网络安全入门学习路线与实战指南

网络安全对于大部分政企单位来说，已经从可选项变成了必选项甚至是强选项，不懂安全不做安全等于违法违规。技术本身并不罪恶，滥用技术才会导致罪恶！

（4）安全初体验

有了前面三步的打底，是时候接触一些网络安全的技术了。刚开始这个阶段，仍然不要把自己圈起来只学某一个方向的技术。建议广泛涉猎，见往事耳。

常见 Web 渗透使用工具与方法：

1. HTML、CSS 和 JavaScript 简介
2. OWASP Top 10 漏洞详解
3. Web 漏洞扫描工具
4. Web 渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

常见漏洞原理简述

• SQL 注入：攻击者将恶意 SQL 语句插入到 Web 表单输入或页面请求的查询字符串中，欺骗服务器执行恶意的 SQL 命令。类型包括联合查询注入、布尔盲注、时间盲注等。
• XSS（跨站脚本攻击）：攻击者在网页中嵌入恶意脚本，当用户浏览该网页时，脚本会在用户的浏览器端执行。分为反射型、存储型和 DOM 型。
• 文件上传漏洞：攻击者上传可执行的脚本文件（如 .php, .jsp）到服务器，从而获取服务器控制权。防御需限制文件后缀、内容检测及重命名。
• CSRF（跨站请求伪造）：诱导用户在已登录状态下访问恶意链接，从而在不知情的情况下执行非本意操作。

（5）明确就业岗位方向

在第三步中，慢慢发现自己的兴趣点，是喜欢做各种工具的开发，还是喜欢攻破网站，还是痴迷于主机电脑的攻击。

安全岗位的大体工作内容或职责

1. 售后工程师：安全产品的售后服务工作，包括安全产品的交付实施、售后支撑、产品调试上架。
2. 售前工程师：协助销售完成跟单，配合销售拿下项目，负责技术方案设计与痛点解决。
3. 渗透测试工程师：模拟黑客对目标业务系统进行攻击，点到为止，发现潜在风险。
4. 销售：负责市场拓展与客户关系维护。
5. 安全开发工程师：开发安全产品，如 Web 应用防火墙（WAF），需懂安全原理。
6. 安全运维工程师：分析日志，升级策略，定期检查业务系统安全性，排查内网威胁。
7. 应急响应工程师：客户业务系统被攻击，快速定位安全问题，恢复业务，必要时取证报警。
8. 等级保护测评师：按照国家要求，协助客户检查业务系统是否满足等级保护的要求。
9. 安全服务工程师：涵盖漏洞扫描、基线检测、渗透测试、风险评估等工作。

（6）学习方法

• 看书看视频学习：这是最最基础的。
• 实际动手：开发路线多写代码，阅读优秀开源代码；二进制路线多分析样本，编写 EXP；渗透测试多拿网站练手（合法方式）。
• 渗透实战操作：
  • 掌握渗透的整个阶段并能够独立渗透小型站点。
  • 网上找渗透视频看并思考其中的思路和原理。
  • 自己找站点/搭建测试环境进行测试，注意隐藏好自己，遵守法律。
  • 研究 PTES 渗透测试执行标准。
  • 研究 SQL 注入的种类、注入原理、手动注入技巧。
  • 研究文件上传的原理，如何进行截断、双重后缀欺骗、解析漏洞利用。
  • 研究 XSS 形成的原理和种类。
  • 研究 Windows/Linux 提权的方法和具体使用。
• 打 CTF：多参与一些网络安全比赛，接近实战的环境下锻炼动手能力。
• 混圈子：多混一些安全大牛出没的社群、社区、论坛，掌握行业信息，了解最新技术变化趋势。

（7）岗位内推&面试

个人强烈感觉面试因人而异，对于简历上有具体项目经历的同学，面试官会着重让你介绍自己的项目。因此对于自己的项目，面试前建议做一次复盘，最好能用文字描述出细节。

面试题本质上只是一种'见识'，并不能实质上提升自己的水平，希望大家不要太局限于面经，按自己的节奏学就行了。

面试复盘与技术问答

1. MVC 框架详细说一下 MVC 即 Model（模型）、View（视图）、Controller（控制器）。Model 负责数据逻辑，View 负责界面展示，Controller 负责接收请求并调用 Model 和 View。这种模式实现了业务逻辑与界面的分离。

2. 详细介绍一下 SQL 注入 SQL 注入是利用应用程序未对用户输入进行充分验证，将恶意 SQL 代码拼接到查询语句中执行。常见防御方法包括使用预编译语句（Prepared Statements）、参数化查询、输入过滤等。

3. XSS 与 CSRF 的区别 XSS 是攻击者向 Web 页面植入恶意脚本，针对的是用户浏览器；CSRF 是诱导用户点击恶意链接，针对的是用户身份认证状态。XSS 需要注入代码，CSRF 需要利用 Cookie 自动发送请求。

4. CSRF 的原理以及如何防范 原理是利用浏览器自动携带 Cookie 的特性。防范方法包括添加 Token 验证、检查 Referer 头、使用 SameSite Cookie 属性等。

5. 讲一下 XXE 的原理 XXE（XML External Entity Injection）是在 XML 解析过程中，攻击者定义外部实体，导致服务器读取本地文件或发起 SSRF 攻击。防御方法是禁用外部实体解析。

6. 文件上传，详细说说 文件上传漏洞通常由于服务端未严格校验文件类型、扩展名或内容导致。防御措施包括白名单校验扩展名、修改文件名、限制上传目录执行权限、使用 WAF 拦截等。

7. 常见的 Web 容器有哪些 Apache, Nginx, IIS, Tomcat, JBoss, WebLogic 等。

8. 密码学的对称密码与非对称密码有哪些 对称加密：DES, 3DES, AES, RC4。非对称加密：RSA, ECC, DSA。

9. MD5 是不是对称加密 MD5 是哈希算法，不是加密算法，不可逆。对称加密是可逆的。

10. 反序列化的原理 反序列化是将字节流还原为对象的过程。如果反序列化过程未校验数据来源，攻击者可构造恶意对象触发任意代码执行。防御方法是避免反序列化不可信数据，或使用安全的序列化格式。

11. Java 的多线程 Java 多线程通过 Thread 类或 Runnable 接口实现，涉及线程生命周期、同步锁（synchronized）、并发包（java.util.concurrent）等机制。

12. 之前 Python 学到什么地方 根据实际掌握情况回答，如爬虫库（requests, scrapy）、Web 框架（Flask, Django）、安全工具开发（Scapy, Socket）等。

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道，因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做'正向'的、结合'业务'与'数据'、'自动化'的'体系、建设'，才能解人才之渴，真正的为社会全面互联网化提供安全保障。