会php学aspx技巧_收集安然的进修倾向和路线是怎么样的

最近有同学问我，网络安全的学习路线是怎么样的？

废话不多说，先上一张图镇楼，看看网络安全有哪些方向，它们之间有什么关系和差异，各自须要学习哪些东西。

在这个圈子技能门类中，事情岗位紧张有以下三个方向：

安全研发 安全研究：二进制方向 安全研究：网络渗透方向

下面逐一解释一下。

下面的卡片可以免费领取网络安全干系的学习资料，帮助大家在学习的过程中少走弯路:

【你要的网络安全知识，戳这里！
！
！
】

你可以把网络安全理解成电商行业、教诲行业等其他行业一样，每个行业都有自己的软件研发，网络安全作为一个行业也不例外，不同的是这个行业的研发便是开拓与网络安全业务干系的软件。

既然如此，那其他行业通用的岗位在安全行业也是存在的，前端、后端、大数据剖析等等，不过除了这类通用开拓岗位，还有一部分与安全业务紧密干系的研发岗位。

这个分类下面又可以分为两个子类型：

做安全产品开拓，做防 做安全工具开拓，做攻

防火墙、IDS、IPS WAF（Web网站运用防火墙） 数据库网关 NTA（网络流量剖析） SIEM（安全事宜剖析中央、态势感知） 大数据安全剖析 EDR（终端设备上的安全软件） DLP（数据泄露防护） 杀毒软件 安全检测沙箱

总结一下，安全研发的产品大部分都是用于检测创造、抵御安全攻击用的，涉及终端侧（PC电脑、手机、网络设备等）

开拓这些产品用到的技能紧张以C/C++、Java、Python三大技能栈为主，也有少部分的GoLang、Rust。

安全研发岗位，相对其他两个方向，对网络安全技能的哀求要低一些（只是相对，部分产品的研发对安全技能哀求并不低），乃至我见过不少公司的研发对安全一无所知。
在这种情形下，如果除了基本的开拓功底以外，对网络安全技能有所理解，自然会是你口试这些岗位时的加分项。

二进制安全方向，这是安全领域两大技能方向之一。

这个方向紧张涉及到软件漏洞挖掘、逆向工程、病毒木马剖析等事情，涉及操作系统内核剖析、调试与反调试、反病毒等技能。
由于常常都是与二进制的数据打交道，以是久而久之用二进制安全来统称这个方向。

这个方向的特点是：须要耐得住寂寞。

比不上安全研发可以有实实在在的产品输出，也比不上网络渗透方向听起来的狂拽炫酷，这个方向更多韶光是在默默的剖析和研究。

以漏洞挖掘为例，光是学习五花八门的攻击手腕就须要花不少的韶光。
在这个领域，为了研究一个问题，可能花费数月乃至数年韶光，这绝非一样平常人能坚持下来的。
不仅如此，不是勤奋就可以成功，更多还要靠天分。

像腾讯几大安全实验室的掌门人，业界有名的TK教主、吴石这些人物，他们已经深谙漏洞挖掘的奥义，并将这门绝技交融贯通，做个梦都能想到新的玩法。
不过像这样的天才实在是少之又少，绝大多数人都无法企及。

如果说程序员是苦逼的话，那二进制安全研究便是苦逼Plus

这个方向更符合于大部分人对“黑客”的认知，他们能够黑手机、黑电脑、黑网站、黑做事器、黑内网，万物皆可黑。

比较二进制安全方向，这个方向初期更随意马虎入门一些，节制一些基本技能，拿起各种现成的工具就可以开黑了。

不过，要想从脚本小子变成黑客大神，这个方向越今后，须要学习和节制的东西就多了。

网络渗透的方向更倾向于“实战”，因此对技能在广度上有更高的哀求，从网络硬件设备、网络通信协议、网络做事（web、邮件、文件、数据库等）、到操作系统、攻击手腕等等都须要理解。
更倾向于一个全能型的打算机专家，将各种技能交融贯通，以用于“实战”。

下面开始说说学习路线的问题，内容有点长，可以先点个赞，这样不迷路及时找得回来哦。

下面以网络渗透为例，看一下一个新手从零根本开始，要学哪些东西，以及详细的学习路线是什么？

先来一个大局图，从全局上整体把握：

图片有些大，上传后被压缩得厉害。
想要获取高清图的朋友可以来这里：

肝了7天，超强的网络渗透学习路线图！

在这张图路线图中，一共划分了六个阶段，但并不是说你得学完备部才能上手事情，对付一些低级岗位，学到第三四个阶段就足矣。

下面的内容，一定要结合上面这张图看效果才最好，建议在浏览器中新建一个tab页面，打开那张图，结合着看。

第一个阶段——石器时期，针对的是纯新手小白刚刚入场。
在这个阶段，紧张是打根本，须要学习的有五部分内容：

Windows上根本的一些命令、PowerShell的利用和大略脚本编写，以及Windows往后常常会打交道的几个主要组件的利用：注册表、组策略管理器、任务管理器、事宜查看器等。

除此之外，学习在Windows上面搭建虚拟机，学会安装系统，为接下来学习Linux做准备事情。

网络安全，一定要与Linux常常打交道，我看到很多新人一上来就随着一些培训班学习Kali，学的云里雾里的。
连基本的Linux观点都没建立起来，就急着学Kali，这属于还没学会走路就去学跑步，本末倒置了。

在根本阶段，紧张以利用为主，学习文本编辑、文件、网络、权限、磁盘、用户等干系的命令，对Linux有一个基本的认知。

网络安全，打算机网络肯定是非常主要的存在。
作为根本阶段，这一小节紧张从宏不雅观长进修打算机网络，而不是去世扣某一个协议的某些字段意义。

首先从局域网出发，理解打算机通信的基本网络——以太网，局域网内是如何通信的？集线器、交流机有什么差异？MAC地址、IP地址、子网、子网掩码分别是做什么用的？

随后引出更大的广域网、互联网，什么是网络通信协议，通信协议分层的问题，通过七层和四层模型快速建立起打算机网络的根本观点，各层协议的浸染，分别有哪些协议，这些协议在当今的互联网中详细是怎么运用的。

网络渗透中非常主要的一个组成部分便是Web安全，要学习Web安全，得先从Web前端根本开始入手。

这一小节非常大略，便是学习最原始的Web前端三板斧：HTML+CSS+JS的开拓利用，为将来学习Web干系的安全知识打下根本。

这一小节是相对偏实际动手多一些，须要自己多动手进行一些网页编程，尤其是JavaScript的熟习节制，理解Ajax是什么东西，常用的jQuery库也学习一下，这都是Web前端中非常根本和常用的内容。

根本阶段的末了一部分，可以来打仗一些数据库的根本知识了。

这个阶段紧张学一些理论知识，重点节制库、表、索引等观点，然落后修SQL的编写，学会增编削查数据。
暂时不用编程来操作数据库。

度过了石器时期，你已经储备了一些打算机的根本知识：操作系统的利用，网络协议，前端根本，数据库初识，但这间隔做网络安全还不足，在第二个青铜阶段，你还须要再进一步学习根本，在第一阶段之上，难度会开始逐步上升。

这一阶段须要学习的知识有：

在前面的石器时期，咱们初步打仗了网页编程，理解了网页的基本事理。
不过那时候是纯前真个，纯静态的网页，没有打仗后端。
在这个进阶的阶段，你要开始打仗Web后真个内容了。

首先从常用的两大主流Web做事器出发，学习Apache和Linux的基本知识，随后引出动态网页的基本事理，从CGI/Fast-CGI过渡到后来的ASP/PHP/ASPX/JSP等动态网页技能，理解它们的发展历史，演化过程和根本的事情事理。

末了再学习一些Web开拓中的根本知识：表单的操作、Session/Cookie、JWT、LocalStorage等等，理解这些基本的术语都是什么意思，做什么用，办理了什么。

学习Web后端开拓，得搭配学习一个后端开拓措辞才行。
在这一小节，选择从PHP入手。

不过要记住，这里选择PHP不是让你往后从事PHP的后端开拓，也不是说PHP现在有多盛行，而是特定历史背景下，PHP干系的网站安全问题非常具有代表性，选择这门措辞更方便我们研究安全问题。

由于学习的目的不同，以是在学习方法上和普通的后端开拓就有所不同了。
在这里咱们学习一下语法根本，基本的后端要求处理，数据库访问，然后再打仗一下常用的ThinkPHP框架即可，当然如果你有兴趣，学的更深入当然更好。

第二阶段须要再充足一下打算机网络的学习。
这一次，重点把精力放在HTTP/HTTPS以及抓包剖析之上。

Linux上的tcpdump必须节制，包括常见的参数配置。
然后重点学习Wireshark剖析数据包，用Fiddler抓取剖析加密的HTTPS流量。

通过在抓包软件下查看通信流量，对打算机网络的认识从抽象变得具象。

接着，来理解一些网络安全领域内常常打交道的编解码技能和加解密技能。
包括base64编码、对称加密、非对称加密、哈希技能等等。

理解它们根本的观点、做什么用的，办理什么问题，末了再理解下事情事理。

推举书本：《加密与解密》

现在进入第三个阶段——白银时期，激动民气的时候就要到来了，在这个阶段，我们开始全面学习真正的网络安全技能了，前面两个阶段打下的根本，在这个阶段，也将派上用场。

这一阶段须要学习的知识有：

有了前面的Web前端和PHP编程的根本，可以来正式学习Web安全了。
Web安全领域内几大范例的攻击手腕：SQL注入、XSS、CSRF、各种注入、SSRF、文件上传漏洞等等，每一个都须要详细学习，一边学习理论，一边动手实践。

千万把稳别拿互联网上的网站来攻击学习，这是违法的行为。
自己可以在虚拟机中搭建一些包含漏洞的网站（网络上有很多可以下载来玩），拿自己建的网站练手。

前面学习了一些Web安全的攻击手腕，但光有这些还不足，当我们面对攻击目标后，如何探求攻击点，获取目标的信息至关主要。

这些信息包括：目标运行了什么操作系统，开放了哪些端口，运行了哪些做事，后端做事是什么类型，版本信息是什么等等，有哪些漏洞可以利用，只有获取到了这些信息，才能有针对性的制订攻击手段，拿下目标。

常见的网络信息扫描包括端口扫描、网站后台扫描、漏洞扫描等等。
须要学习常用的扫描工具以及它们的事情事理。

除了上面须要扫描的信息，在网络安全中，常常还须要调研很多信息，比如网站的注册信息、干系联的人物、网站内部的内容检索等等。
这就须要学习节制信息搜集和社会工程学的干系技能。

whois信息用来查询域名信息，shodan、zoomeye、fofa等网络空间搜索引擎检索IP、域名、URL等背后的信息，Google Hacking利用搜索引擎来检索网站内部信息，这些东西都是在网络信息搜集中常常用到的技能。

在网络攻击中，当扫描到目标开放的做事后，最直接的便是想要登录进去。
常见的做事有SSH、RDP、MySQL、Redis、Web表单等等。

这个时候，暴力破解常日会派上用场，通过利用各种做事常见用户名密码组成的字典，通过程序暴力破解。

常用的爆破工具有hydra、超级弱口令，其余还有一个mimikatz，常用来获取Windows系统的密码。

上一个阶段，学习了一些安全攻击技能，在这一个阶段，须要学习一下安全防御和安全检测技能，安全具有攻防两面性，缺一不可。

首先要学习的便是WAF——Web运用防火墙。

Web安全学习的是通过Web技能攻击打算机系统，WAF便是检测和防御这些安全攻击。
正所谓心腹知彼才能百战百胜，作为攻方，要节制WAF的事情事理，找到弱点绕过检测，作为守方，须要不断加强安全检测和防御能力，有效的创造和抵御Web攻击。

须要学习当下主流的WAF软件所采取的架构比如openresty、modsecurity，以及紧张的几种检测算法：基于特色的、基于行为的、基于机器学习的等等。

WAF紧张针对的是Web干系的安全攻击，到这一小节，将视野进一步拓展到全体网络协议栈，TCP挟制、DNS挟制、DDoS攻击、DNS隧道、ARP欺骗、ARP泛洪等等，须要节制这些传统经典攻击手段的事理，搭建环境实践，为后续的内网渗透打下根本。

其余作为防守的一方，还须要学习通过网络流量剖析技能来进行安全检测，理解常用的网络剖析技能，检测框架，规则语法，对往后从事安全干系开拓或安全防御事情进行储备。

通过日志来创造攻击行为是一种最常见的行为，攻击者的Web要求，系统登录，暴力破解考试测验等等都会被系统各种软件记录在案，攻击者得手后也常常会抹除干系的日志记录，以是学习节制这些日志，是攻防两队的人都须要学习的技能。

常见的日志有系统登录日志（Windows、Linux）、Web做事器日志、数据库日志等等。

在这个阶段，是时候来学习一些Python编程开拓了。
虽然网络安全不用常常做大量的工程开拓，但节制基本的编程能力，可以用来编写爬虫、数据处理、网络扫描工具、漏洞POC等等，都是非常有用的，而浩瀚编程措辞中，Python无疑是最适宜的。

这个阶段的末了一部分，来学习理解一些浏览器侧的安全知识，夯实Web安全中与浏览器干系的漏洞攻击。

须要重点节制IE、Chrome两款最主流的浏览器特性，浏览器的沙盒机制是什么，同源策略和跨域技能等等。

前面Web安全干系的攻击都是一些很多年的经典手腕了，经由多年的发展已经相称成熟，干系的漏洞早已不如以前多，现在很多时候的攻击，都是依赖各种各样的第三方组件漏洞完成的，以是学习研究这些常见第三方组件的漏洞，一方面节制这些攻击手腕用于实战中利用，另一方面举一反三，对从事漏洞挖掘的事情也是非常有帮助的。

研究的工具紧张涵盖目前互联网做事中实际利用的一些工程组件，比如Java技能栈系列Spring百口桶、SSM、Redis、MySQL、Nginx、Tomcat、Docker等等。

网络渗透中，攻陷一个点后，只是一个开始，攻入往后如何转移，掌握更多的节点，是内网渗透研究学习的范畴。
范例的如当年的永恒之蓝病毒，通过SMB协议漏洞，快速扩散传播，造成了大面积的中招。

内网渗透中要学的东西既多且杂，难度要上升不少，但这是做网络渗透的非常主要的一块儿，必须多啃一啃。
这一部分理论较少，偏实战性多一些，须要多搭建环境仿照学习。

通过web等手段渗透进入打算机后，由于各种限定缘故原由，常常会有提权的需求，还会涉及到许多跟操作系统安全机制紧密干系的内容，以是学习一些操作系统的安全知识也是非常有必要的。

像Windows、Linux上各自的权限管理机制，提权方法和常用的漏洞，工具等等

末了，再学习一些虚拟化技能干系的知识，应对可能须要从虚拟机中逃逸的场景。

学习利用这两个神器，将大大提升攻击效率，是网络渗透职员居家旅行必备之选！

到了网络渗透的后期阶段，想成为一个安全高手，绝不只是因循守旧在自己善于的领域，须要多学习网络安全的其他领域，拓展自己的知识面。

比如二进制漏洞攻击、逆向工程、木马技能、内核安全、移动安全、侧信道攻击等等，当然在学习的时候，不用像专业方向的同学那么深入，但须要阅读理解，丰富自己的知识面，构建全方位的网路安全知识技能栈。

以上便是我分享的网络安全学习路线了，希望对自学的你有一些启示和帮助。

新入行的朋友自学不随意马虎，我也是这样一起走过来的，在这个过程中网络整理了不少学习资料，里面有：

1、很多已经买不到的绝版电子书 2、安全大厂内部的培训资料 3、国内外顶级安全大会的演讲PPT 4、顶级安全研究团队发布的研究论文 5、各大顶级安全论坛精华帖

现在免费分享给自学的你

须要的同学可以点赞关注后 私信【资料】即可免费领取

如果感到有所帮助，欢迎帮忙给俺点个赞哦～

罗马不是一日建成的，精雕细琢才会把罗马培植得更俊秀！
目前市情上，网络安全可学习内容较少，不像开拓措辞等那么广泛，建议大家也可以多去关注一些视频、论坛、文章及书本等做好入门，万事开头难，有什么问题可以多多提问。