前言
随着数字化转型的加速，网络安全行业的重要性日益凸显。然而，入行前需充分评估自身基础与行业现状。目前信息安全方向的就业对学历的容忍度相对软件开发较高，但仍需扎实的技术积累。安全圈子相对封闭，技术交流多在小范围内进行，形成了一定的专业壁垒。因此，初学者应摒弃"几天入门"的营销噱头，重视编程能力与底层原理的学习。
一、基础技能构建
1. 网络原理
网络安全的基础是计算机网络。重点掌握 OSI 七层模型与 TCP/IP 四层模型，理解各层协议的功能与交互。
- 物理层与数据链路层：了解 MAC 地址、交换机工作原理、VLAN 划分。
- 网络层：深入理解 IP 地址、子网掩码、路由协议（RIP, OSPF）、ICMP 协议及 ARP 解析过程。
- 传输层：掌握 TCP 三次握手与四次挥手、UDP 特性、端口概念及常见端口号（如 80, 443, 22, 3389）。
- 应用层：熟悉 HTTP/HTTPS 协议报文结构、DNS 解析流程、FTP/SMB 等常用服务协议。
2. 操作系统
Linux 是安全从业者的必备工具系统，Windows 则是内网渗透的主要环境。
- Linux 命令：熟练掌握文件操作（ls, cd, cp, mv, rm）、权限管理（chmod, chown）、进程管理（ps, top, kill）、网络配置（ifconfig, ip, netstat, ss）及文本处理（grep, awk, sed）。建议优先掌握高频使用的 10% 命令覆盖 90% 场景。
- Windows 系统：理解注册表、服务管理、组策略、域控制器（DC）概念、Active Directory (AD) 架构及 PowerShell 基础。
- 服务搭建：能够独立部署 Web 服务器（Nginx/Apache）、数据库（MySQL/MariaDB）、中间件（Tomcat/JBoss）及代理工具。
3. 编程语言
编程能力决定了安全技术的上限。推荐掌握 Python、PHP 和 Java。
- Python：用于编写自动化脚本、POC（概念验证）及 EXP（利用代码）。标准库丰富，适合快速开发。
- PHP：Web 渗透中常见语言，需具备阅读代码审计能力。
- Java：企业级应用广泛，涉及反序列化漏洞分析。
- SQL：必须掌握 SQL 语法，包括查询、更新、注入相关语句。
4. 数据库
- SQL 语法：重点学习 SELECT, INSERT, UPDATE, DELETE 及聚合函数。
- 高级特性：了解存储过程、触发器、视图及事务隔离级别。
- 安全视角：理解数据库认证机制、权限控制及常见漏洞（如 SQL 注入）的原理。
二、Web 安全
1. Web 渗透
掌握 OWASP Top 10 常见漏洞的原理、利用方式及防御措施。
- 注入类：SQL 注入、命令注入、LDAP 注入。
- 跨站脚本（XSS）：反射型、存储型、DOM 型 XSS 及其绕过 WAF 技巧。
- 跨站请求伪造（CSRF）：理解 Cookie 机制及 Token 验证。
- 文件上传：绕过前端校验、MIME 类型检测及后缀名过滤。
- 逻辑漏洞：密码重置、越权访问（水平/垂直）、支付篡改、验证码绕过。
- 其他：XXE、反序列化、SSRF、不安全的直接对象引用（IDOR）。
2. 安全工具
熟练使用主流安全工具提升效率。
- ：Burp Suite（核心工具）、Fiddler。
