前言
撰写本文的初衷是许多朋友希望了解如何入门或转行网络安全，实现自己的技术梦想。文章旨在指出自学的常见误区，提供客观可行的学习路线，并推荐适合初学者的资源。内容面向初学者，资深从业者可参考补充。
个人经历与动机
我于 2019 年毕业，大学专业为物联网工程。许多人在校园中感到迷茫，到了大三、大四才开始焦虑未来的职业方向，有人选择考研逃避社会，而我最初也随大流。毕业后因缺乏一技之长，工作并不顺利，城市和工作频繁变动，生活处于不稳定状态。
由于是计算机相关专业，身边从事网络安全的同学较多。去年三月得知室友在杭州拿到了安全岗 12k 的 offer，周末双休；另有两位同班同学在深圳分别拿到 13k 和 12k 的薪资。这对我造成了巨大冲击，促使我反思是否要继续混日子。于是，自学网络安全的想法开始萌芽。但常人做事往往拖延，加上日常工作疲惫，学习进度一度停滞。
直到 2020 年十一月，几位朋友的建议让我下定决心：一是计算机专业背景使 IT 知识学习相对轻松；二是他们从事该行业，能指导少走弯路；三是当时的工作前景黯淡，毅然辞职开始系统学习。
咨询多家培训机构后，结合个人情况，我决定投身网络安全领域。初期未辞职时，利用业余时间学习了 HTML、CSS 及基础编程。正式学习始于十一月，此时已全职投入。
较为完整的学习路线
本路线基于行业经验整理，分为四个阶段，每个阶段都有明确的目标和重点。
第一阶段：基础操作入门
入门的第一步是熟悉主流安全工具课程并配套基础原理书籍。此过程建议耗时约 1 个月。
在此阶段，你需要了解什么是渗透测试，什么是漏洞扫描，以及基本的命令行操作。不要急于求成，先建立对安全领域的整体认知。
第二阶段：夯实基础知识
完成第一步后，你应对 SQL 注入、XSS 攻击等基本概念有理论认识，并对 Burp Suite、Metasploit (MSF)、Cobalt Strike (CS) 等工具掌握基础操作。此时最重要的是'打地基'，即系统化学习计算机基础知识。网络安全能力上限取决于以下五个模块的掌握程度：
- 操作系统：Linux 是安全人员的核心环境，需熟练掌握文件权限、进程管理、日志分析等。Windows 环境下的注册表、服务、组策略也是必知内容。
- 协议/网络：深入理解 TCP/IP 模型，HTTP/HTTPS 协议细节，DNS 解析过程，以及常见的网络拓扑结构。内网渗透离不开对网络架构的理解。
- 数据库：MySQL、Oracle、SQL Server 等数据库的语法、存储过程、权限控制。SQL 注入的本质就是数据库交互的异常，必须精通。
- 开发语言：Python 是自动化脚本的首选，PHP、Java、Go 等后端语言有助于代码审计。前端 HTML/JS 则是理解 XSS 的基础。
- 常见漏洞原理：OWASP Top 10 中的漏洞成因、利用方式及修复方案。包括注入、跨站脚本、反序列化、逻辑漏洞等。
为什么需要这些基础？
- 编程水平高，代码审计效率更高，漏洞利用工具更实用。
- 数据库知识深厚，能编写绕过 WAF 的复杂注入语句。
- 网络水平强，能快速分析目标网络架构，从拓扑图中定位关键节点。
- 操作系统熟练，提权和信息收集效率大幅提升。
第三阶段：实战操作
理论知识必须通过实践落地，否则容易产生'懂了'的错觉。
1. 挖 SRC (Security Response Center) SRC 是企业的安全响应中心，允许白帽子提交漏洞获取奖励。这是将技能落地的最佳机会。在合法合规的前提下，参与企业 SRC 计划，积累真实漏洞挖掘经验。
2. 复现漏洞案例 观看近十年 0day 挖掘的技术分享帖，搭建本地环境复现漏洞。思考作者的挖洞思路，培养渗透思维。重点在于理解漏洞产生的根源，而非单纯复制命令。
3. 靶场练习 自己搭建靶场或使用在线免费靶场（如 DVWA、Pikachu 等）进行练习。有条件者可购买专业培训配套的靶场环境。靶场提供了安全的演练环境，避免法律风险。
第四阶段：参加 CTF 比赛或 HVV 行动
CTF (Capture The Flag) CTF 是网络安全竞赛，包含 Web、Pwn、Reverse、Crypto 等方向。
- 接近实战：模拟真实攻防场景，锻炼应急处理能力。
- 紧跟前沿：题目反映最新技术趋势，弥补教材滞后性。
