前言

首先，你要高度熱愛網(wǎng)絡(luò)安全這個(gè)領(lǐng)域，你要問問自己是否是真的熱愛這個(gè)行業(yè)，自己是否會(huì)因?yàn)楦鞣N了理由半途而廢，放棄掉你的熱愛。衡量熱愛的方法特別特別地簡(jiǎn)單：看看自己主動(dòng)花了多少時(shí)間在哪些事情方面，重點(diǎn)：『主動(dòng) + 時(shí)間』。兩個(gè)條件都不能滿足的，請(qǐng)自行將自己PASS掉，別浪費(fèi)時(shí)間。其次滲透行業(yè)最注重的就是實(shí)戰(zhàn)能力，并且知識(shí)更新較快，例如一個(gè)廠商更新了補(bǔ)丁就要去跟進(jìn)，去掌握可能成為薄弱的滲透測(cè)試點(diǎn)，利用Nday作為突破。這也導(dǎo)致了你要有時(shí)間去搜集去跟進(jìn)，各大網(wǎng)絡(luò)軟件廠商的更新內(nèi)容。

滲透測(cè)試的技能點(diǎn)多的數(shù)不過來，比如要搞WEB滲透，你就要去了解一個(gè)東西，你要先知道他是怎樣構(gòu)成的。那么，WEB滲透前期的入門階段需要涉及到那些內(nèi)容那？

通信協(xié)議：TCP、HTTP、HTTPS

操作系統(tǒng)：linux、windows

服務(wù)架設(shè)：Apache、Nginx、LAMP架構(gòu)

數(shù)據(jù)庫(kù)：MySQL、SQL Server、Oracle

編程語言：前端語言（html/css/JAVAScript）、后端語言（php/Java/ASP/Python/ target=_blank class=infotextkey>Python）

上面的內(nèi)容，如果全部都深入學(xué)習(xí)，估計(jì)很大一部分人都會(huì)對(duì)安全行業(yè)失去興趣，所以才有了很多做滲透測(cè)試的都是半路出身，本身已經(jīng)對(duì)Web開發(fā)技術(shù)非常的熟悉，或者本身就是做運(yùn)維的，對(duì)網(wǎng)絡(luò)的架構(gòu)有熟悉的認(rèn)知。

但學(xué)習(xí)其實(shí)并非完全沒有捷徑，這個(gè)捷徑就是知識(shí)結(jié)構(gòu)的整體藍(lán)圖，知識(shí)間的相互依賴關(guān)系和學(xué)習(xí)的先后次序，但是一開始就能擁有上帝視角的人那真的太幸運(yùn)了。所以我整理和集合了一下自己學(xué)習(xí)滲透測(cè)試時(shí)的先后順序和依存關(guān)系整理出了一份腦圖，讓同學(xué)們也可以從全景的角度去認(rèn)識(shí)這門技術(shù)，讓你也可以成為那個(gè)幸運(yùn)的人。

當(dāng)然所謂的上帝視角，也只不過時(shí)一個(gè)知識(shí)體系的框架，讓你更加容易的入門和學(xué)習(xí)，更重要的依然是文章開頭所說的『主動(dòng) + 時(shí)間』

入門路線

滲透測(cè)試屬于信息安全行業(yè)，準(zhǔn)確的說是網(wǎng)絡(luò)計(jì)算機(jī)/IT行業(yè)，那么肯定少不了與程序和代碼打交道。上面的腦圖的內(nèi)容集合了想要學(xué)習(xí)滲透測(cè)試所需要具備的代碼基礎(chǔ)，了解的程序等等。

系統(tǒng)核心基礎(chǔ):

了解虛擬機(jī)，虛擬機(jī)的作用，搭建虛擬機(jī)系統(tǒng)（Windows2008，Windows7，centos7，Kali Linux）

了解基本的網(wǎng)絡(luò)知識(shí)、什么是IP地址(255.255.255.255)段劃分、什么是A段、B段、C段等。windows，linux 基本語法，常用系統(tǒng)命令，網(wǎng)管協(xié)議，傳輸方式，網(wǎng)絡(luò)傳輸協(xié)議，系統(tǒng)權(quán)限劃分。

WEB核心基礎(chǔ):

了解http（超文本傳輸協(xié)議）協(xié)議概念、工作原理，WEB的靜態(tài)頁面和WEB動(dòng)態(tài)頁面，B/S和C/S結(jié)構(gòu)。基本的網(wǎng)絡(luò)架構(gòu)、例如：Linux + Apache + MySQL + php。基本的Html語言，就是打開網(wǎng)頁后,在查看源碼里面的Html語言，了解一種基本的腳本語言PHP，或JSP，APS等。

深入學(xué)習(xí)一門數(shù)據(jù)庫(kù)語言，建議同學(xué)們從MySql數(shù)據(jù)庫(kù)學(xué)習(xí)，簡(jiǎn)單易上手，和編程語言一個(gè)道理一通百通。

WEB滲透:

開始學(xué)習(xí)WEB安全漏洞的知識(shí)、SQL注入、XSS跨站腳本漏洞、CSRF、解析漏洞、上傳漏洞、命令執(zhí)行、弱口令、萬能密碼、文件包含漏洞、本地溢出、遠(yuǎn)程溢出漏洞等等腦圖中都有涉及和名詞，使用虛擬機(jī)搭建靶機(jī)，復(fù)現(xiàn)漏洞的利用。

內(nèi)網(wǎng)滲透：

利用系統(tǒng)漏洞進(jìn)行提權(quán)，了解各種漏洞編號(hào)，和漏洞利用工具M(jìn)etesploit學(xué)習(xí)
。到這里有同學(xué)可能都說kali很優(yōu)秀為什么沒有說學(xué)習(xí)kali，如果你經(jīng)常挖洞就知道，kali常用的工具真的不多，很多工具在Windows安裝也很方便，為什么要開個(gè)虛擬機(jī)配置網(wǎng)絡(luò)，在打開kali使用那，繞WAF依舊是靠手工，工具不靠譜的。