什么是攻防能力的基础？

从开始组建小团队，一年有余，还没有招过校招生。最近开始面一些校招简历，我往往更看重“基础扎实”四个字。毕竟在成都，顶尖的校招生早早被北上广深的大厂高价收录，我们也只能收“值得培养”的苗子，基础扎实是值得培养的前提。

什么是攻防能力的基础？很少有应届毕业生清楚。因此部分同学回头来质疑面试问题。

我把攻防能力分为基础、应用、创新，3个阶段。

• 基础是各种攻防应用的基石，不包含各种攻防技术，大致是对系统、网络、程序、环境等的基本操作。

• 应用就是我们网上常见的各种常见漏洞的利用、ATTCK框架中罗列出来的各种手法。

• 创新主要以对抗为主，既需要扎实的基础，也需要攻防应用的理解。

目前大部分同学都是直接学习网上的各种教程，基本都是各种攻防技术的操作，往往知其然，不知其所以然。再加上当前法律环境下学生很少有实战环境，基本都是实验环境测试。但是真实的攻防环境往往是千变万化的，因此稍微变换下环境你就不会了。

也有一些同学把各种攻防技术学习的差不多了，感觉难以进步，很难踏入创新阶段，只能以模仿为主。

以上都是忽略基础的现象。基础也是分阶段的，由浅入深，不是说你必须把各种协议都分析透了才踏入应用阶段。

这里的基础往往是一些简单的操作。例如：

• 办公软件的基础使用，达标应该是：用word写出格式标准的毕业论文且用PPT做答辩，用excel做基本的数学统计。

• window、linux系统的使用。包含：cmd、powershell、bash等使用；线程、进程、服务、网络的基础理解；日志、权限相关的操作。

• 端口协议的作用，例如：22是ssh、3889是rdp、445是smb等等

• 环境的搭建。例如：网站搭建（web程序+web容器+数据库）大部分人用一键环境，都不清楚网站是怎么跑起来的了；云上独立建站以及VPC网络搭建，现在很多目标都在云上了，云上环境的了解必不可少；工作组和域环境搭建。

• 代码能力，至少会一门面向对象编程语言，熟练使用几种设计模式；会一门编译型语言和一门脚本型语言。代码能力很是重要。

• 数据库操作语句，也就是sql语句。数据库是信息时代必不可少的基础设施，你要对3大数据库（mysql、sql server、oracle）的sql语句有基础了解。

• 可执行程序生命周期的理解。一个硬盘上的可执行程序，从双击打开到关闭所涉及到完整流程。是杀软对抗的基础。

写的可能不够完善，但是我相信你应该理解到我说的基础是什么了。你可以自己根据看到的攻防技术归纳它的基础是什么，然后学习。但是也不要过度深入基础，基础往往是不见底的深渊，让你不知道学习到哪里是个头，这个要根据自身情况而定。例如：sql注入对应的基础是数据库操作，那么基础就是常规的数据的使用，而不让你去逆向数据库学习报错注入是怎么形成的，我就犯过类似错误。

下面是我最近写团队能力建设关于攻防能力的部分脑图，图片不全，可以点连接查看。

原文始发于微信公众号（我需要的是坚持）：什么是攻防能力的基础？