以下为本人的粗略认知，如果疏忽和错误欢迎指正。
加入信息安全行业前和向各位大佬们提问前，请认真的阅读反复研读《提问的艺术》
https://www.jianshu.com/p/137ff697a9a6
如何入门安全
在我的认知内，大部分入门 WEB安全 的师傅们，大部分可能是来自于这几条路线，笔者不巧，都踩了一遍坑，一直在入门，永远在路上 23333
脚本小子 - H.U.C
CTF - r3kapig CTF交流学习社区
漏洞响应平台 - JSRC
如果你问我哪条路更适合小白入门，哪条路更适合提高学习兴趣我只能说因人而异。
我浅谈一下三个方向的特点
1、做一个脚本小子是非常容易浮躁的，当你使用各种 xx漏洞利用工具，拿下了一个又一个的网站的时候， 你会有一种日站的快感，但是你会发现你好像拿了一些你认为很重要的网站，但是发现并不能合法的技术变现的时候，你会浮躁，你会以为自己天下无敌了，为什么自己这么强，这么多人喊你大哥大佬，却只配做个每天吃着隆江猪脚饭的人。你可能就会改变初心，对那一个又一个的数据库选择了 --dump-all，其实你的技术栈是非常的浅的，完全不明白原理只知道使用工具，于是你就成为了 script kid，用久了就成为了脚本老子罢了，最后大概率与正规的白帽子、信息安全圈子脱节。
2、走 CTF路线 是我最推荐新人入门网络安全领域的路线，什么是 CTF 请看CTFwiki（https://ctf-wiki.org/），你如果在这个领域走到了最前沿，那么你就成为了那种动不动挖 0day 的大哥，成为了一个安全研究员。但是我说实话，不是所有人都能走到最前沿，就像高考的时候我考不上 985、211 一样，我只是个普通人，我不像他们一样能理解更深层次的知识，就像我和我大学舍友在 XMAN 深圳二进制营学了一个月，而我的学习速度和对二进制底层的思维理解，远远跟不上他一样，人总是要承认自己的一些无能为力。在这条路上，你会发现好像不管你怎么打比赛都拿不到一个好成绩，拿一个好成绩还是跟朋友 PY 得来的，你就会感觉到失落，感觉到无力，但是请记住成绩只是一部分，那些你学习过的知识对你整个安全生涯甚至是生活方式都是有及其重要的作用 —— 通过 CTF 锻炼的搜索资料能力与快速学习能力。
3、漏洞响应平台这条路上走，最重要的是要时刻去铭记 "网络安全法"，因为实战不一定比竞赛难，但是实战的风险是远大于竞赛的，如果作为一个小白入门，那么了解基本的法律常识是非常的重要，知道什么能做，什么不能做，例如（违反本法第二十七条、第四十六条规定，从事危害网络安全的活动，或者提供专门用于从事危害网络安全活动的程序、工具，或者为他人从事危害网络安全的活动提供技术支持、广告推广、支付结算等帮助，或者设立用于实施违法犯罪活动的网站、通讯群组，或者利用网络发布涉及实施违法犯罪活动的信息，尚不构成犯罪的，由公安机关没收违法所得，处五日以下拘留，可以并处五万元以上五十万元以下罚款；情节较重的，处五日以上十五日以下拘留，可以并处十万元以上一百万元以下罚款），当你了解到了足够的法律知识之后，想要开始实践了，那么我推荐你去两个地方，最容易获得成就感。
一、教育漏洞报告平台
（https://src.sjtu.edu.cn/），毕竟学校是最多漏洞的地方之一 23333，作为一个学生，再为教育事业添砖加瓦、为校领导多搞点头疼的事肯定是你们的最爱 23333
二、补天漏洞响应平台
（https://www.butian.net/），有些项目还是有实实在在的钱拿得，比起大企业 SRC，相对好挖一点
确定了入门方向之后如何进行学习
脚本小子方向我就不推荐了，进了十有八九是娱乐圈，真想混娱乐圈，这个不用我教，你们自己也会混的。
如何系统的入门CTF
了解 CTF有哪些领域，从刚入门有利于以后步入网络安全领域和前期了解上，笔者先粗略的把它们分为两个领域——WEB 和二进制
这里两个领域有何不同呢，小白们可以简单的把他们理解为 WEB 是搞渗透的黑网站的、二进制是搞逆向破解的开外挂的。
一开始看不懂文字和文章没关系，我们直接看视频，看看别人是怎么操作的。
《【CTF全套120集】清华大学顶尖蓝莲花战队站教你学CTF从零基础内卷成大佬！》（https://www.bilibili.com/video/BV1DL4y1T7v7/?share_source=copy_web&vd_source=5a4d19992af640e62e271a02d609f564）
这些看看就行了，真正深入了解还有更多的细化环节，需要你们自己去养成一个良好的搜索习惯和思维能力。
我这边先推荐几个优秀的学习平台
1、万能的哔哩哔哩（https://www.bilibili.com/）
2、先知社区（https://xz.aliyun.com/）
3、安全客（https://www.anquanke.com/）
4、freebuf（https://www.freebuf.com/）
如何系统的提高CTF的做题能力
简而言之入门的话 — 多做多练多看
安利一个刷题网站buuctf（https://buuoj.cn/），题多又免费
有些题目不会做咋办？百度啊
不会做这个
就百度 XXXX writeup，在 CTF 领域 writeup 的意思 你可以理解为解题答案。
如何提高对CTF圈子的归属感
首先你起码要有基本的解题能力，其次多认识点朋友，多和朋友交流，多水群，总是没有错的，看看别人是怎么学习的，看看大佬们是多么 NB 的，不要做井底之蛙。如果你是大学生，那么在学校找点志同道合的队友，会在学习路上没有这么的孤独，如果你校没有校队，那你就要有组一个校队的勇气。如果还是没有志同道合的朋友，那么其实可以考虑加入联合战队，这块你多刷点题，多水点群，你就会理解我说的是什么意思了。
注意事项
如果你刷题过程中遇到了无法理解的问题，说明你的基础功不行，要回去补，HTML、SQL、python、PHP、Java等，看不懂漏洞原理看不到代码，做不了代码审计，是走不长远的。
怎么补这些基础相信就不用我教了吧，这些资料互联网上大把的。
如果你这些问题都解决了，CTF 也很多都会做了，但是就是感觉自己学习能力不行，跟不上大佬们，怎么办呢。
要么痛苦，要么改变。
要么不停咬着牙卷下去，花更多的时间精力去学习，要么就选择转型，搞点实战，以后老老实实做个安服仔。
笔者我就是后者，太菜了，卷不动。
如何系统的进行实战
入门先挖教育SRC吧，这个简单点。
想学习，快使用万能的哔哩哔哩。
《【小迪安全】web安全｜渗透测试｜网络安全（6个月线上培训全套）》
(https://www.bilibili.com/video/BV1JZ4y1c7ro/?share_source=copy_web&vd_source=5a4d19992af640e62e271a02d609f564)
如果想看点实际的漏洞，那么去中国网络安全宝藏之地 — 乌云
虽然乌云关闭了，但是精神一直都在。
乌云镜像（http://wooyun.2xss.cc/）
你再牛逼一点，在就去看 hackerone
https://hackerone.com/hacktivity
找对团队
安全领域可能在现实中孤单点，但是网络一线牵，相遇就是缘，网上还是有很多朋友的。找对安全团队你就直接看那些也在挖漏洞响应平台的团队就行了，比如说在我心目中最牛B的是网络尖刀
我之前因为跟了大哥也混了两个冠军学了不少技术 2333
注意事项
一上来就搞渗透，很多人会导致成为一个脚本小子，并不明白很多事情的原理，只会不停的做重复劳动，会局限掉个人的成长，如果有机会，还是推荐小白们刷点CTF，学学代码审计，对自己成长会有很大的帮助的。等你在实战这个领域走的够远之后，你便不需要我的指引了，因为你已经走的够远了。
最后一些来自个人想说的话
我是高中毕业之后第一时间参加了夏季征兵，但是很遗憾因为一些个人身体原因，与部队无缘。在步入大学之后，被中国红客联盟的中美黑客大战的历史故事给震撼到了，然后决定加入网络安全这个领域，想以另一种身份保家卫国，希望在未来的第五空间战场上，能贡献自己的一份力量，当时想着我靠黑客好牛逼啊，我可能学不会，那我做个业余黑客也好，平时敲敲代码，晚上吹吹牛逼，但是当我在这个领域不停学习的时候，突然发现好像我真的入门了，好像真的入行了，好像我真的能以网络安全来养家糊口了。
记得很清楚，17年那个国庆我去龙湖地产兼职卖房，干了五天拿了七百块，当时感觉这个钱好难赚，于是我下定决心要更加认真的学技术，挖SRC，然后18年那个国庆三天挖了四千块，还打了四天WAR3。从那之后，大学生活费就不缺了，那个时候成就感拉满，但是我永远记得16年那个夏天，那个我泡在图书馆里面看中美黑客大战历史决定投入到信息安全行业的那个夏天。一路上有很多辛酸、不解、正如韩商言的那句——过去两年零三个月，赢过、输过、笑过、哭过，被质疑、被绯闻、被非议、被黑幕，从未辩解，无需辩解。今夜华筵终散场，功成名遂，满目荒唐。正如叶队说的那样黑客是场电子梦，和电子竞技一样，充满着荣耀与误解，一群天才和普通人的领域。但是，我们一直都——因为热爱，所以坚持
其实我以前还是蛮喜欢带新人的，但是知乎上加过几个人，带过几个好多都弃坑了，也颇多感慨，让我看到最优秀的坚持不懈的就是00sec的那群兄弟吧，希望每个小白们都能像他们一样，孜孜不断的学习，也感谢00sec的兄弟，让我混了个优秀指导老师2333，虽然我没能教大家太多东西。
你好，我叫lego，很高兴认识你。
原文始发于微信公众号（刨洞安全团队）：谈一谈我是如何入门安全的，七年安全生涯总结
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论