很多想入行网络安全的人，都会陷入 “盲目学技能” 的误区 —— 要么跟着视频学了一堆工具，却不知道对应什么岗位；要么想做渗透测试，却花大量时间学安全运维的防火墙配置。其实网络安全岗位分工明确，不同岗位需要的核心技能完全不同：渗透测试侧重 “找漏洞”，安全运维侧重 “保稳定”，应用安全侧重 “嵌安全到开发”。
这篇用 “技能图谱 + 学习路径” 的形式，把三大热门岗位的能力要求和学习步骤讲透，每个路径都附 “免费资源 + 实战任务”，学生和转行从业者能直接对标，找到适合自己的方向。
一、岗位 1：渗透测试工程师（“网络安全侦探”，找漏洞、验风险）
1. 岗位定位：
帮企业 “主动找漏洞”—— 通过模拟黑客攻击的方式，测试网站、服务器、内网的安全性，发现漏洞后输出报告并提供修复建议，避免被真实黑客攻击。
核心目标：在攻击者之前找到并验证安全风险，是企业安全的 “进攻型角色”。
2. 核心技能图谱（硬技能 + 软技能）
| 技能类型 | 具体技能点 | 必学工具 / 知识点 |
|---|---|---|
| 硬技能 | 1. Web 渗透测试 | 工具：Burp Suite、Nmap、Sqlmap、Gobuster；知识点：SQL 注入、XSS、文件上传、逻辑漏洞（越权） |
| 2. 内网渗透测试 | 工具：Metasploit、Cobalt Strike、Mimikatz；知识点：PTH 哈希传递、端口转发、域渗透、提权 | |
| 3. 漏洞复现与利用 | 工具：PoC 框架（MSFvenom、Exp-DB）；知识点：CVE 漏洞原理（如 Log4j、永恒之蓝）、漏洞验证流程 | |
| 4. 渗透报告编写 | 工具：Markdown、Visio；知识点：漏洞分级（高危 / 中危 / 低危）、修复建议编写规范、风险量化 | |
| 软技能 | 1. 逻辑分析能力 | 能拆解 “漏洞利用链”（如从 Web 漏洞到内网控制的全流程） |
| 2. 沟通能力 | 能向非技术同事（如产品、开发）讲清漏洞风险，推动修复 | |
| 3. 文档能力 | 报告结构清晰，复现步骤详细，开发能按报告复现并修复漏洞 |
3. 分阶段学习路径（0 基础→初级渗透工程师）
阶段 1：入门（1-2 个月，掌握基础工具）
- 目标：会用核心工具，能发现基础 Web 漏洞；
- 任务：
- 学 Linux 基础（常用命令：cd、ls、ssh，推荐看《Linux 鸟哥的私房菜》入门篇）；
- 练 Web 渗透工具：
- Burp Suite：掌握抓包、改包、Intruder 爆破（参考 B 站 “玄魂安全” Burp 教程）；
- Nmap：掌握端口扫描（-sS、-sV）、操作系统探测（-O）；
- 靶机实战：完成 DVWA 所有漏洞（SQL 注入、XSS、文件上传），每类漏洞写复现笔记；
- 资源：DVWA 靶机（Docker 一键部署）、Burp Suite 社区版（免费）。
阶段 2：进阶（3-4 个月，突破内网与漏洞复现）
- 目标：能完成中小型内网渗透，复现常见 CVE 漏洞；
- 任务：
- 学内网渗透：
- 工具：Metasploit（学加载模块、生成 payload）、Cobalt Strike 基础（团队协作、会话管理）；
- 知识点：端口转发（lcx、portfwd）、域渗透（查域控、获取域管权限）；
- 漏洞复现：
- 复现 Log4j（CVE-2021-44228）、永恒之蓝（MS17-010），用 Vulhub 一键搭环境；
- 靶机实战：完成 HTB Starting Point（10 个靶机）、VulnHub Basic Pentesting 系列；
- 资源：Vulhub 漏洞环境（GitHub 开源）、HTB 免费账号（注册即享）。
阶段 3：实战（2-3 个月，积累项目经验）
- 目标：能独立完成渗透测试项目，输出规范报告；
- 任务：
- 模拟项目：按 “信息收集→漏洞挖掘→利用→报告” 流程，测试本地搭建的 “Web + 内网” 环境（1 台 Web 机 + 1 台域控机）；
- 报告输出：参考 “OWASP 渗透测试报告模板”，包含漏洞描述、复现步骤、截图、修复建议；
- 技能补充：学 Python 写简单 PoC（如 SQL 注入检测脚本），提升自动化能力；
- 资源：OWASP 报告模板（官网免费下载）、Python 安全开发教程（B 站 “黑马程序员”）。
4. 岗位产出物（简历加分项）
- 独立完成的渗透测试报告（附靶机复现截图）；
- GitHub 仓库（含漏洞复现笔记、PoC 脚本）；
- HTB/TryHackMe 通关记录（截图或链接）。
二、岗位 2：安全运维工程师（“网络安全管家”，保稳定、防攻击）
1. 岗位定位：
帮企业 “被动防御 + 日常维护”—— 负责服务器、网络设备的安全配置，监控系统异常（如攻击、漏洞），处理安全事件（如服务器被入侵），确保业务稳定运行。
核心目标：减少安全事件发生，发生后快速响应，是企业安全的 “防御型角色”。
2. 核心技能图谱（硬技能 + 软技能）
| 技能类型 | 具体技能点 | 必学工具 / 知识点 |
|---|---|---|
| 硬技能 | 1. 服务器安全配置 | 系统：Linux（CentOS/Ubuntu）、Windows Server；知识点：账号管理（禁用 root 远程）、防火墙（iptables/Windows 防火墙）、补丁更新 |
| 2. 安全监控与日志分析 | 工具：ELK（Elasticsearch+Logstash+Kibana）、Wireshark、Zabbix；知识点：登录日志分析、异常流量识别（如 DDOS、SQL 注入请求） | |
| 3. 漏洞管理 | 工具：Nessus、OpenVAS、漏洞扫描平台（如绿盟远程安全评估系统）；知识点：漏洞分级、修复优先级排序、漏扫报告解读 | |
| 4. 应急响应 | 工具：ClamAV（杀毒）、Process Explorer（进程分析）；知识点：恶意文件清除、入侵溯源（查 IP、进程）、事件复盘 | |
| 软技能 | 1. 耐心细致 | 能排查复杂的日志问题（如服务器卡顿的原因定位），不遗漏细节 |
| 2. 抗压能力 | 安全事件（如服务器被入侵）需快速响应，常需加班处理紧急问题 | |
| 3. 文档能力 | 编写《服务器安全配置手册》《应急响应流程》，方便团队复用 |
3. 分阶段学习路径（0 基础→初级安全运维工程师）
阶段 1：入门（1-2 个月，掌握服务器基础）
- 目标：能独立完成 Linux/Windows 服务器的基础安全配置；
- 任务：
- 学 Linux 系统：
- 掌握账号管理（useradd、passwd、usermod）、防火墙（iptables 规则配置：允许 22/80 端口，拒绝其他）；
- 学 Windows Server：禁用 Guest 账号、开启 Windows 防火墙、配置远程桌面安全（仅允许指定 IP）；
- 工具实操：用 Xshell 远程连接 Linux 服务器，用 WinSCP 实现文件互传；
- 资源：《Linux 网络安全运维》书籍、Windows Server 2019 评估版（微软官网免费下载）。
阶段 2：进阶（3-4 个月，学监控与漏洞管理）
- 目标：能搭建监控系统，分析日志，完成漏洞扫描；
- 任务：
- 日志分析：
- 搭建 ELK 环境（参考 “ELK 中文网” 教程），收集 Linux 的/var/log/secure（登录日志），用 Kibana 可视化展示；
- 用 Wireshark 分析异常流量：过滤 “包含 sql 注入语句（如 'or 1=1–）的 HTTP 请求”；
- 漏洞扫描：
- 用 Nessus 扫描本地虚拟机（CentOS），解读扫描报告，区分 “高危漏洞（如未打永恒之蓝补丁）” 和 “低危漏洞（如端口开放）”；
- 制定漏洞修复计划：优先修复高危漏洞，记录修复时间和验证结果；
- 资源：Nessus 免费版（注册即享 7 天全功能，后续可续）、ELK 中文网教程（https://elkchina.net/）。
阶段 3：实战（2-3 个月，练应急响应与流程）
- 目标：能处理简单安全事件，编写运维文档；
- 任务：
- 应急响应模拟：
- 在 Windows Server 虚拟机中植入 “backdoor.exe”（模拟恶意文件），用 ClamAV 扫描并删除，用 Process Explorer 结束关联进程；
- 模拟 “服务器被暴力破解”：分析/var/log/secure日志，找出攻击 IP，用 iptables 拉黑该 IP；
- 文档编写：
- 写《Linux 服务器安全配置手册》，包含账号、防火墙、日志配置步骤；
- 写《应急响应流程》，明确 “发现事件→定位原因→清除恶意文件→复盘” 的步骤；
- 资源：ClamAV 官网（免费下载）、Process Explorer（微软官网免费工具）。
4. 岗位产出物（简历加分项）
- 《服务器安全配置手册》《应急响应流程》文档；
- ELK 日志监控平台搭建截图（含异常日志分析案例）；
- Nessus 漏洞扫描报告（附修复验证记录）。
三、岗位 3：应用安全工程师（“安全开发搭档”，嵌安全、降风险）
1. 岗位定位：
帮企业 “把安全嵌入开发流程”—— 在 APP、网站开发的全流程（需求→设计→编码→测试→上线）中融入安全措施，比如代码审计找漏洞、制定开发安全规范，避免上线后出现安全问题。
核心目标：从源头减少安全漏洞，是 “开发与安全的桥梁角色”。
2. 核心技能图谱（硬技能 + 软技能）
| 技能类型 | 具体技能点 | 必学工具 / 知识点 |
|---|---|---|
| 硬技能 | 1. 编程语言基础 | 语言：PHP/Java/Python（至少精通 1 种，匹配企业开发语言）；知识点：语法、函数调用、数据库操作（如 JDBC、SQLAlchemy） |
| 2. 代码审计 | 工具：Fortify、FindSecBugs（Java）、RIPS（PHP）；知识点：识别代码中的 SQL 注入、XSS、文件上传漏洞，理解漏洞代码原理 | |
| 3. 安全开发生命周期（SDL） | 知识点：需求阶段安全评审、设计阶段威胁建模（如 STRIDE 模型）、测试阶段安全测试、上线后漏洞管理 | |
| 4. 安全编码规范 | 工具：ESLint（前端）、PMD（Java）；知识点：制定语言专属规范（如 PHP 避免直接拼接 SQL、Java 用 PreparedStatement） | |
| 软技能 | 1. 跨团队协作 | 能和开发、产品沟通，推动安全规范落地（如说服开发修改有漏洞的代码） |
| 2. 学习能力 | 快速掌握新开发框架的安全问题（如 Vue、React 的 XSS 风险） | |
| 3. 逻辑思维 | 能通过代码流程分析潜在漏洞（如 “用户登录逻辑是否存在越权风险”） |
3. 分阶段学习路径（0 基础→初级应用安全工程师）
阶段 1：入门（2-3 个月，补编程与安全基础）
- 目标：掌握 1 种编程语言，理解基础安全漏洞的代码原理；
- 任务：
- 学编程语言（以 Java 为例）：
- 掌握基础语法（类、方法、异常处理）、数据库操作（JDBC 连接 MySQL，写查询 / 插入语句）；
- 理解 “有漏洞的代码”：比如写一段 “直接拼接 SQL 的 Java 代码”，运行后演示 SQL 注入效果；
- 学安全基础：
- 看《Web 安全漏洞原理与实战》，理解 SQL 注入、XSS 的代码层面原因；
- 资源：《Java 编程思想》（入门篇）、B 站 “尚硅谷 Java 零基础教程”。
阶段 2：进阶（3-4 个月，学代码审计与 SDL）
- 目标：能审计简单代码，理解 SDL 流程；
- 任务：
- 代码审计实操：
- 用 FindSecBugs 审计 Java 项目（如 GitHub 上的 “vuln-java-project”），找出其中的 SQL 注入、XSS 漏洞；
- 手动审计 PHP 代码：分析 “用户输入未过滤导致 XSS” 的代码，写出修复方案（如用htmlspecialchars函数转义）；
- 学 SDL 流程：
- 看微软 SDL 文档（官网免费），理解 “威胁建模”（用 STRIDE 模型分析一个登录功能的风险：欺骗、篡改、否认等）；
- 模拟 “需求评审”：对一个 “用户注册功能” 提安全需求（如 “密码长度至少 8 位，包含字母 + 数字”）；
- 资源：FindSecBugs 官网（免费）、微软 SDL 文档（https://learn.microsoft.com/zh-cn/security/sdl/）。
阶段 3：实战（2-3 个月，做项目与规范）
- 目标：能完成小型项目的代码审计，制定安全编码规范；
- 任务：
- 项目审计：
- 审计一个开源 Web 项目（如 DVWA 的 PHP 代码），输出 “代码审计报告”，包含漏洞位置、代码片段、修复建议；
- 制定规范：
- 写《Java 安全编码规范》，包含 “避免 SQL 注入（用 PreparedStatement）、避免 XSS（用 HtmlUtils 转义）” 等 10 条核心规则；
- 给 “开发同事”（可找同学模拟）讲解规范，演示 “不按规范写代码会导致的漏洞”；
- 资源：DVWA 源码（GitHub 开源）、《OWASP 安全编码规范》（官网免费下载）。
4. 岗位产出物（简历加分项）
- 代码审计报告（附漏洞代码片段与修复方案）；
- 制定的《安全编码规范》文档；
- 参与的 SDL 流程记录（如威胁建模文档、需求评审记录）。
四、岗位选择建议：3 类人群如何匹配？
1. 计算机学生：按兴趣选方向
- 喜欢 “找漏洞、挑战未知”：选渗透测试（适合爱折腾、逻辑思维强的学生）；
- 喜欢 “稳定维护、解决问题”：选安全运维（适合耐心细致、能接受偶尔加班的学生）；
- 喜欢 “编程、懂开发逻辑”：选应用安全（适合有开发基础、想和开发团队协作的学生）。
2. 转行从业者：按原有技能迁移
- 原职业是 “开发（Java/PHP）”：优先选应用安全（能复用编程技能，转型成本低）；
- 原职业是 “运维（Linux/Windows）”：优先选安全运维（熟悉服务器配置，学安全监控、应急响应更快）；
- 原职业是 “非 IT（如行政、销售）”：从渗透测试入门（0 基础可学工具，靶机实战易出成果，增强信心）。
3. 核心判断标准：“技能匹配度”＞“薪资高低”
别只盯着 “渗透测试薪资高” 就盲目选 —— 比如开发转渗透，需要补内网、漏洞利用等技能，反而不如转应用安全快；运维转应用安全，需要补编程基础，不如转安全运维顺理成章。选 “能复用现有技能” 的方向，才能更快入行。
五、总结：岗位无优劣，精通即优势
网络安全三大岗位没有 “谁更高级”，只有 “谁更适合你”—— 渗透测试能快速体验 “找到漏洞的成就感”，安全运维能感受 “守护业务的责任感”，应用安全能发挥 “连接开发与安全的价值感”。
对新手来说，不用追求 “全栈”，先吃透一个岗位的核心技能：比如用 3-6 个月按路径学渗透测试，能独立完成靶机实战；或用同样时间学安全运维，能搭建监控系统。当你在一个方向上有 “可落地的项目经验”，比 “什么都懂一点但不精” 更容易拿到 offer。
记住，网络安全入行的关键不是 “学得多”，而是 “学得对、学得精”。
如何学习黑客/网络安全？
网络安全不是「速成黑客」，而是守护数字世界的骑士修行。当你第一次用自己写的脚本检测出漏洞时，那种创造的快乐远胜于电影里的炫技。装上虚拟机，从配置第一个Linux环境开始，脚踏实地从基础命令学起，相信你一定能成为一名合格的黑客。
如果你还不知道从何开始，我自己整理的282G的网络安全教程可以分享，我也是一路自学走过来的，很清楚小白前期学习的痛楚，你要是没有方向还没有好的资源，根本学不到东西！
下面是我整理的网安资源，希望能帮到你。
😝需要的话，可以V扫描下方二维码联系领取~
如果二维码失效，可以点击下方👇链接去拿，一样的哦
【CSDN大礼包】最新网络安全/网安技术资料包~282G！无偿分享！！！
1.从0到进阶主流攻防技术视频教程（包含红蓝对抗、CTF、HW等技术点）
2.入门必看攻防技术书籍pdf（书面上的技术书籍确实太多了，这些是我精选出来的，还有很多不在图里）
3.安装包/源码
主要攻防会涉及到的工具安装包和项目源码（防止你看到这连基础的工具都还没有）
4.面试试题/经验
网络安全岗位面试经验总结（谁学技术不是为了赚$呢，找个好的岗位很重要）
😝需要的话，可以V扫描下方二维码联系领取~
因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆
如果二维码失效，可以点击下方👇链接去拿，一样的哦
【CSDN大礼包】最新网络安全/网安技术资料包~282G！无偿分享！！！
