网络安全是一门阶梯式技术，零基础入门最忌讳跳级学习。下面为你梳理一条从零基础到可上岗的完整学习路线，按阶段稳步推进即可。

 入门前必知

网络安全 ≠ 学黑客：核心是"防御风险、保障安全"，绝大多数企业招聘的是防御型人才。

零基础适配方向：安全运维工程师（低门槛）、安全运营工程师、等保合规工程师、初级渗透测试工程师。

法律红线：所有技术仅用于授权测试与合规防护，严禁未授权攻击。

一阶段：基础筑基（1～2个月）

这一阶段不碰漏洞、不碰工具、不碰渗透，核心是搭建计算机底层认知。

计算机网络基础

TCP/IP协议栈、OSI模型、数据转发流程

HTTP/HTTPS协议完整流程、TCP/UDP区别

DNS解析原理、IP与端口概念、局域网与公网区别

常见端口用途（22、80、443、3306、6379等）

操作系统基础

Linux（重点）：Kali Linux安装、常用命令、目录结构、权限管理、进程监控、日志查看

Windows：用户权限、进程服务、注册表基础、文件权限

数据库基础

SQL语言基础、MySQL基本操作、数据库安全加固概念

编程入门

推荐从 Python 入手，学习语法、文件操作、网络编程、正则表达式等

安全基础概念

常见攻击类型（SQL注入、XSS、弱口令、未授权访问等）

漏洞分级（高危/中危/低危）、等保2.0基础规范

阶段达标：能独立搭建虚拟机环境、熟练使用Linux命令、理解TCP/IP协议、能区分常见攻击类型。

二阶段：Web安全核心漏洞（1.5～3个月）

Web安全是所有新人的入门入口，必须系统化吃透。

必学漏洞清单

SQL注入、XSS跨站脚本、文件上传、文件包含

目录遍历、命令执行、逻辑漏洞、越权访问

URL跳转、弱口令、配置泄露、API接口漏洞

正确学习方式

每个漏洞严格遵循：原理理解 → 手工搭建环境 → 手工触发 → 看懂流量 → 总结利用条件 → 梳理修复方案。拒绝一键复现和只看视频。

核心工具入门

Burp Suite：抓包改包、参数调试

Nmap：端口服务探测

Wireshark：流量分析

SQLMap：SQL注入检测

阶段达标：任意常见漏洞能口述原理、复现流程、危害风险和修复方案。

三阶段：工具实战强化（2～3个月）

打通"理论→实操"的断层，这是区分小白和入门者的关键。

实战训练

靶场刷题：DVWA、Vulnhub、Hack The Box（HTB）

公开SRC合法练手

漏洞批量复现与复盘

能力目标

独立完成完整渗透流程：信息收集 → 资产筛选 → 扫描探测 → 手工验证 → 漏洞利用 → 风险总结。

四阶段：进阶方向（5～9个月）

外网Web能力只能保底就业，进阶方向决定薪资上限。

表格

方向 核心内容

内网渗透 本地提权、密码抓取、横向移动、域环境攻防

安全运维 服务器加固、日志分析、攻击监测、应急处置

云安全 云配置审计、CSPM、微服务安全

二进制安全 逆向工程、漏洞挖掘、Fuzzing

五阶段：项目沉淀与求职（9～12个月）

整理个人渗透项目复盘文档

积累漏洞报告作品集

靶场高阶刷题记录

常见面试题与场景题专项训练

 推荐学习资源

靶场平台：DVWA（Docker一键部署）、Vulhub（GitHub开源漏洞环境）、HTB、TryHackMe

工具：Burp Suite社区版（免费）、Kali Linux

社区：FreeBuf、看雪学院、SecWiki

书籍：《Linux鸟哥的私房菜》入门篇、《TCP/IP详解 卷一》（简化阅读）

 关键建议

循序渐进，不跳级：网安是阶梯式技术，基础没打好后面全程看不懂

每天1～2小时，3～6个月可掌握初级岗位技能，8～12个月可顺利入职

动手 > 看视频：每学一个知识点都要亲手实操

保持好奇，恪守道德：学习安全是为了构建更安全的未来