零基础小白网安自学指南：4 个月吃透网安，可上手 SRC 漏洞挖掘
温馨提示：网络安全技术仅用于授权环境学习测试，未经授权的渗透攻击属于违法行为，请遵守《网络安全法》。
一、基础阶段｜1.5 个月（6 周）
核心目标：补齐计算机基础，看得懂命令、网页、SQL、Python 基础，不追求精通，达到能看懂漏洞原理即可
学习内容：网络安全法规概念、Linux 全套基础命令、计算机网络 TCP/IP、Shell 简单脚本、HTML/CSS/JS、PHP 基础、MySQL 基础、Python 基础、C 语言简单了解。
✅学习程度要求：
- Linux：熟练日常操作命令，看得懂目录、权限；
- 计网：明白 HTTP、TCP 三次握手、请求响应流程；
- 前端：看懂网页源码，分得清 HTML、JS、Cookie；
- 数据库：会基础增删改查 SQL 语句；
- Python：能看懂简单脚本，会写简单小代码。
❗不要求成为开发大佬，网安小白基础做到 “看得懂、会简单写” 就可以进入渗透，不要死磕开发把时间耗尽。
- 了解网安相关基础知识
了解《中华人民共和国网络安全法》，掌握网络安全基础概念：信息安全、风险管理、网络攻防原理、身份认证、加密等基础概念。 - Linux 操作系统
- Linux 操作系统目录结构
- Linux 命令格式
- Linux 文件和目录操作命令
- Linux 用户和用户组操作命令
- Linux 查看和操作文件内容命令
- 计算机网络知识
包括 TCP/IP 协议、网络设备、网络拓扑结构等计算机网络基础知识。 - Shell 脚本
掌握常用 Linux 命令，能够编写简单 Shell 脚本，完成自动化简单事务处理。 - HTML/CSS
在网络安全领域，了解 HTML 是因为 HTML 是构建网页内容的基础，网页是 Web 安全攻防的主战场。
- 理解网页结构，辅助分析网页行为，发现安全隐患
- 审查页面代码，识别恶意脚本、钓鱼页面特征
- 理解输入输出，理解 XSS 等漏洞产生原理
- 理解页面安全问题：点击劫持、信息泄露等
- 渗透测试、安全评估的必备前置知识
CSS（层叠样式表）用于网页样式渲染，学习 CSS 有助于理解 Web 技术栈，辅助前端安全审计与代码审查。
- JavaScript
JavaScript 是弱类型原型脚本语言，为网页提供动态交互效果。
- 获取浏览器客户端信息
- 表单校验、输入反馈
- 实现网页交互组件
- 操作 Cookie，理解客户端会话存储原理
- PHP 入门
掌握 PHP 基础语法、函数、类、面向对象思想；数据库交互、RESTful 架构；基础数据结构与算法复杂度；开发工具：Git、IDE、CLI。
应用场景：Web 网站开发、后端接口、小程序后端等。 - MySQL 数据库
- 数据持久化存储
- SQL 结构化查询，理解 SQL 注入漏洞底层原理
- Python
网络安全高频语言，可写爬虫、自动化脚本、工具开发，是安全从业者重点掌握语言。 - C 语言（C++ 可选）
理解计算机底层原理、内存、操作系统机制；逆向、漏洞分析会用到。
二、渗透阶段｜1.5 个月（6 周）【重中之重】
核心目标：Web 主流漏洞原理 + 复现 + 防御 + 工具 + 靶场实战
学习内容：SQL 注入、XSS、文件上传、文件包含、CSRF、SSRF、XXE、命令执行、反序列化、逻辑漏洞等各类漏洞；AWVS、Nessus、MSF 工具；内网基础、VulnHub/Kali 靶场练习。
✅学习程度要求：
每个漏洞做到：懂原理 → 手动复现一遍 → 了解防御方案 → 靶场做题巩固；工具会基础使用，不要只会点点点，明白工具背后原理。
- SQL 注入的渗透与防御
- XSS 相关渗透与防御
- 文件上传验证渗透与防御
- 文件包含渗透与防御
- CSRF 渗透与防御
- SSRF 渗透与防御
- XXE 渗透与防御
- 远程代码执行、反序列化渗透与防御
- 业务逻辑漏洞挖掘
- 暴力猜解与防御
- Redis 未授权访问漏洞
- AWVS 漏洞扫描工具使用
- Appscan 漏洞扫描工具使用
- Nessus 漏洞扫描工具使用
- Metasploit Framework（MSF）框架使用
- 社会工程学
- ARP 渗透与防御
- 系统权限提升渗透与防御
- DOS 与 DDOS 渗透与防御
- 内网相关渗透与防御
- 无线安全相关渗透与防御
- 木马免杀原理、问题与防御
- VulnHub 靶场实战练习
- Kali 高级渗透测试实战
三、安全管理｜0.5 个月（2 周）
核心目标：就业实用软实力，渗透报告、等保 2.0、应急响应、风险评估、代码审计入门
不用深度钻研，重点掌握报告怎么写、流程框架，面试高频考点。
- 渗透测试报告编写规范与实操
- 等级保护 2.0 基础
- 网络安全应急响应流程
- 代码审计基础
- 风险评估
- 安全巡检
四、提升阶段｜0.5 个月（2 周）
核心目标：拓展拔高，根据自身兴趣选学，不用全部啃完
密码学基础、JavaSE 入门、C++、CTF 入门刷题、Windows 逆向、Android 安全基础。
⚠️4 个月时间有限，逆向、Android 难度很高，小白优先简单了解概念，有余力再深入，不要在这里大量耗时间。
- 密码学基础
- Java SE 入门
- C++ 语言
- CTF 夺旗赛学习与刷题
- Windows 逆向基础
- Android 安全基础
⚠️学习忠告
- 基础没学好不要直接上来玩工具挖漏洞，很容易学废，只会点工具不懂原理面试直接露馅。
- 一定要动手实操，只看视频等于没学，DVWA、WebGoat、Vulnhub 都是免费合法靶场。
- 4 个月是入门吃透，不是成为大神，4 个月目标：具备入门渗透测试能力，能看懂漏洞，独立完成简单靶场，达到入行入门水平。
如何系统学习网络安全/黑客？
网络安全不是「速成黑客」，而是守护数字世界的骑士修行。当你第一次用自己写的脚本检测出漏洞时，那种创造的快乐远胜于电影里的炫技。装上虚拟机，从配置第一个Linux环境开始，脚踏实地从基础命令学起，相信你一定能成为一名合格的黑客。
如果你还不知道从何开始，我自己整理的282G的网络安全教程可以分享，我也是一路自学走过来的，很清楚小白前期学习的痛楚，你要是没有方向还没有好的资源，根本学不到东西！
下面是我整理的网安资源，希望能帮到你。
😝需要的话，可以V扫描下方二维码联系领取~
如果二维码失效，可以点击下方👇链接去拿，一样的哦
【CSDN大礼包】最新网络安全/网安技术资料包~282G！无偿分享！！！
1.从0到进阶主流攻防技术视频教程（包含红蓝对抗、CTF、HW等技术点）
2.入门必看攻防技术书籍pdf（书面上的技术书籍确实太多了，这些是我精选出来的，还有很多不在图里）
3.安装包/源码
主要攻防会涉及到的工具安装包和项目源码（防止你看到这连基础的工具都还没有）
4.面试试题/经验
网络安全岗位面试经验总结（谁学技术不是为了赚$呢，找个好的岗位很重要）
😝需要的话，可以V扫描下方二维码联系领取~
因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆
如果二维码失效，可以点击下方👇链接去拿，一样的哦
【CSDN大礼包】最新网络安全/网安技术资料包~282G！无偿分享！！！
