中心的日常工作中用得非常多。抓包分析的核心技能是會“過濾”。Wireshark的顯示過濾器語法一定要練熟比如ip.src 192.168.1.1只看源地址tcp.port 443只看443端口的流量http.request.method POST只看POST請求tls.handshake.type 1只看TLS握手包其實不用全背你只需要掌握幾個常用的然后善用右下角的“表達式”按鈕它會給你列出一整棵協(xié)議字段樹照著點就行。新手最容易犯的錯誤是一打開抓包就抓全網(wǎng)卡抓到幾百MB文件卡到電腦死機。正確做法是先確定你要看什么流量再設(shè)置對應(yīng)的抓包過濾器減少無關(guān)數(shù)據(jù)干擾。6. 走向?qū)崙?zhàn)SRC平臺與CTF賽事才是“合法打怪”的副本從實力角度說靶場只能幫你建立手感進入商業(yè)環(huán)境或者參加真實項目才是檢驗水平的開始。但對新手來說最穩(wěn)妥、最合法的“出師之路”是SRC平臺和CTF比賽。6.1 SRC把挖洞變成正經(jīng)事SRC全稱是Security Response Center也就是廠商的安全應(yīng)急響應(yīng)中心。國內(nèi)主流互聯(lián)網(wǎng)公司基本都有自己的SRC平臺也有行業(yè)聚合平臺把幾十上百家企業(yè)的眾測項目匯總在一起。在這些平臺上白帽子可以在廠商“授權(quán)”的資產(chǎn)范圍內(nèi)尋找安全漏洞提交后獲得積分或現(xiàn)金獎勵。新手第一次上SRC我建議按三條原則來從小目標開始。別一上來就去碰大廠核心業(yè)務(wù)那些邊緣系統(tǒng)反而容易被遺漏但優(yōu)先級也低。先找那些“測試賬號開放、企業(yè)自建應(yīng)用”的項目練手漏洞數(shù)量多、審核快。先在測試站上驗證再提交。廠商給的測試環(huán)境怎么折騰都行但千萬不要拿測試Payload去打線上數(shù)據(jù)。這是行業(yè)底線。報告寫清楚。很多新手挖到漏洞但報告寫得一塌糊涂沒有截圖、復現(xiàn)步驟模糊、影響范圍說不清。一份合格的漏洞報告至少應(yīng)該包含漏洞URL、漏洞類型、復現(xiàn)步驟最好帶請求包和響應(yīng)包、影響分析、修復建議。記住審核人員一天看幾百份報告你的報告越清晰評級往往越高?，F(xiàn)在這個行業(yè)已經(jīng)很成熟了SRC渠道可以讓你在沒入職之前就建立自己的漏洞挖掘記錄。很多公司招聘安全工程師非常看重SRC排名和提交記錄這比簡歷上自吹自擂有說服力得多。6.2 CTF打比賽是成長的“加速器”CTFCapture The Flag是網(wǎng)絡(luò)安全競賽的主流形式解題方向分為Web、Pwn二進制漏洞利用、Reverse逆向工程、Crypto密碼學、Misc雜項等。對入門者來說Web方向的題目最友好也是我最推薦新手先入坑的方向。國內(nèi)比較權(quán)威、老牌的CTF賽事包括XCTF國際聯(lián)賽、強網(wǎng)杯、護網(wǎng)杯、網(wǎng)鼎杯等。很多廠商和機構(gòu)也會定期辦一些新人友好的線上賽。打比賽最大的價值不是名次而是它逼著你在有限時間內(nèi)快速學習一個新的小知識點——這種“被迫式快速學習”的節(jié)奏一旦適應(yīng)后面自學任何新工具都會快很多。我的個人建議是入行前半年每周參加一場線上CTF不會的題目賽后看Writeup看懂后再自己獨立做一遍。半年下來你對Web漏洞、編碼繞過、密碼學的理解會比你看十個月教程深得多。由于Web賽題經(jīng)常結(jié)合真實的CMS框架、開源組件所以多留意當前的CVE公共漏洞披露對打比賽和挖SRC都有幫助。7. 就業(yè)關(guān)口考證、面試與崗位的真實畫像不少人學網(wǎng)絡(luò)安全是為了找工作那這部分你得拿小本本記好。7.1 常見的就業(yè)方向滲透測試工程師授權(quán)范圍內(nèi)對系統(tǒng)發(fā)起模擬攻擊產(chǎn)出測試報告。出差多、實戰(zhàn)多、成長快。安全運維/安全運營工程師負責防火墻、WAF、IDS/IPS維護看日志、處理告警、安全加固。崗位需求量大適合入門。安全研發(fā)工程師做安全產(chǎn)品掃描器、WAF、SIEM的后端開發(fā)要求代碼能力強。等保測評師依據(jù)國家等級保護標準對系統(tǒng)進行測評偏合規(guī)方向不需要很強的攻防能力。應(yīng)急響應(yīng)/安全服務(wù)工程師甲方被攻破之后入場做排查、取證、清除后門、恢復系統(tǒng)。7.2 證書到底有沒有用這個問題幾乎每個新手都問過。我的看法是證書是敲門磚不是護身符。在校學生考NISP國家信息安全水平考試性價比很高從業(yè)者想提升含金量可以看CISP注冊信息安全專業(yè)人員、CISSP注冊信息系統(tǒng)安全專家。但真正面試時面試官最看重的還是你的實戰(zhàn)能力和思路。你可以在簡歷里寫“曾在XSRC平臺提交過X個高危漏洞”這比一張證書有用得多。7.3 網(wǎng)絡(luò)安全面試題會問什么結(jié)合我自己面試和被面試的經(jīng)歷新人的技術(shù)面大概集中在以下三類基礎(chǔ)概念類三次握手和四次揮手的過程是什么HTTP和HTTPS的區(qū)別對稱加密和非對稱加密的區(qū)別漏洞原理類SQL注入如何判斷注入點存儲型XSS和反射型XSS的區(qū)別文件上傳繞過都有哪些思路Redis未授權(quán)訪問怎么利用和修復場景分析類如果線上服務(wù)器CPU飆升你會怎么排查收到一個釣魚郵件怎么分析日志里出現(xiàn)大量401錯誤怎么辦這些題都不需要你背答案只要你前面階段是認真練過來的完全可以答得比較順。如果發(fā)現(xiàn)自己答不上來趁現(xiàn)在把這些知識的“基本盤”補扎實面試就沒那么可怕了。8. 新手避坑清單這些話沒人提醒你可能要摔幾次跤最后這部分是我最想對新手說的一些“體己話”不一定都是技術(shù)但每一條都是我或者身邊朋友真實踩過的坑。1. 千萬不要下載來路不明的“黑客工具包”。熱詞里有些像“黑客神器網(wǎng)站大全”“黑客開戶軟件下載”之類的東西十有八九是坑。真正的開源安全工具基本都是公開的、體積不大、有官方文檔的。那種打包幾百個工具、還要你關(guān)閉殺毒軟件的東西請直接刪掉。我做過測試很多“工具包”里有后門木馬你一運行就等于把電腦的控制權(quán)送給了別人。安全圈的人竟然被“黑客工具”釣魚說出去都丟人。2. 別搞“無授權(quán)測試”。哪怕你學有所成也別拿同學、同事、鄰居的網(wǎng)站來練手更不能拿政府、學校、企業(yè)的系統(tǒng)來試。我們這行最講究的就是“邊界感”——授權(quán)是底線。技術(shù)能力越強越要懂得邊界在哪里。3. 學習不要追求速成?！皬娜腴T到精通”這種標題本身就是個悖論。安全是攻防對抗的行業(yè)攻擊技術(shù)在變、防御技術(shù)在變、業(yè)務(wù)也在變沒有人能真正“精通”。我?guī)Я诉@么多年新人發(fā)現(xiàn)成長最快的往往不是天賦最高的而是最能沉下心一個漏洞一個漏洞啃的那種人。今天搞會一個XSS的繞過姿勢明天搞會一個內(nèi)網(wǎng)穿透的思路積累半年之后你就真的站在門檻上了。4. 多寫筆記多輸出。我一直鼓勵新人把自己學過的漏洞原理、踩過的坑寫成文章。你寫出來的過程就是你把這些知識重新組織、內(nèi)化的過程。我自己的博客就是從一篇很幼稚的SQL注入筆記開始的現(xiàn)在回看雖然漏洞百出但正是那時候養(yǎng)成的總結(jié)習慣讓我能走得更遠。5. 保持耐心以戰(zhàn)養(yǎng)戰(zhàn)。學習到一定程度一定要找實戰(zhàn)機會。SRC平臺、CTF比賽、開源項目找issue復現(xiàn)都是好的方式。如果你身邊找不到安全的圈子就多混一些技術(shù)社區(qū)參加線上線下的分享認識同路的人。一個人閉門造車過不了多久就會因為看不到反饋而放棄。做個簡單的總結(jié)吧。網(wǎng)絡(luò)安全這個領(lǐng)域入門不難難的是方向感和自律。把基礎(chǔ)打牢、在靶場里磨透每一個經(jīng)典漏洞、多看報文、參加比賽、寫報告這條路走下來你已經(jīng)超越絕大多數(shù)人了。希望這一篇將近七千字的干貨筆記能幫你少走一些我當年走過的彎路。我們后會有期。