网络安全行业个人发展浅析

2020年9月的时候，凭借着个人兴趣的驱使。我放弃了自己开发的经历，开始慢慢的转向安全方向。当时没有什么眉目，就只盯着CTF方向开始钻研，开始慢慢懂得了一些漏洞的利用方式。最近在思考自己的安全之路时，我的眼光是迷茫，我不知道自己该学习什么，应该往哪个方向去学习，所以尝试了自己回答以下的问题来帮助自己看清自己的路线。

0x01 网络安全有哪些工作类型？我想去哪个方向？

• 安全研发：工作主要是开发用于安全防御的产品，开发的产品主要用于将已知且常见的漏洞进行防御。
• 二进制方向：工作主要偏向于软件破解、病毒分析等工作。
• 网络渗透方向：工作主要偏向于网络渗透攻击、攻击网站、攻击个人电脑等。需求广并且方向多，通常也需要比较广的知识面。
  参考教程：

1. 小白怎么入门网络安全？看这篇就够啦！：https://www.cnblogs.com/xuanyuan/p/13624707.html

0x02 红队是什么？

模拟真实世界的黑客攻击的团队。真实世界的黑客攻击是通过综合利用各种手段来进行黑客攻击的一种方式，其中包括社工等方式（这种方式又叫做APT）。真实世界的黑客极具目的性，但是并不希望被检测到。

0x03 红队和渗透测试是什么关系？

渗透测试和红队在技术方向非常类似渗透测试，但是在思维方式上却完全不同。

1. 渗透测试的重点在于尽可能多的检测出漏洞所在。
2. 红队的关键点在于尽可能达到目的并且隐藏自己的信息。

参考教程：

1. 谈谈渗透测试和红队的区别：https://www.secrss.com/articles/12168

0x04 CTF和其他安全方向的关系是什么？

CTF分为两种模式「解题模式」和「AWD模式」，解题模式通常是为了综合利用各种「Web漏洞」和「安全知识」来获取flag从而赢得分数。大部分时候是运气、实力、细心程度的一种考察，可以用来训练自己，让自己在Web漏洞的掌握上更上一层楼。但是这样的知识只能在红队中进行打点，所获得的知识体系太过于局限了。

0x05 我现在处于安全届的哪个层次？

上次gcow团队中童童师傅的评价

• bypass技巧 10%
• 网络基础 0%
• 常见web漏洞 30%
• 代码审计 5%

我是菜鸡，干巴爹👋

0x06 有哪些比较全面的学习技能点？

网络安全涉及的内容非常广，其主要的学习路线如下图所示。可以简单归纳为：

• 基础知识：Web发展简史、计算机网络、域名系统、HTTP标准、代码审计、WAF
• 信息收集：域名信息、 站点信息、端口信息、其它
• 内网渗透：Windows信息收集、持久化、Linux信息收集、痕迹清理、其他
• 常见漏洞：SQL注入、XSS、CSRF、SSRF、命令注入、文件读取、文件上传、文件包含、XXE、模版注入、Xpath注入、 逻辑漏洞 、业务漏洞、配置安全、中间件、Web Cache欺骗攻击
• 语言与框架：PHP、Python、Java、JavaScript、Ruby、C\C++、C#
• 防御技术：总体思路、 团队建设、威胁情报、风险控制、加固检查、蜜罐技术、入侵检测、应急响应、溯源分析
• 工具与资源：工具列表、推荐资源、爆破工具、下载工具、流量相关、嗅探工具、SQLMap使用
• 其他：认证方式、拒绝服务攻击、DNS劫持、Docker
  

0x07 我在哪些方面还有缺陷？

太多了（

0x09 如何学习这些知识？

参考敏捷开发，不断迭代：有一个粗略的认识->有了进一步的认识->彻底掌握->温故而知新。不用纠缠于把一门课程全部学完学懂才进入下一门课程。

参考教程：

1. 网络安全自学篇（二十三）| Web安全学习路线及木马、病毒和防御初探：https://cloud.tencent.com/developer/article/1620918

0x10 接下来我应该怎么做？

• 分析各种招聘的要求，确定学习目标
• 制定学习计划
• 寻找学习资源进行学习
• 及时总结和回顾