网络安全学习的三大不可取之处

经常有同学问关于网络安全学习的问题，还有学习方向的选择问题，学什么不学什么等等，由于存在以下三个问题，所以经常会感到迷茫，想学习无从下手。

• 急功近利

每个人进入安全行业的时候都有问题和诱惑，比如某些排行榜，看着大佬们挖洞那么容易，肯定也会羡慕；各大CTF比赛，别人团队突破那么多题目，自己智能做个签到题；各种黑客大会，大佬们展示自己挖到的0day漏洞，什么浏览器、什么路由器、什么系统漏洞这些CVE编号，会问自己怎么不行。

安全圈也是一个江湖，有江湖的地方就会有排行榜，就会有大佬和菜鸟，每一个菜鸟都想成为大佬，如何成为大佬就是菜鸟们最关注的问题。所以就涌现出好多的急功近利者，这个知识点没有弄清楚，就去看另外一个知识点；普通的漏洞都没有挖到过，还想要去挖0day漏洞，期望可以通过这种方式成为大佬，脱离菜鸟的队伍。

任何学习参考、学习路径和方向，都不能让你直接成为大佬，基础一定是自己努力后的结果。大家从小就听过拔苗助长的故事，不符合发展规律的方式只会让你根基不稳，虽然学了很多花拳绣腿的东西，真正实战的时候根本无法解决问题。最后还是靠自己扎实的学习，解决问题的能力在社会上立足。

所以急功近利的心态一定不能有，别人的成功不是一朝一夕的事情，踏踏实实的学习，安全相关的基础不能丢！

• 眼高手低

安全圈算是互联网里比较小的一个群体，这个群体在用户的眼里还是很神秘的，比如大家都知道黑客、病毒这类词语，对于安全从业者的认识也是从新闻中一些xxx黑客入侵了xxx，哪些电脑中了xxx病毒，电脑卡，文件被锁等等。在圈子里，存在一个顺口溜：唬得住 50k、唬不住 5k，解释一下就是在找安全工作的时候，面试好了可以要 50k，面试不好可以要 5k，说明安全行业没有一个好的标准去评判一个人的能力水平，公司企业懂安全的人也比较少，大量的面试官是没有能力识别安全人员的水平到底怎么样的。

为什么会说眼高手低呢？因为面试主要看聊的怎么样，往往你看的资料多，啥都说一说，就能唬住大量的面试官，不可能让你实战去搞一个网站，人都是趋于懒惰的，能不动手尽量不动手，能看懂技术文章就认为自己会了，而不去亲自实践，这也是大量的安全初学者喜欢看视频学习的原因，讲师在视频里搭建环境，测试教学，学员看完就觉得学会了，自己并不会去实践，然而这种学习方式是非常不可取的，一方面记忆是个问题，用不了多久就忘了，另一方面在自己解决问题的时候，遇到问题发现一脸懵逼，老师就是这么操作的，为啥我会有问题呢？最后还是要自己去研究原理，或者主动搜索解决办法，解决前辈的经验。

技术不是理论，看一看就行，技术对于动手能力的要求是非常关键的，理论指导实践，没有理论你就没有方向，没有技术你没法解决实际问题，我们作为安全技术的人才，实践动手能力不可缺，能动手就不要光看，别人说的不一定对，相信自己的操作，一定要实操验证，不能人云亦云，真理是实践出来的。

• 三心二意

在学习web安全的时候，看到很多公众号在发内网渗透的技术和文章，又觉得自己内网方面啥都不会，很焦虑，这就是三心二意惹的祸，吃的碗里看着锅里，在安全初学的时候一定要专注，先把一个领域研究透了，再去扩展其他方面，由浅入深的学习方法是可以复用的，一个方面学深，另一个方向再去学的时候会事半功倍，很容易做好。

安全行业的细分领域太多，每两年就会出一个新的概念，从最开始的渗透测试、web 安全，内网渗透到现在的红蓝对抗、威胁情报、移动安全、代码审计、态势感知等，对于安全初学者而言，最有吸引力的还是渗透和红蓝对抗，因为这两个方向是攻击领域的，也是突破权限最有成就感的事情，研究的技术都是最新最有用的，是走在安全技术的前沿的，也是学习和研究人数最多的。

在初学安全的时候，一定会经受各种各样的诱惑，时间和精力是有限的，如今的人才标准是 T 字型的人才，在一个方向深扎下去，可以体现自己的能力，然后扩展知识面，可以在多个领域发挥自己的作用，这样的人才是所有公司都想要的人才。

总结

关于学习这个事儿，每个人都有自己想法，没有一个通用的学习方法适合所有的人，我们能做的就是分享自己的一些想法和经验，希望可以帮助一些目前正在面临一些选择和迷茫的同学