自学网络安全的三个必经阶段（含路线图）

一、为什么选择网络安全？

这几年随着我国《国家网络空间安全战略》《网络安全法》《网络安全等级保护2.0》等一系列政策/法规/标准的持续落地，网络安全行业地位、薪资随之水涨船高。

未来3-5年，是安全行业的黄金发展期，提前踏入行业，能享受行业发展红利。

二、为什么说网络安全行业是IT行业最后的红利？

根据腾讯安全发布的《互联网安全报告》，目前中国网络安全人才供应严重匮乏，每年高校安全专业培养人才仅有3万余人，而网络安全岗位缺口已达70万，缺口高达95%。

而且，我们到招聘网站上，搜索【网络安全】【Web安全工程师】【渗透测试】等职位名称，可以看到安全岗位薪酬待遇好，随着工龄和薪酬增长，呈现「越老越吃香」的情况。

选择安全行业有以下4大优势：
01没有年龄限制

在IT行业有很多岗位有35岁年龄焦虑，担心企业是否愿意接问题，而网络安全靠的是解决问题的能力，从业年份越多经验越丰富，就越值钱。

02学历门槛相对宽松
目前网安高校科班出身的很少，一是开设网络安全专业的学校很少，二是即便开设了网安专业由于师资短缺培养的学生也很少，因此现在网安招聘还是以转行为主，并且对年龄、专业、学历的要求定的没有那么死，就业市场相对来说比较宽容。

03整体薪资水平高

网络安全的薪资相比其他IT行业起薪待遇更高，起步通常在7k以上，最高可达年薪百万，还有机会获得不菲的兼职收入。

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

第三种就是找培训。

那么接下来，我会告诉你一个从事以上真正零基础该从怎么入门web安全

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

三、零基础如何入门 Web 安全

（一）明确学习路径

1. 基础认知阶段

阅读入门资料：

• 从一些网络安全的科普文章和简单的报告入手，了解网络安全的基本范畴，包括网络攻击的常见形式如黑客攻击、恶意软件、网络诈骗等，以及网络安全防护的重要措施，如加密技术、防火墙、入侵检测系统等。
• 挑选几本通俗易懂的网络安全入门书籍，如《网络安全入门很轻松》，以轻松的语言和生动的案例帮助你建立对网络安全的初步印象。

观看视频讲解：

• 在各大在线学习平台上搜索网络安全基础讲解视频，如 B 站有很多专业人士分享的网络安全科普视频，通过直观的画面和讲解，快速了解网络安全的概念和重要性。
• 关注一些网络安全相关的自媒体账号，他们会不定期发布一些关于网络安全最新动态和基础知识的短视频，方便你利用碎片化时间学习。

2. 知识储备阶段

学习安全术语：

• 掌握网络安全领域的专业术语，如漏洞、渗透测试、加密算法、数字证书等。可以制作一个术语卡片，随时查阅和记忆。
• 了解不同类型的漏洞及其危害，如 SQL 注入漏洞可能导致数据库被非法访问和篡改；跨站脚本攻击（XSS）可能窃取用户的敏感信息等。

了解攻击与防御：

• 深入学习常见的网络攻击方法，如 DDoS 攻击（分布式拒绝服务攻击）是如何通过大量的请求使目标服务器瘫痪的；钓鱼攻击是如何欺骗用户获取敏感信息的等。
• 同时，学习相应的防御措施，如安装防火墙可以阻挡未经授权的访问；使用加密技术可以保护数据的安全性等。

案例分析：

• 分析一些实际的网络安全事件案例，了解攻击的过程和后果，以及采取的应对措施。例如，著名的索尼影业被黑客攻击事件，从中可以学习到企业在面对网络攻击时的应对策略和教训。
• 自己动手分析一些简单的漏洞案例，通过实际操作加深对漏洞原理和危害的理解。

3. 工具熟悉阶段

Nmap 的使用：

• 学习 Nmap 的基本功能，它是一款强大的网络扫描工具，可以用于扫描网络拓扑结构、识别主机和服务、发现开放的端口等。通过实际操作，了解如何使用 Nmap 进行端口扫描、操作系统识别等。
• 掌握 Nmap 的高级用法，如使用脚本进行更深入的扫描和漏洞检测，以及如何解读扫描结果，为后续的渗透测试做准备。

Burp Suite 的探索：

• 了解 Burp Suite 的主要模块，如 Proxy（代理）、Spider（爬虫）、Scanner（扫描器）等。通过设置代理，拦截和分析 HTTP/HTTPS 请求和响应，了解 Web 应用程序的通信过程。
• 学习使用 Scanner 模块进行漏洞扫描，发现 Web 应用程序中的安全漏洞，如 SQL 注入、跨站脚本攻击等。并学会如何利用漏洞进行进一步的测试和分析。

其他工具的了解：

除了 Nmap 和 Burp Suite，还可以了解一些其他常用的网络安全工具，如 Wireshark（网络协议分析器）、Sqlmap（SQL 注入工具）等。了解它们的功能和使用场景，为后续的学习和实践提供更多的选择。

（二）选择合适的学习资源

1. 书籍

基础理论书籍：

• 除了前面提到的入门书籍，还可以选择一些更深入的网络安全基础理论书籍，如《网络安全原理与实践》《计算机网络安全基础》等。这些书籍系统地介绍了网络安全的各个方面，包括网络协议、密码学、访问控制等。
• 阅读这些书籍可以帮助你建立扎实的理论基础，为后续的学习和实践提供支撑。

实战案例书籍：

• 挑选一些网络安全实战案例书籍，如《Web 安全攻防实战宝典》《网络渗透测试实战》等。这些书籍通过实际的案例分析，展示了网络安全攻击和防御的过程和方法，让你更好地理解理论知识在实际中的应用。
• 可以按照书中的案例进行实际操作，提高自己的实战能力。

2. 论坛和社区

国内论坛：

• 加入国内知名的网络安全论坛，如 FreeBuf、吾爱破解等。在这些论坛上，你可以找到大量的学习资源、技术文章和讨论话题。与其他学习者交流经验、分享心得，还可以向专业人士请教问题。
• 关注论坛上的热门话题和精华帖子，了解行业的最新动态和技术趋势。同时，积极参与论坛的活动和讨论，提高自己的知名度和影响力。

国外社区：

• 访问国外的网络安全社区，如 Stack Overflow、Reddit 的网络安全板块等。这些社区汇聚了全球的网络安全爱好者和专业人士，你可以接触到更广泛的知识和经验。
• 阅读英文技术文章和讨论，可以提高你的英语水平和专业素养。同时，也可以了解国外的网络安全发展情况，为自己的学习和职业发展提供参考。

（三）实践出真知

1. 搭建实验环境

虚拟机安装：

• 学习使用虚拟机软件，如 VMware、VirtualBox 等，安装不同的操作系统，如 Windows、Linux 等。通过虚拟机搭建一个模拟的网络环境，方便进行各种安全实验。
• 在虚拟机中安装一些常见的网络服务，如 Web 服务器、数据库服务器等，了解它们的配置和使用方法。同时，也可以安装一些漏洞环境，如 DVWA（Damn Vulnerable Web Application）等，用于进行漏洞挖掘和攻击模拟。

网络拓扑构建：

• 根据实际的网络架构，使用虚拟机构建一个简单的网络拓扑结构，如客户端 - 服务器模型、多层网络架构等。通过模拟不同的网络环境，了解网络攻击的传播和影响范围。
• 在构建网络拓扑结构的过程中，学习如何配置网络设备，如路由器、交换机等，以及如何设置网络访问控制策略，提高网络的安全性。

2. 参加 CTF 比赛

了解 CTF 比赛类型：

• CTF 比赛通常分为不同的类型，如解题模式（Jeopardy）、攻防模式（Attack-Defense）等。解题模式主要是通过解决各种网络安全挑战题目来获取分数；攻防模式则是团队之间进行攻击和防御，通过攻击对方的服务器和防御自己的服务器来获取分数。
• 根据自己的兴趣和能力选择适合的比赛类型参加。如果你是初学者，可以先从解题模式的比赛开始，逐步提高自己的技能和经验。

组建团队或个人参赛：

• CTF 比赛可以个人参赛，也可以组建团队参赛。如果你有一定的技术基础，可以尝试个人参赛，挑战自己的能力。如果你是初学者，可以组建一个团队，与其他队员共同学习和进步。
• 在团队中，分工合作，发挥各自的优势，共同解决比赛中的问题。同时，也可以通过团队交流和讨论，学习到更多的知识和技能。

赛后总结与反思：

• 参加完 CTF 比赛后，及时进行总结和反思。分析自己在比赛中的表现，找出不足之处，并制定改进计划。
• 学习其他优秀团队的解题思路和方法，了解行业的最新技术和趋势。同时，也可以将比赛中的经验和教训应用到实际的学习和工作中，提高自己的网络安全水平。

3. 参与开源项目

寻找合适的开源项目：

• 在 GitHub 等开源平台上搜索网络安全相关的开源项目，如漏洞扫描工具、渗透测试框架、安全防护软件等。选择一个自己感兴趣的项目进行参与。
• 可以通过阅读项目的文档、代码和讨论区，了解项目的背景、目标和技术实现。同时，也可以向项目的开发者和贡献者请教问题，获取更多的信息和帮助。

贡献代码和文档：

• 根据自己的能力和兴趣，为开源项目贡献代码或文档。可以从一些简单的任务开始，如修复小 bug、完善文档等。通过实际的贡献，提高自己的编程能力和技术水平。
• 参与开源项目不仅可以学习到他人的代码和经验，还可以为社区做出贡献，提高自己在行业中的知名度和影响力。

（四）持续学习和提升

1. 关注行业动态

订阅专业博客和公众号：

• 订阅一些网络安全专业博客和公众号，如安全牛、嘶吼等。这些平台会定期发布网络安全行业的最新新闻、技术文章和研究报告，让你及时了解行业的动态和趋势。
• 可以设置推送通知，以便在第一时间获取重要的信息。同时，也可以参与博客和公众号的评论和讨论，与其他读者交流心得和看法。

参加行业会议和研讨会：

• 关注网络安全行业的会议和研讨会信息，如 Black Hat、Defcon 等。这些会议汇聚了全球的网络安全专家和从业者，是了解行业最新技术和趋势的重要平台。
• 参加会议可以听取专家的演讲和分享，与其他参会者进行交流和互动，拓展自己的人脉和视野。同时，也可以了解到行业的最新产品和解决方案，为自己的学习和工作提供参考。

2. 学习新的技术和工具

跟踪技术发展趋势：

• 网络安全技术不断发展，新的漏洞和攻击方法也不断出现。要保持对技术发展趋势的关注，了解行业的最新动态。可以通过阅读技术博客、研究报告和参加行业会议等方式，获取最新的信息。
• 关注一些新兴的技术领域，如人工智能在网络安全中的应用、区块链技术的安全问题等。了解这些技术的发展趋势和潜在的安全风险，为自己的学习和研究提供方向。

尝试新的工具和技术：

• 随着技术的不断发展，新的网络安全工具和技术也会不断涌现。要及时学习和掌握这些新的工具和技术，以提高自己的工作效率和竞争力。
• 可以通过在线课程、书籍和实践操作等方式，学习新的工具和技术。同时，也可以参与开源项目和社区，与其他开发者共同探索和创新。

3. 考取相关证书

选择适合的证书：

• 网络安全行业有很多相关的证书，如 CISP（注册信息安全专业人员）、CISSP（注册信息系统安全专家）、CEH（注册道德黑客）等。根据自己的职业规划和兴趣爱好，选择适合的证书进行考取。
• 不同的证书有不同的要求和考试内容，要提前了解证书的考试大纲和要求，制定合理的学习计划。同时，也可以参加一些培训课程和辅导班，提高自己的考试通过率。

证书的价值和作用：

• 考取相关证书可以证明自己的专业能力和知识水平，提高自己在行业中的竞争力。同时，也可以为自己的职业发展提供更多的机会和选择。💼
• 证书并不是万能的，它只是一个参考。在实际的工作中，还需要不断地学习和实践，提高自己的实际操作能力和解决问题的能力。

我下面也给大家整理了一些网络安全的资料，大家不想一个一个去找的话，可以参考一下这些资料哈

视频教程

SRC文档&黑客技术书籍

 护网行动资料

 

四、总结

网络安全行业作为 IT 行业最后的红利，具有广阔的发展前景和丰厚的薪资待遇。对于零基础想要入门 Web 安全的人来说，只要明确学习路径、选择合适的学习资源、注重实践和持续学习，就一定能够在这个行业中取得成功。不要害怕困难和挑战，勇敢地迈出第一步，开启你的网络安全之旅吧！