一、为什么选择网络安全？
网络安全行业正处于黄金发展期，2025年人才缺口达200万，平均薪资区间6k-15k，工作2年后可达8k+，5年经验突破12k+。无论是想转行还是提升技能，网络安全都是值得投入的优质赛道。
二、新手必学的4大核心基础
1. 操作系统基础（1-2周）
Windows系统：掌握常用命令（netstat、taskkill、icacls），学会排查可疑连接和恶意进程。Linux系统：重点学习Kali Linux，掌握基础命令（ls、grep、find、netstat），理解文件权限管理和日志查看方法。推荐使用VMware或VirtualBox搭建虚拟机环境。
2. 网络基础（1周）
必须掌握OSI七层模型和TCP/IP四层模型，理解HTTP/HTTPS、TCP/UDP、DNS等核心协议的工作原理。重点学习TCP三次握手、四次挥手，这是理解网络攻击的基础。使用Wireshark抓包分析，能看到网络通信的真实过程。
3. 数据库基础（2-3天）
学习MySQL基本语法（增删改查），理解SQL注入的原理。不需要学太深，能看懂SQL语句即可，重点是理解数据库如何与Web应用交互。
4. Web基础（1周）
了解HTML、CSS、JavaScript的基本概念，理解HTTP请求方法（GET/POST）、Cookie/Session机制。这是学习Web安全的前提，不懂Web就学不会Web渗透。
三、核心漏洞原理与实战
OWASP Top 10必学漏洞
SQL注入：理解联合查询、报错注入、盲注等攻击手法，学会使用Sqlmap进行自动化测试。这是Web安全最经典的漏洞类型。
XSS跨站脚本：区分反射型、存储型、DOM型XSS，掌握如何通过<script>标签注入恶意脚本，窃取用户Cookie。
CSRF跨站请求伪造：理解攻击原理和利用条件，学会防御方法（Token验证、Referer检查）。
文件上传漏洞：学习如何绕过文件类型检测，上传Webshell获取服务器权限。
四、必备工具清单（新手版）
工具类型 | 推荐工具 | 学习重点 |
|---|---|---|
端口扫描 | Nmap | 常用参数（-sV、-p、-O） |
Web渗透 | Burp Suite | Proxy、Intruder、Repeater模块 |
漏洞利用 | Sqlmap | 自动化SQL注入测试 |
流量分析 | Wireshark | 抓包分析HTTP、TCP协议 |
密码破解 | Hashcat | 弱口令爆破 |
五、实战靶场推荐
新手必刷靶场
DVWA：全球公认的经典漏洞靶场，包含SQL注入、XSS、文件上传等所有常见漏洞类型，支持全级别难度调整，新手必练。
Pikachu：国内知名靶场，界面全中文，操作简单，每个关卡都有详细原理讲解和利用步骤，非常适合零基础。
TryHackMe：在线渗透测试平台，引导式学习路径，像玩游戏一样解锁技能，每个挑战都配有详细教程。
CTFHub：国内良心CTF训练平台，收录历年经典题目，支持在线靶机直接操作，不用自己搭环境。
六、学习路线规划（3-6个月）
阶段1：筑基期（1-2个月）
完成操作系统、网络、数据库、Web基础学习，搭建实验环境，在DVWA靶场完成所有漏洞实验。
阶段2：Web安全入门（2个月）
深入学习OWASP Top 10漏洞，掌握Burp Suite、Sqlmap等工具的使用，能独立完成渗透测试流程。
阶段3：实战提升（1-2个月）
参与CTF比赛，在Hack The Box、TryHackMe等平台实战演练，尝试挖SRC漏洞赚赏金（务必在授权范围内）。
七、学习资源推荐
免费在线平台
Cybrary：提供免费网络安全课程和培训
OWASP：Web应用安全最佳实践和工具
Kali Linux：渗透测试专用操作系统
SecurityTube：行业专业人士的安全视频教程
书籍推荐
《图解TCP/IP》：用图讲清网络协议，比教材好懂10倍
《Web应用安全权威指南》：OWASP Top 10漏洞讲得透彻
《内网安全攻防：渗透测试实战指南》：内网入门经典
八、重要提醒
法律红线：所有工具只能在授权范围内使用，禁止对未授权网站进行扫描或测试。建议使用DVWA、Metasploitable等合法靶场环境练习。网络安全的前提是"合法合规"，明确"未授权渗透测试"等行为的法律后果。
学习心态：不要死磕厚教材，从实操切入；不要沉迷工具操作，原理才是根本；不要闭门造车，多加入行业群交流；不要追求"高大上"，先把基础漏洞练到极致。
就业方向：渗透测试/红队（适合喜欢实战）、安全运营/蓝队（适合细心分析）、合规与等保（适合追求稳定）