网络安全（黑客）自学的误区

一、自学网络安全学习的误区和陷阱

1.不要试图先成为一名程序员（以编程为基础的学习）再开始学习

我在之前的回答中，我都一再强调不要以编程为基础再开始学习网络安全，一般来说，学习编程不但学习周期长，而且实际向安全过渡后可用到的关键知识并不多。

一般人如果想要把编程学好再开始学习网络安全往往需要花费很长时间，容易半途而废。而且学习编程只是工具不是目的，我们的目标不是成为程序员。建议在学习网络安全的过程中，哪里不会补哪里，这样更有目的性且耗时更少。

2.不要把深度学习作为入门第一课

很多人都是冲着要把网络安全学好学扎实来的，于是就很容易用力过猛，陷入一个误区：就是把所有的内容都要进行深度学习，但是把深度学习作为网络安全第一课不是个好主意。原因如下：

【1】深度学习的黑箱性更加明显，很容易学的囫囵吞枣

【2】深度学习对自身要求高，不适合自学，很容易走进死胡同

3.不要收集过多的资料

网上有很多关于网络安全的学习资料，动辄就有几个G的材料可以下载或者观看。而很多朋友都有“收集癖”，一下子购买十几本书，或者收藏几十个视频

网上的学习资料很多重复性都极高而且大多数的内容都还是几年前没有更新。在入门期间建议“小而精”的选择材料，下面我会推荐一些自认为对小白还不错的学习资源，耐心往下看

二、学习网络安全的一些前期准备

1.硬件选择

经常会问我“学习网络安全需要配置很高的电脑吗？”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!所以，不要打着学习的名义重新购买机器...

2.软件选择

很多人会纠结学习黑客到底是用Linux还是Windows或者是Mac系统，Linux虽然看着很酷炫，但是对于新人入门并不友好。Windows系统一样可以用虚拟机装靶机来进行学习

至于编程语言，首推Python，因为其良好的拓展支持性。当然现在市面上很多网站都是PHP的开发的，所以选择PHP也是可以的。其他语言还包括C++、Java...

很多朋友会问是不是要学习所有的语言呢？答案是否定的！引用我上面的一句话：学习编程只是工具不是目的，我们的目标不是成为程序员

（这里额外提一句，学习编程虽然不能带你入门，但是却能决定你能在网络安全这条路上到底能走多远，所以推荐大家自学一些基础编程的知识）

3.语言能力

我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。而且如果不理解一些专业名词，在与其他黑客交流技术或者经验时也会有障碍，所以需要一定量的英文和黑客专业名词（不需要特别精通，但是要能看懂基础的）

比如说：肉鸡、挂马、shell、WebShell等等

三、网络安全学习路线

第一阶段：基础操作入门，学习基础知识

入门的第一步是学习一些当下主流的安全工具课程并配套基础原理的书籍，一般来说这个过程在1个月左右比较合适。

在这个阶段，你已经对网络安全有了基本的了解。如果你学完了第一步，相信你已经在理论上明白了上面是sql注入，什么是xss攻击，对burp、msf、cs等安全工具也掌握了基础操作。这个时候最重要的就是开始打地基！

所谓的“打地基”其实就是系统化的学习计算机基础知识。而想要学习好网络安全，首先要具备5个基础知识模块：

1.操作系统
2.协议/网络
3.数据库
4.开发语言
5.常见漏洞原理

学习这些基础知识有什么用呢？

计算机各领域的知识水平决定你渗透水平的上限。

【1】比如：你编程水平高，那你在代码审计的时候就会比别人强，写出的漏洞利用工具就会比别人的好用；

【2】比如：你数据库知识水平高，那你在进行SQL注入攻击的时候，你就可以写出更多更好的SQL注入语句，能绕过别人绕不过的WAF；

【3】比如：你网络水平高，那你在内网渗透的时候就可以比别人更容易了解目标的网络架构，拿到一张网络拓扑就能自己在哪个部位，拿到以一个路由器的配置文件，就知道人家做了哪些路由；

【4】再比如你操作系统玩的好，你提权就更加强，你的信息收集效率就会更加高，你就可以高效筛选出想要得到的信息

第二阶段：实战操作

 1.挖SRC

挖SRC的目的主要是讲技能落在实处，学习网络安全最大的幻觉就是觉得自己什么都懂了，但是到了真的挖漏洞的时候却一筹莫展，而SRC是一个非常好的技能应用机会。

2.从技术分享帖（漏洞挖掘类型）学习

观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维​​​​​​

3.靶场练习

自己搭建靶场或者去免费的靶场网站练习，有条件的话可以去购买或者报靠谱的培训机构，一般就有配套的靶场练习
 

第三阶段：参加CTF比赛或者HVV行动

推荐：CTF比赛

CTF有三点：

【1】接近实战的机会。现在网络安全法很严格，不像之前大家能瞎搞

【2】题目紧跟技术前沿，而书籍很多落后了

【3】如果是大学生的话，以后对找工作也很有帮助

如果你想打CTF比赛，直接去看赛题，赛题看不懂，根据不懂的地方接着去看资料

推荐：HVV（护网）

HVV有四点：

【1】也能极大的锻炼你，提高自身的技术，最好是参加每年举行的HVV行动

【2】能认识许多圈内的大佬，扩大你的人脉

【3】HVV的工资也很高，所以参加的话也能让你赚到不少钱

【4】和CTF比赛一样如果是大学生的话，以后对找工作也很有帮助

四、学习资料的推荐

常见的网络安全及论坛

    看雪论坛
    安全课
    安全牛
    安全内参
    绿盟
    先知社区
    XCTF联盟

四、黑客七个等级

黑客，对很多人来说充满诱惑力。很多人可以发现这门领域如同任何一门领域，越深入越敬畏，知识如海洋，黑客也存在一些等级，参考知道创宇 CEO ic（世界顶级黑客团队 0x557 成员）的分享如下：

Level 1 愣头青[百万人]：会使用安全工具，只能简单扫描、破译密码
Level 2 系统管理员[上万人]：善用安全工具，特别熟悉系统及网络
Level 3 大公司的开发人员或核心安全公司大牛[几千人]：对操作系统特别熟悉，开始开发代码，写自己的扫描器
Level 4 能找到并利用漏洞[几百人]：自己能找漏洞、自己找 0DAY 并且写 Exp 利用漏洞的，对系统做挖掘漏洞的协议测试
Level 5 高水平[少于百人]：防御和构建系统的人
Level 6 精英级[几十人到十几人]：对操作系统的理解很深入
Level 7 大牛牛[寥寥无几]：马克·扎克伯格、艾伯特·爱因斯坦等改变世界的人

你可以看看，你现在在哪个等级？你可能会好奇我处于哪个等级，我的等级不高，在寻求突破的路上呢。不过我还修炼了另两条技能，也许可以让我有个比较有意思的突破，至于是什么，不好意思，没成功之前哪敢放肆呢。

学会观察

我常说满互联网都是宝藏，观察是第一必备技能。如果你善于观察与总结，会更快发现一些门道，这种门道会让你比别人活得轻松。

圈子

在上面的这些过程中，你一定会对一些 ID 逐渐熟悉。你想结交一些人？拿出你的实力吧，分享很重要，没人喜欢伸手党或喷子。

特别建议去理解下圈子具备所有群体的那些经典属性，推荐书籍《自私的基因》与《乌合之众》。

创造力

我以前提过要具备足够的创造力，有两点很关键，一个是「视野」，一个是「专注」。视野是横，专注是纵，这两者需要平衡，因为人的精力有限（能量守恒定律）。只要任何一个失衡，两者都不将存在。

对大多数人来说，专注是最难的，毕竟这是一个立竿见影的熵减过程，一个信息的自组织过程。严肃地说，因为你的专注，加速了宇宙灭亡。至于为什么，这里就不展开了。总之，专注确实很难，很多时候你得逼自己。

因为自私的基因，人，总是在有意识无意识地爆发自己的创造力。有的创造力可以改变世界，有的创造力可以改变家庭，有的创造力可以改变自己。这些都是创造力。你需要多大的创造力，取决于你的基因，取决于你希望自己成为怎样的人。

毕竟，能改变世界的人也就「寥寥无几」...

附上学习路线

 如图片过大被平台压缩导致看不清的话，可以关注我后台自动发送

视频配套资料&国内外网安书籍、笔记&工具

 当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具

 如果你想要入坑黑客&网络安全，可以找我领取以上资料，关注我后台自动发送~

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

特别声明：
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失。！！！