关于网络安全的学习路径学习方法，很多自学成才的人写过，很多培训机构写过，各有千秋。我也来凑个热闹，分享一下我2万多在安鸾学院报的培训班，90天时间我的学习日记。

Day1  

9点正式上课，我早早的提前了半个小时到教室。发现老师正坐在教室里面鼓捣电脑，打了个招呼就随便找了个位置坐下了。同学们陆陆续续都到了教室之后，开始正式上课。简单讲解了一下网络安全行业的行业动态和市场情况，然后开始在老师的帮助下装系统。系统是老师自己改过然后统一封装好的环境，工具什么的非常全，实用型很强。

安装系统需要电脑的一些内存，所有我不得不把我的游戏删掉。其实还是很舍不得的，但还是为了能够学习，狠下心全部删了。

Day2

第二天就开始讲基础的内容了，本来还担心自己不能很好的理解，但是上课之后发现基础的内容还是浅显易懂的。今天讲了系统基础，Windows基础，包括使用方法和DOS基本命令使用、如何安装需要用到的IIS环境、WAMP环境等等；Linux基础因为之前没有接触过，所以会耗时一些，学了如何安装和一些基本命令的使用方法，安装LANMP环境等等。

这些基础的内容学了大概有一个星期左右的时间，系统基础、网络基础、虚拟化基础、数据库基础等等。

基础的学习进度还是比较快的，顾名思义主要目的就是为了今后的学习打基础，基础夯实了，之后的学习才能够学的好、学得快。

Day12

今天开始正式学习web相关知识，首先也是从web基础开始学。所谓知其然，更要知其所以然，上课之前，老师就给我们讲解了服务器是如何被入侵的。之后便开始了专业知识的学习，首先学习的是http协议，然后进行模拟http协议。所有内容了解掌握了之后开始学习http和HTTPS的区别。然后学习如何截取http请求等等。

这里的内容不算复杂，但是一定要自己消化理解，很多都是理论性的东西。下课之后我们经常留在教室看录播，不懂的地方进行二次理解消化，还可以和老师同学一起讨论交流。

Day14

到了最感兴趣的时候！开始学习漏洞！SQL漏洞、XSS漏洞、CSRF漏洞、SSRF漏洞、上传漏洞等等。每一个漏洞都是从原理开始，学习这个漏洞是什么、找到它为什么会出现漏洞的原因，然后再进行漏洞查找。比如SQL注入漏洞，我们先学的是SQL注入的原理是什么、以及SQL注入的分类。然后学习SQL注入常见的数据库；Access、MySQL、Mssql、Orale注入讲解。SQL注入其实是一个大的分类，下面还有很多细分方向，也进行了学习，时间注入攻击、报错注入攻击等等。

在学这些的时候其实是有些枯燥的，因为刚开始学，对这些内容都没有概念，有的差别不大的东西就很容易弄混淆。不过好在老师很负责，一个班的人数也不多，老师能够一个一个的辅导，因为上课经验比较丰富，所有教起像我们这种小白的时候比较有方法。

虽然这阶段的学习是有难度的，但是通过自己的努力和老师的帮助还是克服了。主要是越学越觉得有意思，想向别人大佬一样去挖洞赚钱，感觉很有成就感。

Day27

继续学习漏洞，上传漏洞、命令执行、中间件、框架漏洞、暴力破解、逻辑漏洞、权限提升等等漏洞。(内容比较多，就不一一列举了）有了之前学习的基础之后来学这些漏洞，也算是比较顺利的了，虽然没有达到如鱼得水、游刃有余的状态，但是遇到的困难也没有那么多了。因为之前在学习过程中也总结了一些学习方法，所以比较快。

学习上传漏洞时，还学了很多关于各类文件上传绕过，前端绕过、白名单黑名单绕过、00截断等等。学到了很多实际操作上面可以直接用到的内容，包括暴力破解也学到了一些工具的利用，比如：John、hydra、burp suite，都对实操有非常大的帮助。

Day40

综合渗透和内网渗透的漏洞学习也是渗透测试不能缺少的，wordpress漏洞、Joomla漏洞、redis漏洞、还有经典的openssl心脏滴血等等都属于综合渗透内容。内网渗透时也是同样的流程，学原理和流程，然后学习内网探测、学习Windows LM、NTLM密码抓取与破解；Windows明文密码抓取，mimikati、getpass等。最重要的Windows、Linux系统权限提升也在这里学习。

可能因为前面的基础掌握的比较牢固，所以学起来就算有点困难，多听几次录播课就能弄懂了，跟同学讨论一下就能够明白消化。这时候班级里的氛围非常好，每天并肩作战，学习都已经进入了一个比较好的状态，也学到了更多的知识内容。大家私下也聚了几次餐，偶尔晚上一起在教室卷到很晚，感情都比较好，有点高考时候跟同学一起奋战的感觉，所以都会互相帮助互相传授经验。

Day46

学习信息收集，学习收集web信息、指纹识别，收集子域名信息、敏感目录文件信息，查找真实的IP。不仅仅会学习如何收集web相关的信息，也会学习如何查找主机相关的信息，比如安装Nmap之后学习Nmap脚本来探测主机端口信息。

今天的学习虽然比较简单，但是老师说这是非常重要的，信息收集的多少对渗透测试的结果影响非常大。所有学的很认真，经常下课之后自己看笔记，然后找一些可以进行实操的内容，动手锻炼。自己也开始搭建一些环境，做一些实验，这个时候大家已经勉强算脚本小子了，学的比较好的已经开始超前自学，因为老师讲的东西消化的非常快。

Day52

真正的涉及到如何找到漏洞！学习漏洞扫描！漏洞扫描会用到Nessus，最开始也是学原理相关的东西，比如如何安装、如何操作，然后再学习Nessus如何进行漏洞扫描，学完之后就让我们在自己搭建的靶场里面进行操作，熟悉扫描的方法和流程。漏洞扫描还可以用到Awvs，同样的，学习如何下载安装、基本操作之后再学习使用方法。

我们班上很多人都对这个比较感兴趣，扫出来一些漏洞之后会有很强大成就感，给了我们正向的反馈。于是之前的枯燥之感一扫而空，更多的是学习的激情。

Day60

有趣的内容已经告一段落了，需要学习大部分人都觉得枯燥的Python编程了。从各种基础内容讲起，Python基本语法、Python函数介绍、Python判断语句、循环语句等等。在学习Python的时候，其实有很多函数记不住、但是没有办法，必须要记住，所以只能用最笨的办法死记硬背，形成机械的记忆之后再去慢慢理解。

基础学完就需要进阶，Python网络模块、正则表达式，其实最重要的是学习攻击编写，可以做到加单的远控、编写web目录扫描器等等有用的东西。

Python编程说难不难，说容易不容易，有兴趣的话就很简单，没兴趣一点都不能理解的话，就像听天书一样。但是编程基础对学习渗透测试的帮助很大，学得好、代码审计就不会差。所以，就算比较差，我也坚持下来了！

Day66

漏洞收集与挖掘，这个阶段就会学到代码审计。依旧是由简到繁，最开始会介绍国内外漏洞发布平台，然后会详细的学习zoomeye、fofa、shodan等平台的使用方法，如何查看漏洞、如何上传漏洞之类的，这阶段比较简单。

Day67

学习代码审计，需要用到之前学习的内容。从PHP危险函数介绍开始，学习PHP常用的审计办法、漏洞利用链分析，常用的代码审计攻击介绍与应用。

Day70

对流量进行分析，wireshacrk的抓包和使用方法是基础。重要的是学习攻击流量的特征识别，比如SQL注入流量分析、webshell通讯流量分析、远程代码执行流量分析。

Day74

这个阶段已经有人开始接到一些学院推荐的面试了，我也在招聘网站上留言工作岗位，开始投简历。不过学习的内容还在继续，现在学的是CTF实战相关的内容，MISC相关的文件与图片隐写技术、古典密码；web相关的常见web题考察点：弱类型、变量覆盖、cookie认证绕过等、代码审计CTF实战。密码学内容：对称加密、非对称加密：RSA算法、自定义加密。AWD相关：常用防护技术与加固方案解析、攻防技巧：自动化提交flag、AWD实战等等。算是比较有难度的内容了，要是自己有机会也想去参加一下CTF。

Day82

这时候开始学红蓝对抗相关的内容，关于入侵检测/防护系统（IDS/IPS）、WAF、蜜罐、威胁情报于态势感知系统、大数据日志分析。

这时候我们学的已经差不多了，而且我们很多人都掌握了学习方法，能够不依赖助教和老师自己独立的去吸收复盘所有的内容了。而且已经有人通过了面试，等着学完之后直接入职了。

Day90

最后还要学应急响应的内容，一些应急响应工具使用、日志分析、恶意代码分析、恶意流量分析等等。

课程学到这里大概就结束了。班级里的人也越来越少，大家都开始陆陆续续的去上班了，各种安全大厂，有干渗透测试的、也有干安全服务的，并且工资都不算低，基本上都在8k+，一些学的好的同学，能够直接达到10k。我算是学的比较好的，也拿到了9.5K的offer。

三个月的学习时间说快不快、说慢不慢，一眨眼就过去了，虽然现在已经入门了，但是离成为大佬还是有很长一段的距离。未来还需要继续努力继续学习提升自己的技术，希望能一直在安全这条路上走下去。