燕家猫很多人一上来就跟我说：“我想学黑客，最好一个暑假就能打穿哪个网站，顺便扫出一堆端口。”每次听到这种话，我都有点头疼。倒不是因为想打击谁，而是“黑客”这两个字被电影、论坛和营销号炒得太神了，反而把“网络安全”这个正儿八经的技术方向给整跑偏了。我自己就是从零基础一路摸过来的，中间踩过的坑不比谁少，所以这篇咱们不整虚的，就聊聊你以为的黑客、真正的网络安全，以及自学到底该先学什么、怎么学，适合所有准备入坑、或者刚入坑还一头雾水的人。
如果你以为网络安全就是整天拿着扫描器到处扫、在黑窗口里敲几行命令就能拿权限，那我劝你先停下来。真正的网络安全工程师，绝大多数时间不是在“攻”，而是在“防”，在写报告、跑基线、查日志、复盘漏洞。这篇文章我不敢说能让你变成什么大神，但至少能把“黑客”那层滤镜给你擦干净，给你一条不会走歪的自学路线。
1. 黑客的浪漫滤镜，摔碎在第几层？
1.1 你以为的黑客：电影、热榜和“黑客菜单”
很多新人脑子里的“黑客”是什么样？是电影里三分钟敲开银行系统，是新闻里“2026黑客黑家庭摄像头”，是各种论坛里传得神乎其神的“黑客菜单”“入侵工具包”。说实话，我当年也是被这些东西带进圈的，以为搞到一套工具就能呼风唤雨。后来真正接触这行才发现，那些所谓的“神奇操作”，九成是剧本，剩下的那一成也远没有想象中酷。
就拿“黑家庭摄像头”来说，一年到头总有类似的新闻，搞得好像黑客有多神。真去做应急溯源才发现，绝大多数案例压根不是高深漏洞，而是摄像头厂商默认口令没改、固件漏洞没修、设备直接暴露在公网。你以为的“黑客攻击”，其实就是用默认密码登了一下后台。这种事，网络安全圈内部叫“弱口令”，属于最底层的安全问题，跟“黑客技术”四个字一点关系都没有。
“黑客菜单”这种东西也是同样的逻辑。市面上确实有各种工具合集、命令脚本、一键扫描器，但真正能靠这些东西“黑”进去的，要么是目标太脆弱，要么是用的都是别人写好的自动化攻击链，你连原理都不懂。换句话说，你会用菜刀切菜，不代表你是厨师；你会双击运行一个工具，更不代表你能做渗透测试。
1.2 真正的网络安全工程师一天在干什么
我入行第三年才逐渐明白，真正的网络安全岗位，做得最多的事并不是“攻击”。初级安全工程师可能整天在对资产、查漏洞、配防火墙策略；渗透测试工程师拿到项目后，要先写授权书、画拓扑、理业务逻辑，再花大量时间做信息收集和人工测试，最后还要写一份几十页的报告，告诉开发“这里为什么有漏洞、怎么修、危害有多大”。
红队方向的同事看起来是“进攻”，但他们要在授权范围内，用尽所有合法手段去模拟攻击，目的是帮企业发现短板。蓝队方向的同事更累，天天盯着日志和流量分析，像侦探一样从海量告警里找出那一条真正需要处理的威胁。更别说还有合规审计、安全运维、应急响应这些方向，基本跟“黑客”两个字沾不了边，但都是网络安全行业里实打实的工作。
所以你问“网络安全学什么”，不能只回答“学攻”，还要学防守、学合规、学沟通、学写文档。这也是很多半路出家的人最不适应的地方：明明我技术还行，怎么天天在写报告？但现实就是这样，企业要的不是一个只会打点拿权限的“黑客”，而是一个能帮业务守住底线的安全工程师。
1.3 黑帽、白帽、灰帽到底怎么分
圈内习惯把“黑客”分成三种颜色。黑帽就是未经授权搞破坏、窃取数据的人，这是违法行为，没得洗。白帽可以理解为网络安全研究员或渗透测试工程师，他们发现漏洞后按流程提交给平台或厂商，拿赏金或者干脆就图个成就感。灰帽则卡在中间，可能会未经授权去探测系统，但目的不是为了搞破坏，有些甚至会告诉你漏洞在哪里，但这种方式仍然有法律风险。
很多新人容易犯的错，就是想先从“灰帽”开始，觉得自己不搞破坏，扫一下总没事吧。但实际上，只要没有授权，扫描、连接、测试都可能是违法的。哪怕你扫的是自家宽带路由器，只要策略没搞清，一样可能惹麻烦。所以我的建议很简单：手里没有书面授权，就不要对任何非自己所有的系统做测试。想练手，自己搭靶机，或者去SRC平台、CTF比赛、漏洞靶场里打，那里有正当的测试环境。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 别急着装Kali：先补齐这些底层基础
零基础的同学最容易犯的毛病，就是虚拟机装了个Kali Linux，然后对着里面的工具列表一顿乱点，以为这样就算入门了。结果遇到一个目标，Nmap扫出来一堆端口，Burp Suite抓包抓到一堆乱码，完全不知道下一步怎么办。为什么会这样？不是工具不好用，是你缺了底层基础。
2.1 网络协议：扫描器报“端口开放”，你得知道为什么
网络协议是网络安全的地基，尤其是TCP/IP、HTTP、DNS这些。很多新人看到Nmap显示某个端口开放就兴奋，但如果你不理解端口是什么、协议握手过程是怎样的，你连扫描结果都解释不清。
比如有热搜词问“黑客扫描工具一共发现了多少个端口？”这其实是一个外行问题。端口不是“发现”出来的，而是扫描器去主动连的。TCP端口一共65535个，Nmap默认只扫最常用的一千多个，你也可以指定-p-扫全部。扫描器会发送特定的探测报文，根据目标响应判断端口是open、closed还是filtered。这背后涉及TCP三次握手、SYN、ACK等概念，不懂这些，扫描结果在你眼里就是一堆数字。
所以零基础自学第一步，不是装Kali，而是先找一本计算机网络的书啃一啃，搞清楚数据包从A机器到B机器到底走了一条什么路。至少要知道IP地址、子网掩码、端口、协议族这些概念，不然后面学渗透测试就像没学过驾驶就直接上高速，早晚要出事。
2.2 操作系统和Web基础：漏洞大多长在“常识”上
第二个基础是操作系统。Windows和Linux你至少得熟悉一种，最好是Linux，因为大多数服务器、安全工具都跑在Linux上。你要会用命令行操作文件、管理用户权限、查看进程和日志。别一上来就只学攻击工具，很多漏洞利用完以后，你连退回Shell的权限看两眼日志都不会，那就尴尬了。
Web基础同样重要。为什么要学？因为现在主流业务都是Web应用，而OWASP Top10里的漏洞——SQL注入、XSS、文件上传、越权——基本都发生在Web层。如果你不懂前端页面是怎么提交数据的、后端接口是怎么处理请求的、Cookie和Session是怎么维持登录状态的，那你在SRC平台挖洞就会变得非常吃力。
比如最常见的越权漏洞，原理其实就是“后端没有校验当前用户是否有权限访问某个资源”。你拿A账号的Cookie去访问B账号的数据接口，如果接口没有鉴权，就算挖到漏洞了。这个逻辑很朴素，但前提是你得知道请求里带Cookie、带参数，以及后端可能“信任”这些信息。这就是Web基础知识的重要性。
2.3 编程能力：不求开发，但至少要会读代码、改脚本
网络安全工程师不用像开发一样天天写业务代码，但基本的编程能力必须有。我建议至少掌握这么几样：Python、SQL、HTML/JavaScript、Shell脚本。Python是安全圈最通用的语言，用来写PoC（概念验证）、解析流量、写脚本自动化；SQL是理解数据库注入的基础，你得知道SELECT、WHERE这些语句是怎么拼进查询里的，才能明白为什么用户输入会被当成代码执行。
这里多说一句“载荷”这个词。网络安全里常说的payload，翻译过来就是“有效载荷”，指漏洞利用时真正执行的那段代码或命令。比如SQL注入时，你会尝试拼接' OR 1=1 --，这串东西就可以理解为一个payload；XSS攻击时插入的<script>alert(1)</script>也是payload。理解payload，不只是会背一句两句，而是要知道它为什么会生效、怎么被防御。编程基础就是帮你搞清楚这些事情的最短路径。
3. 渗透测试工具：会用只是开始，懂原理才是入门
工具是绕不开的一环。但我想先说一句招黑的话：很多新人学工具，学的是“哪里下载”“怎么点击”“扫描结果怎么截图”，而不是“这个工具到底做了什么”。这状态很危险，因为你一旦遇到一个工具解决不了的问题，就彻底卡住了。
3.1 从Nmap开始：端口扫描结果怎么看
Nmap是最经典的扫描工具，但它的输出信息量很大。你扫一个目标，可能会看到端口号、服务名、版本号、状态。比如：
code复制nmap -sV -p- 192.168.1.10
在你自己搭的靶机或者授权范围内跑一下，输出会包含类似下面的内容：
code复制PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 8.2p1 Ubuntu
80/tcp open http Apache httpd 2.4.41
3306/tcp open mysql MySQL 8.0.20
这里不只是“发现端口”，你要能从结果里读出有价值的信息：22端口开着意味着什么？可能存在弱口令爆破风险；80端口开着，Web服务是什么版本，是否存在已知漏洞；3306数据库端口暴露出来是否合理？如果能连通，是不是弱口令？这些判断，比“发现了多少个端口”重要得多。
另外我特别提醒一点：扫描器不是万能的。Nmap识别服务版本，是依靠服务指纹库去匹配的，如果目标服务刻意隐藏指纹或者做了端口转发，结果就会不准。所以工具的输出只是参考，一定要手动验证。
3.2 Burp Suite、sqlmap、Nuclei：工具能帮你，也能害你
Burp Suite是Web渗透抓包改包的主流工具。新手要学会的不是按哪个按钮，而是观察请求和响应的关系。比如登录接口把密码放在POST请求正文里，你尝试在用户名处插入SQL注入payload，看看后端会不会报数据库错误。理解了请求包的结构，才算真的会用Burp。
sqlmap是自动化SQL注入检测工具，很多新人拿过来一条命令跑到底，跑出库名表名就觉得自己无敌了。但如果你不懂手工SQL注入的原理，遇到一个sqlmap跑不出来的复杂注入点，你就黔驴技穷了。所以我的建议是：工具当辅助，手工原理当主修。
Nuclei这类漏洞扫描器最近很火，原因是它基于模板，可以快速检测大量已知漏洞。但它的误报率也不低，尤其是很多模板只是“探测指纹”就报告漏洞，需要人工二次验证。直接用工具扫描线上目标同样需要授权。不要觉得“我只是扫一下，没做什么”，扫描行为本身都已经算作对方系统的一部分了。
3.3 Armitage、Cobalt Strike、菜刀：攻击框架/Webshell工具的边界
再聊聊几个容易被误解的“神话工具”。
Armitage是Metasploit的图形化界面，可以管理多个MSF会话，甚至能通过网络共享目标信息。很多新人看到图形化界面就以为能点鼠标打天下，实际上Armitage只是把MSF的模块封装了一下，你依然要理解漏洞利用模块是怎么被选中的、payload怎么设置、目标系统是否满足条件。不懂这些，Armitage输给你的可能只是一堆“超时”“失败”。
Cobalt Strike，圈内经常简称CS，是红队模拟中常用的商业框架，用于网络对抗和权限维持模拟。它本身是给授权红队用的，但在黑产里也被滥用，所以市面上很多帖子里把它吹得神乎其神。我建议零基础暂时不要碰这类重型框架，因为部署、木马免杀、流量伪装、阵营对抗这些知识，任何一个单独拿出来都能学很久，不是点几下就能上手的。
“菜刀软件”是老一辈常说的Webshell管理工具，用来连接已经上传到网站服务器上的Webshell，以图形界面操作文件、命令、数据库。它确实效率高，但想用它，你得先有一个Webshell，而Webshell是怎么上传上去的，才是核心。你连文件上传漏洞的绕过逻辑都不懂，用了菜刀也等于零。这里必须强调：Webshell更多是渗透测试授权后验证漏洞的工具，用它连接未经授权的服务器是违法行为。
3.4 工具合集和论坛资源怎么辨别好坏
很多人喜欢下载“渗透测试工具合集”，这本身没问题，但尽量去工具官方网站或开源仓库下载，不要随便点论坛里的网盘链接。安全圈虽然好人多，但也有人专门把后门捆绑在“破解版工具”里，你装了一个扫描器，结果自己的电脑变成了别人的肉鸡，这种事我见过不止一次。
论坛可以逛，但我建议要有目的性地逛。比如想知道某个漏洞怎么分析，就去搜厂商通告或技术博客；想看某些工具的用法，先看官方文档；想刷题，去CTF平台或靶场。论坛里灌水的内容多，真正有价值的技术帖往往被“好东西，感谢分享”淹没了。你唯一要记住的是：别把论坛当老师，把官方文档和公开漏洞分析当老师，论坛只是找线索的地方。
4. 挖不到SRC漏洞，不是你不努力，是切入点没找对
很多新人学了一段时间，想找个地方练手，最合适的就是SRC漏洞平台。SRC全称Security Response Center，也就是企业的安全应急响应中心，他们开放出自己的业务系统，请白帽子提交漏洞，审核通过后给奖励。这既解决了新手缺授权靶场的难题，又能让学习有真实反馈。
4.1 SRC平台是什么，为什么值得练
目前国内比较常见的渠道有补天漏洞响应平台、漏洞盒子、教育行业漏洞报告平台，还有不少大厂自己的SRC。不同平台的规则不太一样，有些侧重面向学校或特定企业的业务，有些只能测试指定域名和范围，绝对不允许超出范围测试。你提交漏洞之前，一定要先看授权范围，不然挖到别人子域名上，可能好心办坏事。
SRC平台值得练的原因很简单：真实业务系统比靶场复杂，你会在里面遇到各种各样的业务逻辑漏洞、越权、信息泄露，这些经验是靶场给不了的。而且提交漏洞的过程中，你会被迫学会写报告——这个能力在实战中太重要了，很多技术好的新人就是栽在报告上。
4.2 新人最容易出成果的三类漏洞
如果让我给新人推荐优先关注的方向，我会说：越权、信息泄露、弱口令/默认口令。
越权漏洞在上面提到过，就是通过修改请求里的ID、用户名、订单号等参数，去访问本不属于当前用户的数据。这类漏洞在很多业务系统里层出不穷，因为开发人员总会忘记在部分接口做权限校验。
信息泄露漏洞也很常见，比如某个接口返回了多余的用户手机号、内部日志、源码路径，或者前端JS文件里写了云服务的AccessKey。这些东西看起来不起眼，但往往能成为更严重漏洞的跳板。
弱口令/默认口令，听起来很low，但永远不要小看它。很多企业内部系统的后台地址不对外公开，但总有一些暴露在公网，用户和管理员密码都设置成123456、admin/Admin@123。这种漏洞审核通常也算数，虽然要不了高分，但对新手来说，第一次挖到有效漏洞的成就感，比啥都重要。
4.3 漏洞报告怎么写才不算白挖
SRC报告不是随手写两句话就完事。我审过不少漏洞报告，最怕看到“我打开这个网站，发现存在SQL注入”。然后呢？是哪个URL？哪个参数？我就算想复现都得自己猜。
一份合格的漏洞报告至少要包含四块内容：漏洞地址和参数，复现步骤，漏洞原因和危害，修复建议。复现步骤要写得让审核员照着做一遍就能得出相同结果，不要省略中间任何一步。尤其要注意：截图要截清楚请求包和响应包，证明你的操作确实影响了数据。危害不能乱写，是能拿到用户数据，还是只能弹一个无伤大雅的弹窗，要如实描述。
很多新人说，我明明挖到了漏洞为什么被忽略？大概率就是报告写得不专业，或者危害评估过高。发报告前站在审核员角度读一遍，问自己：“我能不能根据这个报告复现？”如果答案是否定的，就继续改。
4.4 一个暑假能成为黑客吗？
我把这个问题单独拎出来，是因为“一个暑假能成为黑客吗”这种热搜词的背后，藏着太多人的急切。一个暑假能不能入门？能。能不能成为真正的黑客？不能。
一个暑假的时间，如果路线对、每天都投入大量时间，你完全可以掌握网络基础、学会抓包、能看懂常见Web漏洞原理，甚至可能在公益SRC上挖到一两个低危漏洞。但“黑客”这个词代表的不是学会几个工具，而是对系统、网络、应用有深入理解，能根据具体业务环境设计攻击链路和防护策略。这种能力没有两三年项目积累，很难形成。
更重要的是，一个暑假如果没耐心打基础，只想学工具，那大概率是浪费时间。技术没有捷径，但有路径。先基础再工具，先模拟再实战，先写小白文再读漏洞分析，这才是最快的路。
5. 想干好网络安全，光会攻不够：防守侧你要懂这些
再给你提个醒：不要只盯着“攻”。面试的时候，很多候选人一聊到渗透就两眼放光，但你问他“如果你中了勒索病毒，第一步怎么应急响应？”“线上业务需要做哪些安全基线配置？”“日志里看到一堆扫描流量，怎么判断是不是攻击？”他就开始支支吾吾了。可这些才是安全岗位日常的真问题。
5.1 安全基线配置：从配置层面堵住大多数弱口令漏洞
安全基线配置，指的就是为服务器、网络设备、数据库、应用系统设置一套“最低安全标准”。它不像漏洞利用那么炫酷，却特别实用。比如Linux服务器的基线检查，通常会关注账号口令策略、登录失败锁定策略、SSH是否允许root远程登录、是否存在多余账号、用户sudo权限是否过大、关键日志是否开启等。
我举个简单例子，下面这段是Linux系统里常见的密码策略配置：
code复制password requisite pam_pwquality.so retry=3 minlen=12 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1
意思是密码最小长度必须大于等于12位，而且要包含数字、大写字母、小写字母、特殊字符中的至少三类。别看只是一个简单配置，很多系统被人通过弱口令打进服务器，就是因为这种策略没开。
所以学习时，不要觉得基线配置无聊。真正在企业里，安全工程师很多时间都在看这些“硬骨头”。你看着一台服务器说“它有SSH弱口令漏洞”，但如果对方企业基线配得好，这个漏洞就根本不存在。攻击人的视角和防御人的视角，最后都会汇聚到“基础配置”这个点上。
5.2 流量分析：Wireshark里看到“黑客”来过
“分析流量”是蓝队和应急响应里绕不开的技能。Wireshark是最常用的工具，但很多新手打开它是懵的，满屏的数据包不知道看什么。我可以给一个最基础的思路：先确定时间范围，再看IP地址，最后看HTTP、DNS、TCP等协议的关键字段。
比如你想看某个攻击者是否在扫描端口，可以在Wireshark里用过滤器看TCP握手包：
code复制tcp.flags.syn == 1 && tcp.flags.ack == 0
大量来自同一个IP的SYN包发往不同端口，说明对方可能在进行端口扫描。如果发现大量到某个端口的连接长时间挂着，也可能是可疑行为。再比如排查Web攻击，可以直接过滤HTTP请求：
code复制http.request.method == "POST"
看请求路径和参数里有没有敏感SQL语句、尝试目录穿越的../、或者类似<script>的内容。这些都是很基础但很有用的分析方法。
我自己带新人时，会让他们先下载一些公开的恶意流量样例包，自己判断哪些是正常通信、哪些是攻击流量。第一次能找到“攻击者正在下载payload”的节点时，那种成就感和扫描出端口完全不一样。
5.3 安全大事件与IoT风险：家庭摄像头为什么总上热搜
“2026黑客黑家庭摄像头”这种热搜，其实应该换个角度理解：IoT设备安全越来越重要了。摄像头、路由器、智能门锁，这些设备算力有限，厂商往往更注重功能和成本，安全性做得不够。默认密码、固件不更新、远程管理端口直接暴露公网，都是常见问题。
对于学习者来说，IoT安全是个非常好的方向，因为设备有限、视频教程多，还可以用来研究固件提取、命令注入、缓冲区溢出等底层漏洞。但注意，研究自己买的设备没问题，研究邻居家的摄像头就是违法了。我一直跟新人强调，技能越强，法律边界越要清楚。想在公开场合展示能力，就去打CTF比赛、去SRC平台，或者写漏洞分析报告赚口碑，而不是拿真人设备秀操作。
每年的安全大事件也值得关注，比如勒索软件、供应链攻击、数据泄露等等。这些东西看多了，你会发现背后的套路反反复复：要么是弱口令、要么是已知漏洞没修复、要么是员工被钓鱼。所谓“大事件”，大多是基础安全问题放大后的结果。学网络安全，不能只追热点，要学会从热点里看到本质。
5.4 漏洞原理比利用工具更重要：OWASP Top10
面试的时候，很多HR和技术负责人喜欢问OWASP Top10，不是因为这东西有多新，而是因为它把Web安全里最高频的漏洞类型都列出来了。SQL注入、失效的身份认证、敏感数据泄露、XML外部实体、失效的访问控制、安全配置错误、XSS、不安全的反序列化、使用含有已知漏洞的组件、日志和监控不足。
你要能讲清楚每一个漏洞的成因、场景、利用姿势、修复手段。比如SQL注入：成因是开发者把用户输入直接拼接进SQL语句，修复用参数化查询。比如XSS：成因是后端没有对用户输出做编码，修复在输出位置做上下文编码。这些原理性内容，比背工具命令重要得多。
从学习路径上讲，建议把OWASP Top10作为“Web安全地图”，每学一个漏洞类型，就找对应的靶场题做一遍，再做一遍修复模拟。慢慢地你会发现，很多工具扫描出来的“漏洞”，其实都是这些Top10原理的不同变体。原理通了，工具就会从“黑盒”变成“白盒”。
6. 考证、打比赛、找工作：把技能换成饭碗
学到一定程度，大家都会关心同一件事：怎么靠这个吃饭？考证、参加比赛、写简历，是绕不开的三件事。
6.1 网络安全工程师考证怎么选
证书这种东西，作用不是“让你变强”，而是“让简历通过筛选”。国内认可度比较高的入门证书有NISP（国家信息安全水平考试）、CISP（注册信息安全专业人员）等。想走渗透测试方向，业内比较认可的是OSCP，它是一场上机实操考试，需要真刀真枪突破靶机，含金量很高，但考试费用也不低。CISSP则偏向安全架构和管理，适合有一定工作经验的人考。
我的建议是：在校生或者零基础，先别急着考一堆证，性价比不高。先用NISP了解一下基本概念，攒够经验和项目之后再考CISP或OSCP。证书只是敲门砖，技术面试时问你一份漏洞报告、问你Linux日志分析，这些问题答不上来，证书再多也没用。
6.2 比赛值得打吗：长城杯、CTF
CTF比赛是很多新人学习路上的加速器。长城杯网络安全大赛是国家级赛事，更偏实战，包含渗透测试、漏洞挖掘、应急响应等方向。也许你觉得“我这种菜鸟能打比赛吗”？其实很多比赛都有新星赛、预选赛，报名门槛不高，打一次能逼着你在压力下快速查资料、快速解决问题，这种刺激是自学给不了的。
CTF里的PWN、Crypto、Reverse方向偏底层，Web和Misc方向更适合刚入门的人。不用每个方向都学，选一两个切入就好。比赛成绩也不是最重要的，重要的是每一道题出来的WriteUp（做题记录）要写。写WriteUp的过程，等于把解法重新梳理了一遍，也方便后来人学习。
6.3 面试常见问题与学习路线
网络安全面试题五花八门，但核心不会跑。我给你列几个高频的，你自己感受下：
- 渗透测试的完整流程是什么？一般会答：信息收集、漏洞发现、漏洞利用、权限提升、权限维持、痕迹清理、报告输出。但实际工作中，后面几步要视授权范围而定。
- SQL注入的原理和修复方式是什么？参考OWASP Top10。
- 收到一封可疑邮件，怎么判断是不是钓鱼邮件？看发件人地址、域名、链接编码、附件后缀，还要看邮件头里的SPF/DKIM记录。
- 服务器被植入挖矿程序，怎么排查？从CPU占用、进程、登录日志、定时任务、启动项开始排查。
- 基线配置里，SSH为什么禁止root直接登录？因为root账号是高权限目标，禁用后攻击者至少要多一步提权。
如果你能把这些问题都答明白，基本功已经比很多人扎实了。但学习路线不能东一榔头西一棒子。我给一个比较稳的路线：基础网络+操作系统（1-2个月），Web前后端基础+OWASP Top10漏洞原理（2-3个月），靶场练习+工具使用（2个月），Nmap/Burp/Nuclei等基础工具，然后开始接触SRC公益项目，积累实战和报告经验（3个月以上）。期间穿插学Python、读漏洞分析文章、写WriteUp。
从岗位方向看，渗透测试是很多人入行的第一站，但安全开发、安全运维、安全咨询、应急响应也都在大量招人。不要被“只有渗透测试才算网络安全”这个想法限制住。你擅长写代码，就去做安全开发；你擅长分析日志，就去安全运营；你擅长写文档、沟通，合规审计方向也很有前景。
7. 凭经验说几句真心话
最后再聊点我在实际带人过程中看到的问题。
如果你真的想自学网络安全，我劝你少看那些“黑客论坛”里的装X帖，少囤“渗透工具合集”，多沉下心去啃基础。一个真正能打的人，不是因为他有多少工具，而是因为他能理解系统底层逻辑，能用最小的动作完成最有价值的验证。今天你会用Nmap扫端口，明天你会用Burp抓包，但如果你连TCP握手都解释不清楚，连一个简单越权都看不出问题在哪，那些工具对你来说就只是玩具。
我也见过不少新人，学了三个月就跑去骚扰别人的网站，美其名曰“练手”。这不是在学技术，这是在把自己往牢里送。网络安全行业最看重“信任”，一个没有底线的人，技术越好越危险。所以无论你学到哪一个阶段，请先记住一句话：一切测试都要有授权。自己搭靶机、参加比赛、去SRC平台，能练出来的真本事一点都不会少。
还有一个特别容易被忽略的点：写文档和复盘的能力。我每做完一个项目，都要写一份文档记录当时的思路、踩过的坑、最后怎么解决的。很多知识点当时觉得记住了，过两个月就忘了，但写下来以后，它就变成了你自己的东西。这对后面面试和做项目都会有很大的帮助。
这篇东西我写得比较长，其实就是想把“黑客”二字的神话打碎，也把“网络安全”的轮廓给你描出来。自学这条路不难，但也不快，你只要方向别跑偏，剩下的就是时间的事。希望几个月后，你能回来跟我说：我已经在SRC平台提交第一个有效漏洞了。那时候，你才算真正入了网安的门。