為什麼我還是不能踏進信息安全的大門？

---

光看是沒用的，你天天看聶衛平下棋也不代表你能自己會下。十年前sql注入遍地都是，現在整體安全水平提升了，實戰對新手來說困難一點是正常的。本地搭一個webgoat慢慢練習，或者上i春秋仔細學學。freebuf有篇文章彙集了各種靶機：選個「靶子」練練手：15個漏洞測試網站帶你飛

還有一篇新的：初學者福利：XVWA黑客靶場發布

把一種攻擊徹底弄明白練熟悉了，自己試著寫個攻擊工具，重複造個輪子，就成自己的真正本事了。另外，把工具徹底玩熟練也沒那麼簡單。sqlmap那麼多參數，tamper下那麼多py，是不是真的都弄懂了呢？注入一共分多少種類型？不同資料庫的語句如何構造？安全狗這種軟waf怎麼繞？這麼一想，光一個sql注入就夠研究一段時間了吧，OWASP TOP10還有那麼多呢，挨個來唄。

就說這兩點吧。還是黑哥那句話說的准，整就牛。關鍵還是在整。

P個S，收藏數快到點贊數的兩倍了，什麼情況-_-

---

你每天花在學習安全上有多少小時？

---

你難道不會搜索-&>提煉-&>提高一下提問水準么？老提一類型的問題，老犯同一個錯誤是很蛋疼的

信息安全這條路到底該怎麼走？信息安全這條路到底該怎麼走？ - 計算機科學

信息安全應該怎樣去學習？信息安全應該怎樣去學習？ - 信息安全

怎麼舒服地進入信息安全行業？怎麼舒服地進入信息安全行業？ - 網路安全

大一，立志學習信息安全，0基礎，期末考完會轉到信息安全，想知道我要怎麼努力，才能在3年後進入阿里?大一，立志學習信息安全，0基礎，期末考完會轉到信息安全，想知道我要怎麼努力，才能在3年後進入阿里? - 就業

信息安全該如何自學？信息安全該如何自學？ - 信息安全和密碼學

有哪些信息安全職位？有哪些信息安全職位？ - 信息安全

如何尋找信息安全相關工作？如何尋找信息安全相關工作？ - 信息安全

如何轉行做信息安全？如何轉行做信息安全？ - 信息安全

運維工程師轉型白帽子（信息安全）是不是很容易？運維工程師轉型白帽子（信息安全）是不是很容易？ - 網路安全

在運營商待三年然後轉去做信息安全靠譜么？在運營商待三年然後轉去做信息安全靠譜么？ - 互聯網

女生學信息安全專業 考研還是工作呢 ？女生學信息安全專業 考研還是工作呢 ？ - 大學

我是信息安全專業的學生。信息安全專業學什麼，畢業之後從事什麼工作？如僅限於公務員隊伍，能從事什麼崗位？我是信息安全專業的學生。信息安全專業學什麼，畢業之後從事什麼工作？如僅限於公務員隊伍，能從事什麼崗位？ - 信息安全和密碼學

學習信息安全的成長之路是怎樣的？想聽聽有關這一方面的經歷。?學習信息安全的成長之路是怎樣的？想聽聽有關這一方面的經歷。? - 大學

信息安全專業為何能在科大吸引到如此多的同學選擇修讀？信息安全專業為何能在科大吸引到如此多的同學選擇修讀？ - 釣魚提問

本人對信息安全很有興趣，自學了一點技術，上大學的話怎麼學習？本人對信息安全很有興趣，自學了一點技術，上大學的話怎麼學習？ - 編程

學習信息安全怎樣入門？學習信息安全怎樣入門？ - 如何學習 X

有哪些可以深入學習信息安全、網路安全的地方？有哪些可以深入學習信息安全、網路安全的地方？ - 網路安全

立志在網路安全領域發展，應該如何系統學習安全知識？立志在網路安全領域發展，應該如何系統學習安全知識？ - 計算機

關於信息安全的學習，有哪些好的平台？關於信息安全的學習，有哪些好的平台？ - 信息安全

一個大一新生關於信息安全專業的學習?一個大一新生關於信息安全專業的學習? - 網路安全

該怎樣學習網路安全？該怎樣學習網路安全？ - IT 行業

如何學習網路安全？如何學習網路安全？ - 網路安全

零基礎如何學習 Web 安全？零基礎如何學習 Web 安全？ - 信息技術（IT）

信息安全應該從何學起？信息安全應該從何學起？ - 學習

如何成為一名信息安全工程師？如何成為一名信息安全工程師？ - 網路安全

信息安全領域有哪些必讀的聖經？信息安全領域有哪些必讀的聖經？ - 黑客 (Hacker)

信息安全這條路到底該怎麼走？信息安全這條路到底該怎麼走？ - 計算機科學

如何轉行做信息安全？如何轉行做信息安全？ - 信息安全

信息安全人員如何學習?信息安全人員如何學習? - 學習方法

---

所有靠信息不對稱掙錢的行業都得靠悟性。

---

本周與朋友討論一個問題，怎麼樣子才能成為一名信息安全方面的專家。朋友不假思索地回答一句「這很簡單，有一個定叫做一萬小時定律。說的就是只要你在這個行業里堅持鑽研一萬小時，解決你遇到過的問題並沉澱下來，差不多滿一萬小時那麼你就會發現你自然而然就成了專家。」後來我覺得這個說法有些意思，想要擴展多說幾句。

一萬個小時定律的首次提出是在格拉德威爾的《異數》這本書中。其中提到"人們眼中的天才之所以卓越非凡，並非天資超人一等，而是付出了持續不斷的努力。1萬小時的錘鍊是任何人從平凡變成超凡的必要條件"。主要意思是要成為某個領域專家，需要10000小時。如果平攤算每天在一個感興趣的方向專研10小時，那麼大概就是需要3年時間的堅持就夠了。如果每天只花3個小時，那麼需要堅持10年。Anyway，看怎麼理解。

每個人最珍貴且又最公平的資源都是時間。不管你是國家領導人還是剛畢業小菜鳥，你都公平地只有24小時。時間又是很短暫的資源，在時間的賬本上很多人都還是腦袋糊塗沒有算清關於自己"時間去哪兒"的事實，以至於當大多數20多歲的人知道自己一生中只剩下不到720個月的時候會幡然醒悟，細思極恐。

知道並且理解了自己時間是有限之後，下一個需要搞清楚的兩個問題是「自己想要的是什麼」，以及「接下來要先做什麼」。大多數企業與個人在年初沒有規劃，周末是沒有周報，並且年末是沒有年度總結的。這就意味著他們搞不清楚今年比去年進步在哪裡，方向上對不對。無法衡量就沒法改進，這樣的公司和個人終會難逃「失敗」的結局。一旦局勢惡化，也就差不多會最先被淘汰掉。

現在很多"時間管理"理念教程，譬如"番茄時間法"都有一個誤區，那就是鼓勵人們在短時間內多做事情。但是實際上時間管理目的應該是幫助人們甄別哪些事情並沒有必要做的，可以想得更清楚一些，去平衡工作與生活。

文章的最後，想問一個讀者問題：「你是否清晰地思考清楚，你想成為什麼方面的專家?」

---

時間是一個很神奇的東西，它幫你洗凈鉛華，沉澱下來的，凈是一些深刻的感悟。

答主08年接觸的安全，回首過往，歷歷在目。曾經也彷徨過，失落過，興奮過，自信過，自卑過。也曾經為了寫個幾百行的代碼徹夜不休，也曾如饑似渴的撲向看似枯燥的海洋。是野路子出生，抓過雞，日過站。也是科班出身，高中畢業後毅然決然選擇的計算機相關專業。自從發現學校的課程完全不是自己想像中的那樣後，頭也不回的選擇了逃課北上，去了北京一家安全公司實習。404是個好地方啊，它承載了我青春時的夢想和期盼，還結識了至今還一直聯繫的朋友。多少個日日夜夜，天南地北的聊著各種話題，拍著胸脯說著蕩氣迴腸的話語，抱著吉他呢喃著悲傷的歌曲，還有桌底下那隻貓，一臉不屑的樣子讓我至今難忘。

如今已經畢業，身在異鄉，有時偶爾抬頭看看這沒有星星的夜空，心裡會有新的彷徨和無奈，還是會低頭嘆氣。但想起青春時的迷茫，早已猶如星辰大海里的一顆即將消逝的星星，若隱若現，如不細想，卻怕是早就遺忘在心底。

時間可真是一個神奇的東西....

---

1. 多熟悉各種開源系統的漏洞，比如discuz，phpcms，dedecms，wordoress等等。滲透的時候還是比較容易開源系統的，如果你不熟悉已經爆過的漏洞，肯定是不行的。也可以去烏雲看看一些通用漏洞。可以沒事去tangscan，sebug寫寫漏洞利用插件，這個過程你也能熟悉各種開源系統漏洞的利用，還能順帶學學python。

2，不要把時間花在重複的使用工具上。比如樓主說的天天用工具掃，多花時間再自己不會的東西上。可以自己搭建各種環境來學習。推薦烏雲新出的 三個白帽。有很多有意思的滲透測試環境，而且你可以看到各種環境的源代碼之類的。

3，好好學編程，不會編程就永遠是彩筆。滲透之類的門檻還是比較低的，如果你編程方面再厲害些，就能拉下很多人幾個檔次。

要學的東西挺多，慢慢來。只要熱愛並付出行動，應該不會差到那裡去。

想進圈子挺容易，多逛論壇，多分享，慢慢就進去了。不過圈子挺多的，各種娛樂圈，裝B圈，可別進錯了，進錯想出來挺難得。。。

---

興趣是最好的老師。題主能夠堅持兩年並且說自己看書，代表是真正的想「入門」

下面我會貶一下你，所以我先鼓勵你一下，你覺得自己走了兩年的彎路，但你記住。這不是彎路，都是財富

現在我要貶你了：你看過白帽子講Web安全和還在局限於掃、注。你真的不適合學這個。

當然，我並不是說注入不好之類的，自己體會吧。還有，兩年真的不長，我玩了N+1年也不敢說自己入門了。

好吧，我文化不高，我儘力表達一下你現在這個情況怎麼樣才能進步

1.繼續看書，所有的實戰都基於理論知識。

2.看各種漏洞。大師二字至少是十本書，一百種漏洞，一千個夜晚，一萬篇報告，十萬種技巧匯聚而成。多烏雲多機會。

3. 多多參加ctf，說實話我認為自己的實戰水平相當不錯了，在SSS安全論壇和習科的人應該知道的。但是剛玩ctf的時候總是力不從心，有些題非常簡單但是題目過於隱晦。慢慢的開闊了很多思路

4.學會提問的技巧，結交圈內各種菜鳥、大牛。沒有人全知全能，在某些時候，一個剛學會sql注入的菜鳥也有你值得學習的東西。

文化不高，就說到這裡吧，沒詞兒了。

---

怪我咯～～ 與其在這裡感嘆，不如整2下？

---

1.你搞過多少站？

2.你搞一個站搞到凌晨幾點？

3.身邊有沒有基友一起搞？

4.搞不下的時候，有沒有前輩指點你？

5.你搞了幾年了？

---

多上知乎就好了，沒錯我就是在嘲諷

======

這問題怎麼這麼蠢，不會就學，學不會再學

目測知乎藥丸系列問題：

入不了門怎麼辦？

學不會怎麼辦？

沒時間學怎麼辦？

擠不了時間怎麼辦？

朋友你在賣萌嗎，自己時間不夠怪我們咯

---

我來回答一記，最近正在努力成為一個腳本小子中，烏雲Rank應該快到可以從路人變成實習白帽子了。

我是出於什麼目的呢？業餘愛好。本科選修Web安全的課程完全是沖著好玩去的，蔡國楊老師安排的課程的確不錯。那個時候學到了很多基礎知識：XSS，SQL注入，CSRF，Buffer Overflow等，助教師兄還把https://google-gruyere.appspot.com/（谷歌出品的實驗）拿來給我們做作業。但我跟你一樣，連腳本小子都不如，想找網站的漏洞一樣沒思路。不過當時我偷偷保存著學校教育系統的越權漏洞（這個名詞很裝逼），還有一個可以從學號查學生信息的方法，當然，還有一個老師修改課程成績的漏洞（這個發現之後立馬上報給輔導員了，我是好人吧！）。上面提到的這些漏洞只要細心就能找到，而我當時並不覺得是漏洞，只是純粹好玩。讀研期間忙實習，忙著參與開源項目做代碼貢獻，就沒放太多精力在這上面了。而到了最近畢業開始工作了，工作之餘要給自己找點樂子（有朋友教我做個有趣的人，別老是跟電腦過不去，可惜我的愛好少得可憐，追追美劇，學學做菜，打打籃球，千萬別學我，沒救的），加上有兩個朋友也開始做滲透測試的工作。所以我又重新燃起了當時玩的激情，卻發現一玩不可收拾了。利用業務時間，看完了餘弦大大的《Web前端黑客技術揭秘》，看了烏雲上心傷的瘦子的XSS教程，開始烏雲刷Rank之路。

第一個問題無非就是怎麼找目標？我目前也沒有什麼好方法。只能說多留心吧，前段時間買衣服，發現快遞到貨要裝一個APP才能取件，於是我就裝了。拿完衣服後，隨手測試發現了該廠商存在的任意密碼重置問題，在烏雲上報了之後還說要給我發禮物。再分享一個故事，之前參加沙龍見到的核心白帽子：專業種田，聽他介紹了Burpsuite的用法，怎麼用搜索找洞等姿勢，不過重點不是這個，重點是他在回深圳時需要去廣州南站，然後他在廣州南站發現了：廣州高鐵站手機充電終端沙盒繞過(可留後門控制手機)的漏洞，讓我驚嘆他真的是走到哪黑到哪。

找到目標之後發現自己實力不夠？這個需要基礎知識加細心吧我覺得，絕大部分的漏洞並沒有想像中的難，至少從我在烏雲上看過的漏洞來說。SQL注入，名字大家都懂，工具sqlmap大家都可以用，可是用了之後知道內部原理嗎？XSS打Cookies，需要懂前端知識吧？上傳一句話GetShell，菜刀連接直搗黃龍，你需要知道人家用的什麼後台吧，JSP/PHP/ASP/Python等等語言你得懂吧？正面剛人家找不到漏洞，可以找找旁域和C段，沒有一點點DNS和IP地址的基礎知識怎麼能行呢？所以沒有基礎，即使漏洞擺在眼前也是白搭吧。

所以，我覺得我還是要沉住氣，不能浮誇，多多補充基礎知識。

• 看前人留下的資料：烏雲上的漏洞很多精華的思路，多看，打開自己的眼界。（我目前只是看烏雲園區里的討論，烏雲Wiki，烏雲公開的漏洞）
• 有條件復現漏洞環境的盡量進行測試，多動手才好玩啊！比如最近公開的漏洞：【烏雲峰會】網易閃電郵遠程命令執行附思路分析，完全可以找箇舊版本的軟體玩玩，玩一次的記憶絕對比你光看要強。
• 嘗試分享，目前自己做的還不夠，希望自己能靜下心來多寫寫東西。

這是我最近一段時間的經驗分享和自己的一點思考，只是發出來供參考。關於找人帶入門的問題：我覺得沒人帶一樣可以找到很多東西學，智商不足勤奮補上嘛！要學會搜索！還有，這篇文章不是烏雲的廣告貼，我只是把在烏雲上刷Rank當成激勵自己的目標。

---------------2016年02月17號 更新分割線------------------

在WooYun上我已經是一個普通白帽子，白帽子信息_zhchbin ，在我寫下上面那個答案之後的這段時間，我發現了一個騰訊的XSS問題，若干個新浪微博的CSRF問題，知乎/bilibili/網易等廠商的用戶微博OAuth2.0相關的漏洞。也有人看了我發的漏洞而學到了姿勢，這也是我挺自豪的。

在我個人的博客上也寫了兩篇總結文章，雖然閱讀量不高，但也算欣慰自己能沉下心來總結。正所謂xsser在zone里說的：這個圈子目前有太多的浮躁，在過去一年的時間裡也許很多人的機會增加了很多，但是有多少人關注自己真正成長了多少？ 我至少可以自豪的告訴自己，我應該成長了一些。

---------------2016年05月09號 更新分割線------------------

最近在WooYun上發了一個通用漏洞，2345瀏覽器本地文件讀取及遠程命令執行，第一個獲得烏雲獎金的漏洞，特此更新一發，雞凍的心情難以言表，感謝WooYun

---

web安全多久沒出過新東西了？

---

由於計算機基礎不足導致的對漏洞的理解和認識存在不足。其實看別人拿站的視頻倒不如補補基礎的知識。好好補補編程知識比如C語言，數據結構與演算法，資料庫，推薦可以看郝斌的視頻入門。java，推薦馬士兵的視頻，php推薦傳智播客的視頻，燕十八講的就很好，html前端知識,計算機網路，操作系統等。案例就到wooyun看就行。地基都沒打，能把樓蓋起來來嗎？能蓋多高，也是取決於它們。比如學好了資料庫，sql注入隨便你怎麼玩。學好了html和js，xss隨你怎麼玩。計算機網路學好了，協議類型的漏洞隨你怎麼玩，java和php學好了，你會發現代碼審計更好玩，演算法學好了，寫個工具效率高時間短特牛逼。C學好了，操作系統學好了，彙編學好了，發現linux和windows的漏洞你就可以控制世界了有沒有。不說了這些就夠學一段時間了。

---

為什麼一定要執著於這條路了，既然感覺自己一直不得要領，何不就此放下專註於自己的本職工作呢：）

---

不要受他們誤導！他們是專業的，與咱們業餘愛好者不同！

就算一天投入25小時，你這輩子也不可能將所有前人的網路安全技術都能懂！你一定要找一條自己的新路，沒人走的路，才能脫穎而出。找不到新路的話，就玩跨界，玩學科交叉。千萬不要順著那幫前人的書去看去想，對你的情況沒有益處！你要做的東西，一定不能是虛的，一定要滿足老百姓的某一點需求。

在前邊說的指導思想一下，如果你找不到具體學習方法的話，一個很簡單的方法是，你可以寫一個小網站，然後，你把一些有利益誘惑性的虛假的信息放上去，放到資料庫里去，你再到各論壇上去邀請大神幫忙攻擊這個網站，你自己再根據攻擊的情況，找方法學應對技術，為自己的網站打補丁，…反覆這樣，最後，直到沒有人能攻擊破你的網站，那時，你就學會了很多了，而且是最實用的知識！

在實際的戰鬥中，你會邀請攻擊，你會求助防守，你會翻書，你會寫腳本，你會抓包分析，你會讀rfc，你會用sourceinsight打開openssl源代碼，你會讀3gpp，你會順便買房子娶妻生子，你會…

---

黑客大曝光第七版能你看完？我說的這個看是理解不是了解。白帽子這本書你也能看完？別人能寫工具，你不能，說明你還不會編程。不會編程的黑客不是一個好黑客。別人問像白帽子這本書怎麼看，怎麼老是看不懂，黑哥回答：就是啃。 tk回答：不會就搜索。這個是一個學習的道理：像別人玩xss，玩得那麼嗨，我要怎麼才能也玩那麼嗨呢？xss涉及的基礎知識是js，那麼那就去惡補這方面的知識。還有學習過程你會感覺有些知識很枯燥，但你對信息安全的熱情夠，這也不是什麼大的困難了，其實你只看到大牛們牛逼的一面，他們以前也和你一樣，背後付出的努力是你遠遠不能想到的。我寫那麼多遠遠比不上像上面tk的一句話，因為我給的是答案，tk給你的是思考。

---

看到題主前輩如此迷茫，總覺得不應該。

我沒有什麼好的建議，我是今年的新生，一個計算機網路新生，總覺得還是想說點什麼……談談我的經歷，就當是看故事。

六月高考完，終於感到了危機感，我在想萬一考不上大學，我該怎麼辦？

應該說這是一個二貨才有的想法，為什麼高考前就不想一想這種事，努力學習，多考幾分，說不定就上了呢？

這種情緒一直持續到出分，真的認定我死定了，看分數應該所有學校都不會要我，雖然後來還是有一個學校要了我……去專科，讀了個計算機網路，被錄取期間我學了第一門編程語言：C語言。

來了學校後，軍訓一個月，訓的很累，累到有人問我是什麼專業的，我盡然不記得我是什麼專業的，只記得部隊番號。

十月，盲目與自大就是我的情緒，新生中少部分人知道編程語言是什麼，甚至根本沒有寫過代碼。

優越感油然而生，直到我見到一群211學校的人，與他們交流，終於知道我太局限於當下環境了，眼光太低。

十一月，c和py一塊學，ccie和linux一塊折騰，把從白天七點起床到夜裡兩點睡覺時間排的緊緊的。

有一天感覺非常累，累到不想講話，也發現了那麼一件事情。

也不知道為什麼，新生剛入學的積極性，給LOL拉下來了，反正很多人半夜LOL，很吵，畢竟大家同樓同層的，又是同班同學的……白天缺課一大半，來上課的九成睡覺。

我睡覺，他們就開始吵鬧……後來，我就習慣了。

為什麼習慣？我有很多怨言的，只是不說，口頭不說，憋回去，很快就不會在想，然後就習慣了。

十二月，我總結了十一月的學習，認定失敗破產。

我學一堆，記住很少，專精沒有，實際沒有多大作用。

還有就是，我想了下，我到底想學什麼？想以後做什麼？

我想以後搞安全，說白了就是想做黑客，那麼什麼才是正確學習安全？

所以，一面繼續學習C語編程，抽時間搞安全實驗學習。

第一個安全實驗，搞了個暴力破解無線路由，感覺還不夠。看視頻，搞了個ARP流量監控，就停了。

後來滲站，從第一次掃描出md5，到第十次照貓畫虎的提取。

上星期，模擬了一次metasploit滲透xp2，學了一堆kali能用的工具。

期間學會架設vpn，前幾天還在伺服器上搞了一個靜態網站，做出來放著給朋友看。

到今天，什麼編程，什麼安全學習，都不搞了，期末備考。

從六月到今天，中間不只是一次想過，我是否適合學習編程？我是否適合學習安全？

我想說，沒有人天生適合，也不用說自己不適合。

既然你選擇走了這條路，所有的苦都憋回去，就像軍訓的時候，教官對我說的，只要站在隊列里，就算是疼也給我憋回去，因為不是你一個人在疼。

我在質疑自己是否適合時，我選擇沉默，不說話，敲代碼，搞實驗，或者看看知乎，要不直接睡覺。

反正就是不要對自我迷茫，也不用多想，繼續往前走。

---

看看這篇文章吧

http://forum.eviloctal.com/thread-30883-1-1.html

---

真的是整就牛 但是不是整兩年就牛。。 我自己覺得自己是一條腿在門內一條腿在門外那種吧。提一點個人感受。 1感覺大家還是普遍認同10000小時定律這個玩意的。 2整，不止要看書，還要實踐(寫寫代碼，給自己的代碼找找毛病，看看什麼地方容易出漏洞，看看別人的審計思路。)，還要自己主動思考，總結規律，去社區看看大新聞什麼的。3.你問這種問題是很正常的，我自己每天也在探索怎麼學，我相信時間會給我們答案。4.這年代天才少年太多，做好自己就好。5.就是興趣和耐性的一次長時間的較量，有時候只是當做一個愛好，也未嘗不是一件好事。但是專業隊和業餘隊，在體育運動上從來都是差距巨大的，心態要好。

---

推薦閱讀：