卷首
几乎和去年写上一篇文章《自学白帽黑客第一年总结》一样,晚上翻来覆去睡不着,头脑中是这一年的经历不断的涌现,我想着去360的经历,想着最近审计代码的经历,以及我生活上和女孩子们发生的事情,我知道是时候把他写出来了。现在是2021年12月20日晚上22:45,这一年接近尾声了,马上就要迎接2022年,时间过得真快。话说去年是11月写的,比去年晚了一个多月写。惭愧的说我最近才找到属于自己的方向,才鼓起勇气好意思写一写。其实这一年的大部分时间在划水。
这篇文章我不想像上次一气呵成写完,因为我觉得把一件事做好才是最重要的。
因为映题,文章先写技术后写个人经历,对经历感兴趣的请移步:个人经历
技术
就好像是人的本能理解一样,人一听到网络安全,就会首先想到网络,那既然我要学网络安全,我肯定要先懂网络基础,再深入研究安全那.基于这种逻辑,很多一腔热血的小伙伴开始重复了我的老路.网安第一步,学习网络.开始了HCNA
,CCNA
的学习.
首先,我不反对多学知识,知识越多技术栈越全,对我们好处越多.在我学完路由器,交换机等知识后,我的确是对局域网广域网的网络布局更加了解了,在城市中各种信息通过一些协议互相传递.比如你接入wifi之后能访问到百度网页,这整个数据传输过程(当然不是很准确啊):数据流会经过你家里的路由器,路由器根据你访问的ip,选择下一跳的端口传输数据.通过交换机的传输走出局域网,进到广域网,然后不同地区的广域网之间的as域交换信息,最后再返回.
类似的或者一些办公室里面的小网络布局,你能有一个感性的认知.
我没干过红队,不过我猜应该是需要掌握网络知识的,毕竟渗透进企业的内网不清楚网络,也没法做跳板深入。然后,我知道的这方面涉及到安全的可能还有防火墙
, 防火墙很强大, 具体的我也没学.不过我要提醒一点,不管是HCNA还是CCNA, 他在教你如何通过命令行配置网络设备, 能让不同的设备之间互相通信,属于数据通信, 如果你对设备或者防火墙本身感兴趣, 也可以尝试学习c/c++然后去试一试开发防火墙的工作
我就接着吐槽我去年写的东西吧
去年我还格外重点的分享了基本关于网络的理论书,基础的确很重要哇.如果你是入门的话,建议找一本入门级的书来看.不过我分享的那两本TCP/IP协议详解
,和计算机网络自顶向下
还是不建议新手或者初阶的朋友来看.原因就是, 首先你暂时根本用不到那么细致的tcp协议, 无法有一个感性的认知, 学起来很啃.其次, emmm有可能今后也不会用到. 等你需要扩充知识的时候,自然会去找相应的书. 我一般的主张就是, 先用到某些技术, 然后再学习理论知识.
我去年还分享了linux
学习, 这块也属于基础, 需要学.前几天我面试了字节跳动的算是运维岗吧(基础部门),他们对linux命令行要求很深,而且一些协议和服务需要非常熟悉. 有精力还是找一本Linux命令行的书, 从头到尾敲一遍.说到Linux,我想起我好朋友了,他要从事c/c++方面的工作,最近再研究stl源码(主要是面试问), Linux服务开发等的知识.我个人觉得, 如果对底层感兴趣, 对病毒, 内核方面感兴趣建议学习c/c++.对逆向二进制感兴趣也要学哦,而且难度很高,要学操作系统,算法,数据结构,都要很精。但是我要给你提个醒,二进制门槛高,就业范围窄,什么意思呢,画个图就明白了。
学习逆向,在没有非常扎实的基础的情况下很难有原创漏洞产出,同时,就业门槛高。而web则是就业市场大,门槛低。当然现时情况是这样,不过,一句话,兴趣最重要。
然后底层不仅有Linux开发,你像深度学习底层的算法也是c写的.可以说推进深度学习的也是c吧,毕竟深度学习属于算法方向的. 永远是有科研, 有应用, 科研推动发展, 应用创造价值.
去年分享了个公众号:)
没想到啊,这一年来挤爆了,我当时写完文章之后的几个月内,一千五百人的群就满了.也不知道是不是因为我的文章.我不是很喜欢这种涉及到利益的东西. 600块进个群。虽然当时我确实说我是再分享我的经历。其实,最初学的话,就是勤用浏览器就好了,想学什么就搜什么,哪怕你啥也不知道,你就直接搜“黑客”,你就很大概率看到一些网络安全的文章了,一点点按兴趣来。进阶学习可以找一些知识星球,还是有很多干货的。
去年我自己写了网站,这个怎么说呢,也属于基础范畴,漏洞的本质是代码,你的代码能力决定了上限。也不是说就要先去夯实基础,然后再学安全,他们是同时进行的。
去年还说了自己要多实战,这点其实是最困扰我的。说实话我这一年也没有多少实战,我很惭愧。我不给自己找开脱的理由,我这一年的实战,几乎是没有什么收获,最近和同事交流,加上学习一些之后反思后得出结论:本质上是对漏洞产生的位置掌握不佳,以及对漏洞类型的储备薄弱。比如哈,我们都知道,搜索框可以有sql注入,和xss。但如果传递数据是以json的格式,那么会不会有fastjson反序列化漏洞。这就是一个启发。首先,如果你不知道fastjson反序列化漏洞,那你就不可能发现这块的问题,这属于知识储备层面。其次,如果你知道fastjson,也从源码角度知道漏洞产生原因,同时知道几个利用链,也就是说知识储备没问题,但你不知道哪里可能存在json传递数据,也不太可能挖到漏洞,这是对漏洞产生位置掌握不佳。
前者的问题要通过不断的学习来弥补,学习各种各样的漏洞。我推荐你从vulhub上下载后去主动复现漏洞,学习漏洞产生的原因,如何利用。同时,掌握之后要思考,哪里可能存在这个漏洞。最后去fofa上找一找相关网站资源去验证你的想法(最好是国外的网站)。没有实战能力的黑客,不叫黑客,ok
报班从长远看不是捷径,他有可能扼杀掉你自己探索的乐趣,探索的能力。
下面说一说其他的吧:
自己现在在学java安全这块,也在尝试看一看漏洞的源码,工具的源码。其实挺难的,但是当花费时间把一个很难的东西搞懂了之后,也很有成就感,学习安全需要这种成就感,这意味着不要一上来就挑战最难,这样没有成就感容易放弃,一定要循序渐进,衡量好自己的能力缓慢前进。java安全其实看p牛(phith0n)的java漫谈系列不错,很详细,作为基础。然后平时看文章的同时要自己动手调试代码,这种是从根本上朝着实战,挖掘漏洞来走的,调试和理解源码很重要。我也关注了许少(4ra1n),他很努力,很热爱安全和学习,我在好多平台看到他发的一些文章,能学到东西,同时又给自己一些方向。我们年龄相仿他比我大一些,他是值得学习的榜样。
然后我想聊一聊公司。从21年7月份开始到现在得6个月了,我到处奔波实习。最开始去了北京360,然后去了西安绿盟,现在在杭州孝道科技。多的不想讲,大公司,福利待遇好,可以拓展眼界,但,能力不强就是干边缘的活。小公司团队氛围好,就像在学校,也有很多机会通过干活学到知识,但其他各方面相对差一些。北京除了住的远(进的离公司3公里,远的12公里都有),房价物价贵(住房3000一月20平合租),人多拥挤之外其他的都挺好的。西安个人感觉偏落后,我当时在雁塔区,不知是不是比较偏。杭州的话冬天比较冷,但是环境挺好的,房价不太贵(也就是说同比北京价格在2000左右,而且整租),住房位置也比北京多。上面仅代表我的经历和观点,而且比较片面,还是以个人感受为主,建议上学期间的假期多去外面实习,多走走看看。
其他关于技术这方面的具体细节,也没什么可讲,因为,如果你还是初级,那么做好我前面讲的基础,如果你在进阶,那大概知道自己要看什么样的技术文章。
个人经历
我自己这一年经历了很多,多于技术吧,不过过多的我不讲,我就说一些对大家有帮助的经历。
一句话总结:每个人都在自己的人生中,不要过多的干涉别人,也不要受其他人的过多干涉
其思想来源于《被讨厌的勇气》。阿德勒哲学属于个体心里学的鼻祖,同时呢我仍然关注弗洛伊德与武志红的心理学,心理学对我的意义在于,通过追寻童年的记忆学习一些长大以来丢失的事情,以及为各种感觉安放在固定框架上,来树立一些正确的三观。其实树立三观不只心理学,任何一门经典就足矣,重要在于坚持积累,以及保持空杯的心态。读书成为我这一年来养成的两大习惯之一,另一个是跑步,跑步真的是生命不可或缺的东西,跑步时没有在想什么,就是处于静止同时很愉悦的状态。自己有关注一些b站的马拉松大神,学习如何科学的运动,希望你也可以动起来,一起跑步!
这一年我更新了很多知乎,关于我的个人想法,就是20多岁初步了解世界所产生的想法吧,主要是记录。不过后来让我删去大半,我都储存在印象笔记里了。没有过多的原因,我只是想为自己而活,不是为了别人的赞与关注。
其实这一年也相处了几个女生,曾和去年心态一样被拒到怀疑人生,但现在我转变看法了。我不是为了其他任何人而活,而她们的种种思想与做法仅代表她们,每个人对于我的定义都不同,而我只要在意自身的提升与对生活的热爱就好,过多的不需要考虑。听起来有些自私,但是,事实就是这样,她们会离开,而生活还在继续。即使是自己喜欢的人,那你也没有权力干涉她是否喜欢你,你只能做好自己。那再多的顾虑可能就是的确在交流上,没有达到很好,而交流不仅仅有女生还有男生,按照武志红讲的他们没能感受到你内在的黑色生命力,或者缺少一些弗洛伊德讲的攻击与性,因此你们没有建立很亲密信任的关系,那也没关系,自己始终是在进步的就好。是当克服人生重重困难痛苦之后遇见同样热爱生活的她,这就是爱情最好的样子。
尾声
现在2022年1月20日了,写了一个月。。其实就写了三天,其他时间不知道在忙什么。下次再写文章总结应该是我已经毕业了,希望自己可以更进一步。