随着 5G、工业互联网、人工智能等新兴领域技术的兴起,快速推动了各国从人人互联迈向万物互联的时代。
奇安信董事长齐向东曾说过:'如果说 5G 带来了物联网和人工智能的风口,那么网络安全行业就是风口的平方——风口的风口。'
因此,有不少年轻人想加入网络安全行业。但由于岗位众多,例如信息安全工程师、渗透测试工程师、应急响应、逆向安全、溯源取证、安全架构师、恶意软件分析师等,导致很多人不知道从哪个方向学起。
基于多年行业经验,建议从 Web 安全学起。Web 安全相对于整个网络安全行业难度相对较低,更容易入手。虽然渗透测试、红蓝攻防等岗位技术门槛高,但对于零基础的人来说,Web 安全是最好的入门选择。现阶段爆发安全问题最多的就是 Web 安全,大部分攻击都是从 Web 安全入手的,内网渗透、工控安全都要依托于 Web 安全。
如何学习 Web 安全?
第一步:了解系统
Windows 系统、Linux 系统和有关运维维护系统。
第二步:熟练掌握前端和后端编程语言
- 前端:HTML, CSS, JS 脚本
- 后端:Java, PHP, MySQL, Python 脚本
第三步:熟悉 Web 渗透相关工具
AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan 等相关工具的使用。 了解该类工具的用途和使用场景,先用软件名字 Google/SecWiki;下载无后门版的这些软件进行安装;待常用的这几个软件都学会了可以安装音速启动做一个渗透工具箱。
第四步:了解 Web 十大漏洞进入实战
- SQL 注入
- 失效的身份认证和会话管理
- 跨站脚本攻击 XSS
- 直接引用不安全的对象
- 安全配置错误
- 敏感信息泄露
- 缺少功能级的访问控制
- 跨站请求伪造 CSRF
- 使用含有已知漏洞的组件
- 未验证的重定向和转发
具体学习路线
整体学习时间大概半年左右,具体视每个人的情况而定。如果每周要学的内容精细化到这种程度,就不会担心学不会。很多初学者东学一下西学一下,浅尝辄止,所以才会有学了两个月入不了门的感受。
1、Web 安全相关概念(2 周)
- 熟悉基本概念(SQL 注入、上传、XSS、CSRF、一句话木马等);
- 通过关键字(SQL 注入、上传、XSS、CSRF、一句话木马等)进行搜索;
- 阅读《精通脚本黑客》,虽然很旧也有错误,但是入门还是可以的;
- 看一些渗透笔记/视频,了解渗透实战的整个过程。
2、熟悉渗透相关工具(3 周)
- 熟悉 AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan 等相关工具的使用;
- 了解该类工具的用途和使用场景,下载无后门版安装;
- 学习并进行使用,具体教材可以在 SecWiki 上搜索,例如:Burp 的教程、sqlmap;
- 待常用的这几个软件都学会了可以安装音速启动做一个渗透工具箱。
3、渗透实战操作(5 周) 掌握渗透的整个阶段并能够独立渗透小型站点。网上找渗透视频看并思考其中的思路和原理。
- 自己找站点/搭建测试环境进行测试,注意隐藏好自己;
- 思考渗透主要分为几个阶段,每个阶段需要做哪些工作;
- 研究 SQL 注入的种类、注入原理、手动注入技巧;
- 研究文件上传的原理,如何进行截断、双重后缀欺骗 (IIS、PHP)、解析漏洞利用 (IIS、Nginx、Apache) 等;
- 研究 XSS 形成的原理和种类;
- 研究 Windows/Linux 提权的方法和具体使用。
4、关注安全圈动态(1 周)
- 关注安全圈的最新漏洞、安全事件与技术文章;
- 通过 SecWiki 浏览每日的安全技术文章/事件;
- 通过微博/twitter 关注安全圈的从业人员;
- 通过 feedly/鲜果订阅国内外安全技术博客;
- 养成习惯,每天主动提交安全技术文章链接到 SecWiki 进行积淀;
- 多关注下最新漏洞列表,推荐几个:exploit-db、CVE 中文库、Wooyun 等,遇到公开的漏洞都去实践下;


