网络安全学习路线图：2026年最新版，从入门到精通

一、写在前面

很多人入行网络安全，第一件事不是学技术，而是收藏一堆"黑客教程"“入坑指南”，存进网盘后便再也没打开过。结果学了三年，工具名能背一串，真让你去打一个 DVWA（Damn Vulnerable Web Application，漏洞百出的 Web 应用靶场）却连 SQL 注入的闭合符号都判断不准。这不是你不够聪明，而是缺一张能落地的路线图，以及一套把"看过"变成"会做"的机制。

本文面向零基础到转行人群，给出一份 2026 年仍适用的、从入门到精通的分阶段学习路线。它不鼓吹"三个月上岸"，也不堆砌名词，而是把每个阶段要学什么、为什么学、做什么实验、达到什么标准、会卡在哪里，全部拆开讲清楚。读完你能得到三样东西：一张可以直接照着走的能力地图、一个可执行的每周时间分配模板、一份靶场与知识库清单。

需要提前说明：路线是参考而非铁律。每个人的基础、可支配时间、目标岗位都不同，文中给出的时间窗口是"多数人达到对应能力的中位区间"，你可以压缩，也可以拉长，但阶段先后关系不要颠倒——基础不牢，越往后越痛苦。另外，安全学习必须始终在法律框架内：所有攻击性实验只在自己拥有或明确授权的环境进行，这是底线，也是职业操守。

二、核心概念与能力模型

在谈路线之前，先统一几个关键概念，否则后面会混淆。

网络安全（Cybersecurity） 是一个统称，覆盖保护网络、系统、程序、数据免受攻击、未授权访问与破坏的所有实践。它在岗位上通常拆分为几条主线：

• 渗透测试（Penetration Testing）：以攻击者的视角，受授权地发现系统弱点，产出可复现的漏洞报告。俗称"红队"基础能力。
• 安全运营（Security Operations，SecOps）：以防御者视角，做监测、告警研判、响应、加固，对应 SOC（Security Operations Center，安全运营中心）岗位。
• 安全开发/代码审计：在研发侧做安全设计、SDL（Security Development Lifecycle，安全开发生命周期）与源代码审计。
• 合规与审计：落实等保、密评、数据合规，对应合规工程师岗。
• 二进制/逆向/密码学：更底层的方向，门槛高、上限也高。

为什么先区分主线？因为 2026 年的岗位要求已经高度分化。六年前"会点 SQL 注入就能找工作"的环境不复存在，现在招聘 JD 写得非常细：渗透岗要会内网横向、云上攻防；运营岗要会 SIEM（Security Information and Event Management，安全信息和事件管理）、UEBA（User and Entity Behavior Analytics，用户与实体行为分析）、编排剧本。路线图的第二阶段之后必须做方向选择，否则样样通、样样松。

在动手规划前，建议了解一下国际通用的 NICE 网络安全劳动力框架（National Initiative for Cybersecurity Education Cybersecurity Workforce Framework）的思路：它把安全岗位拆成保护、检测、分析、运营、合规等职能域，与我们的"主线"一一对应。国内招聘也大体沿这条线，区别在于：初级岗更看重"能不能上手干活"，中高级岗更看重"能不能独立负责一块"。因此路线的前半段要解决"上手"，后半段要解决"负责"。

一个常被忽略的事实是：安全岗位对"证明能力"的诉求远高于很多 IT 岗位。因为安全工作的产出不像写业务代码那样直观可见，招聘方更依赖证书、靶场战绩、开源贡献、技术文章来判断你。这反过来说明，本文强调的"项目产出"和"知识库输出"不是锦上添花，而是你进入行业的硬通货。

我们可以用一张思维导图把能力域铺开，后面每个阶段都是在这张图里往下扎根。

#mermaid-svg-XjqcfzTJIxchkXhB{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-XjqcfzTJIxchkXhB .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-XjqcfzTJIxchkXhB .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-XjqcfzTJIxchkXhB .error-icon{fill:#552222;}#mermaid-svg-XjqcfzTJIxchkXhB .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-XjqcfzTJIxchkXhB .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-XjqcfzTJIxchkXhB .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-XjqcfzTJIxchkXhB .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-XjqcfzTJIxchkXhB .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-XjqcfzTJIxchkXhB .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-XjqcfzTJIxchkXhB .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-XjqcfzTJIxchkXhB .marker{fill:#333333;stroke:#333333;}#mermaid-svg-XjqcfzTJIxchkXhB .marker.cross{stroke:#333333;}#mermaid-svg-XjqcfzTJIxchkXhB svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-XjqcfzTJIxchkXhB p{margin:0;}#mermaid-svg-XjqcfzTJIxchkXhB .edge{stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .section–1 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section–1 path,#mermaid-svg-XjqcfzTJIxchkXhB .section–1 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section–1 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section–1 path{fill:hsl(240, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section–1 text{fill:#ffffff;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon–1{font-size:40px;color:#ffffff;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge–1{stroke:hsl(240, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth–1{stroke-width:17;}#mermaid-svg-XjqcfzTJIxchkXhB .section–1 line{stroke:hsl(60, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-0 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-0 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-0 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-0 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-0 path{fill:hsl(60, 100%, 73.5294117647%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-0 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-0{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-0{stroke:hsl(60, 100%, 73.5294117647%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-0{stroke-width:14;}#mermaid-svg-XjqcfzTJIxchkXhB .section-0 line{stroke:hsl(240, 100%, 83.5294117647%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-1 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-1 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-1 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-1 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-1 path{fill:hsl(80, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-1 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-1{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-1{stroke:hsl(80, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-1{stroke-width:11;}#mermaid-svg-XjqcfzTJIxchkXhB .section-1 line{stroke:hsl(260, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-2 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-2 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-2 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-2 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-2 path{fill:hsl(270, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-2 text{fill:#ffffff;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-2{font-size:40px;color:#ffffff;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-2{stroke:hsl(270, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-2{stroke-width:8;}#mermaid-svg-XjqcfzTJIxchkXhB .section-2 line{stroke:hsl(90, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-3 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-3 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-3 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-3 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-3 path{fill:hsl(300, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-3 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-3{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-3{stroke:hsl(300, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-3{stroke-width:5;}#mermaid-svg-XjqcfzTJIxchkXhB .section-3 line{stroke:hsl(120, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-4 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-4 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-4 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-4 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-4 path{fill:hsl(330, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-4 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-4{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-4{stroke:hsl(330, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-4{stroke-width:2;}#mermaid-svg-XjqcfzTJIxchkXhB .section-4 line{stroke:hsl(150, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-5 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-5 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-5 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-5 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-5 path{fill:hsl(0, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-5 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-5{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-5{stroke:hsl(0, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-5{stroke-width:-1;}#mermaid-svg-XjqcfzTJIxchkXhB .section-5 line{stroke:hsl(180, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-6 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-6 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-6 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-6 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-6 path{fill:hsl(30, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-6 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-6{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-6{stroke:hsl(30, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-6{stroke-width:-4;}#mermaid-svg-XjqcfzTJIxchkXhB .section-6 line{stroke:hsl(210, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-7 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-7 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-7 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-7 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-7 path{fill:hsl(90, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-7 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-7{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-7{stroke:hsl(90, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-7{stroke-width:-7;}#mermaid-svg-XjqcfzTJIxchkXhB .section-7 line{stroke:hsl(270, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-8 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-8 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-8 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-8 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-8 path{fill:hsl(150, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-8 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-8{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-8{stroke:hsl(150, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-8{stroke-width:-10;}#mermaid-svg-XjqcfzTJIxchkXhB .section-8 line{stroke:hsl(330, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-9 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-9 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-9 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-9 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-9 path{fill:hsl(180, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-9 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-9{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-9{stroke:hsl(180, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-9{stroke-width:-13;}#mermaid-svg-XjqcfzTJIxchkXhB .section-9 line{stroke:hsl(0, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-10 rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-10 path,#mermaid-svg-XjqcfzTJIxchkXhB .section-10 circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-10 polygon,#mermaid-svg-XjqcfzTJIxchkXhB .section-10 path{fill:hsl(210, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-10 text{fill:black;}#mermaid-svg-XjqcfzTJIxchkXhB .node-icon-10{font-size:40px;color:black;}#mermaid-svg-XjqcfzTJIxchkXhB .section-edge-10{stroke:hsl(210, 100%, 76.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .edge-depth-10{stroke-width:-16;}#mermaid-svg-XjqcfzTJIxchkXhB .section-10 line{stroke:hsl(30, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled,#mermaid-svg-XjqcfzTJIxchkXhB .disabled circle,#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:lightgray;}#mermaid-svg-XjqcfzTJIxchkXhB .disabled text{fill:#efefef;}#mermaid-svg-XjqcfzTJIxchkXhB .section-root rect,#mermaid-svg-XjqcfzTJIxchkXhB .section-root path,#mermaid-svg-XjqcfzTJIxchkXhB .section-root circle,#mermaid-svg-XjqcfzTJIxchkXhB .section-root polygon{fill:hsl(240, 100%, 46.2745098039%);}#mermaid-svg-XjqcfzTJIxchkXhB .section-root text{fill:#ffffff;}#mermaid-svg-XjqcfzTJIxchkXhB .section-root span{color:#ffffff;}#mermaid-svg-XjqcfzTJIxchkXhB .section-2 span{color:#ffffff;}#mermaid-svg-XjqcfzTJIxchkXhB .icon-container{height:100%;display:flex;justify-content:center;align-items:center;}#mermaid-svg-XjqcfzTJIxchkXhB .edge{fill:none;}#mermaid-svg-XjqcfzTJIxchkXhB .mindmap-node-label{dy:1em;alignment-baseline:middle;text-anchor:middle;dominant-baseline:middle;text-align:center;}#mermaid-svg-XjqcfzTJIxchkXhB :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

网络安全能力域

网络与系统

TCP/IP协议栈

Linux运维

Windows运维

编程开发

Python

Shell脚本

Go与C

安全专项

Web安全

二进制与逆向

云安全与内网

工程化

安全运营SOC

红蓝对抗

合规审计

三、路线全景与阶段对照

整条路线按"基础—安全基础—方向深耕—进阶—专项"五段式推进。下面先用一张流程图把阶段和分叉点画清楚，再用对照表说明每个阶段的核心目标与产出。

#mermaid-svg-NgFvUwQwN6lPd15a{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-NgFvUwQwN6lPd15a .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-NgFvUwQwN6lPd15a .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-NgFvUwQwN6lPd15a .error-icon{fill:#552222;}#mermaid-svg-NgFvUwQwN6lPd15a .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-NgFvUwQwN6lPd15a .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-NgFvUwQwN6lPd15a .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-NgFvUwQwN6lPd15a .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-NgFvUwQwN6lPd15a .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-NgFvUwQwN6lPd15a .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-NgFvUwQwN6lPd15a .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-NgFvUwQwN6lPd15a .marker{fill:#333333;stroke:#333333;}#mermaid-svg-NgFvUwQwN6lPd15a .marker.cross{stroke:#333333;}#mermaid-svg-NgFvUwQwN6lPd15a svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-NgFvUwQwN6lPd15a p{margin:0;}#mermaid-svg-NgFvUwQwN6lPd15a .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-NgFvUwQwN6lPd15a .cluster-label text{fill:#333;}#mermaid-svg-NgFvUwQwN6lPd15a .cluster-label span{color:#333;}#mermaid-svg-NgFvUwQwN6lPd15a .cluster-label span p{background-color:transparent;}#mermaid-svg-NgFvUwQwN6lPd15a .label text,#mermaid-svg-NgFvUwQwN6lPd15a span{fill:#333;color:#333;}#mermaid-svg-NgFvUwQwN6lPd15a .node rect,#mermaid-svg-NgFvUwQwN6lPd15a .node circle,#mermaid-svg-NgFvUwQwN6lPd15a .node ellipse,#mermaid-svg-NgFvUwQwN6lPd15a .node polygon,#mermaid-svg-NgFvUwQwN6lPd15a .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-NgFvUwQwN6lPd15a .rough-node .label text,#mermaid-svg-NgFvUwQwN6lPd15a .node .label text,#mermaid-svg-NgFvUwQwN6lPd15a .image-shape .label,#mermaid-svg-NgFvUwQwN6lPd15a .icon-shape .label{text-anchor:middle;}#mermaid-svg-NgFvUwQwN6lPd15a .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-NgFvUwQwN6lPd15a .rough-node .label,#mermaid-svg-NgFvUwQwN6lPd15a .node .label,#mermaid-svg-NgFvUwQwN6lPd15a .image-shape .label,#mermaid-svg-NgFvUwQwN6lPd15a .icon-shape .label{text-align:center;}#mermaid-svg-NgFvUwQwN6lPd15a .node.clickable{cursor:pointer;}#mermaid-svg-NgFvUwQwN6lPd15a .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-NgFvUwQwN6lPd15a .arrowheadPath{fill:#333333;}#mermaid-svg-NgFvUwQwN6lPd15a .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-NgFvUwQwN6lPd15a .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-NgFvUwQwN6lPd15a .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-NgFvUwQwN6lPd15a .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-NgFvUwQwN6lPd15a .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-NgFvUwQwN6lPd15a .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-NgFvUwQwN6lPd15a .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-NgFvUwQwN6lPd15a .cluster text{fill:#333;}#mermaid-svg-NgFvUwQwN6lPd15a .cluster span{color:#333;}#mermaid-svg-NgFvUwQwN6lPd15a div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-NgFvUwQwN6lPd15a .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-NgFvUwQwN6lPd15a rect.text{fill:none;stroke-width:0;}#mermaid-svg-NgFvUwQwN6lPd15a .icon-shape,#mermaid-svg-NgFvUwQwN6lPd15a .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-NgFvUwQwN6lPd15a .icon-shape p,#mermaid-svg-NgFvUwQwN6lPd15a .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-NgFvUwQwN6lPd15a .icon-shape .label rect,#mermaid-svg-NgFvUwQwN6lPd15a .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-NgFvUwQwN6lPd15a .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-NgFvUwQwN6lPd15a .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-NgFvUwQwN6lPd15a :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

偏攻击

偏防御

0-3个月 打基础

3-6个月 安全基础

6-12个月 方向选择

渗透测试方向

安全运营方向

1-2年 进阶: 内网渗透/代码审计/云安全/应急响应

2年以上 专项研究 体系化能力

形成方法论与可复用资产

阶段对照如下：

这张表是骨架，下面四章把每一段拆成"学什么 / 为什么学 / 动手实验 / 自测标准 / 常见卡点"五要素。

需要强调，五段式不是时间平均分配。前两段是"通识底座"，占你总投入的 40% 左右；方向深耕决定你能否就业，占 30%；进阶与专项决定你能走多高，占剩余 30%。新手最容易犯的错误是把大量时间耗在第一阶段反复"补基础"而不敢进入漏洞实战——基础永远补不完，应当在第二阶段边打边补。把"学完再动手"改成"动手中学"，是提速的关键心智转变。

3.3 为什么是五段而不是三阶段

有人问：为什么不直接分成"基础—实战—精通"三段？因为安全能力的跃迁不是线性的。从基础到安全基础，是"懂原理"的门槛；从安全基础到方向深耕，是"能就业"的门槛；从深耕到进阶，是"能独立负责"的门槛；从进阶到专项，是"能领先"的门槛。每一道门槛对应不同的能力结构，混在一起反而会让你既没深度也没广度。

五段式还隐含一个提醒：第三道门槛（方向深耕）之后才是分水岭。在此之前，所有人不分方向地补底座；在此之后，路径明显分化。所以本文把方向选择放在第六个月这个点，既不早到还没感觉，也不晚到错过就业窗口。理解了这个节奏，你就能判断自己"现在该急什么"——基础没过就别急着挑方向，方向定了就别再四处撒网。

最后，五段时间窗是中位数而非 deadline。天赋高、时间多的人可以压缩，转行兼顾工作的人可以拉长到两倍。唯一不能变的是顺序：先底座、再原理、再方向、再进阶、再专项。跳级学习几乎必然在第三、四阶段返工，代价远大于前期的耐心。把路线当地图而非时刻表，你才能走得稳、走得远。

四、第一阶段：0–3 个月打基础

4.1 阶段目标与画像

三个月结束时，你应当是一个"能让自己不成为菜鸟"的运维+脚本小子：看得懂抓包、配得通服务、写得动自动化脚本。这个阶段不碰漏洞利用，先把地基打实。如果你已经有 Linux 日常使用经验，这一阶段可以压缩到两个月；如果是纯小白，宁肯延长也不要跳。

4.2 要学什么

• 网络原理：OSI 七层与 TCP/IP 四层模型、三次握手与四次挥手、ARP/DNS/HTTP/HTTPS 协议字段、子网划分与 NAT、常见端口与服务。重点是理解"数据怎么从 A 到 B，中间经过谁"。
• Linux 基础：文件系统层级（FHS）、权限模型（rwx 与特殊位 SUID/SGID/Sticky）、常用命令（grep/awk/sed/find/netstat/ss/lsof）、包管理（apt/yum）、服务配置（SSH、Nginx、Cron）、Shell 管道思维。
• Windows 基础：用户与组、注册表、组策略、域（Domain）的初步概念、事件查看器、常见服务（IIS、SMB、RDP）。
• 编程入门：Python（语法、requests、正则、文件处理、subprocess）、Shell 脚本（批量任务）、了解 HTTP 请求如何被代码构造，以及为什么"用户输入拼进命令/SQL"会出问题。

4.3 为什么学

网络安全本质是"在别人系统上找错"，如果你连系统怎么跑、请求怎么发、权限怎么管都不清楚，后面看到漏洞只是背 payload（攻击载荷），换个场景就傻。网络原理让你能看懂攻击流量；Linux/Windows 让你能在真实环境里操作；编程让你能把重复劳动自动化，这是和普通"用工具的人"拉开差距的第一步。

更深一层：安全研究的天花板，往往由编程与系统功底决定。能读源码的人能发现别人发现不了的漏洞，能写工具的人能把效率提升十倍。第一阶段的编程不要求你成为工程师，但要求你"不怕代码"——看到一段 Python 脚本能改、看到报错能查。

4.4 推荐动手实验

4.5 里程碑自测标准

• 不看教程，能独立在虚拟机装好 Linux 并配通网络。
• 能口述 TCP 三次握手，并解释为什么需要三次而不是两次（防止已失效连接请求突然又传到服务端）。
• 能写出 30 行以上的 Python 脚本解决实际问题，不靠逐行搜。
• 能读一段 Nginx 配置，说出它开放了哪些端口、转发到哪、有哪些安全隐患。

4.6 常见卡点与突破

• 卡点在"配环境"：虚拟机网络模式（NAT/桥接/仅主机）概念模糊，导致靶场连不上。突破方法：专门花一晚把三种模式各试一遍，画出数据包走向。
• 卡点在"学编程没目标"：纯学语法很枯燥。突破：每学一个语法点立刻写一个安全相关的小工具，比如端口扫描器雏形。
• 卡点在"资料太多"：到处找"最全教程"。突破：固定一套主线资料（见第九章），不再横向比较，先走完再补。

4.7 本阶段资料与节奏排雷

只选一套主线视频/文档跟完，不要同时开三套。每天固定一个"不动脑也能做"的微小动作（比如配一条命令、读一页手册），用习惯撬动坚持。遇到报错，先读报错原文再搜，培养"自己能定位问题"的能力——这比任何教程都值钱。

4.8 基础阶段的隐蔽陷阱：从 GUI 依赖到命令行思维

很多人学 Linux 一直离不开图形界面，见到命令行就慌。这是基础阶段最隐蔽的陷阱：图形界面帮你做了决策，你却不知道背后发生了什么。突破的方法是"逼自己用命令"——连文件都用 vim 改，连网络都用 ip/ss 看，连解压都用 tar。坚持两周，你会建立一种"系统是可被命令行完全描述"的心智模型，这正是后续所有安全操作的基础。

另一个陷阱是"视频依赖症"：看别人操作觉得都会，自己一动就废。解决办法是关掉视频、只看目标，卡住再去查。基础阶段的目标不是"看过"，而是"能独立复述并操作"。凡是需要回看视频才能做的动作，都说明还没真正掌握，应当拆成更小的步骤逐个吃透。还有人把"收藏资料"当进度，前文已强调这是幻觉，基础阶段尤其要防。

最后注意节奏：基础阶段最容易因追求完美而无限延长。判断达标看第四章的自测标准，达到了就进下一阶段，知识盲区留给后面的实战去补。先跑通再求精，是比"学全再动手"高效得多的策略。别让"我还差点没学完"成为不敢上手的借口。

五、第二阶段：3–6 个月安全基础

5.1 阶段目标与画像

六个月结束时，你要能理解主流漏洞的成因与利用逻辑，亲手在授权靶场上复现 OWASP Top 10（开放式 Web 应用程序安全项目发布的十大 Web 风险清单），而不是只停留在名词。这一阶段是"从会用到懂原理"的转折。

5.2 要学什么

• Web 安全基础：SQL 注入、XSS（跨站脚本）、CSRF（跨站请求伪造）、文件上传绕过、命令注入、SSRF（服务端请求伪造）、反序列化、认证与会话缺陷、访问控制失效。每一类都要求懂"原理—利用—防御"三段。
• OWASP Top 10（2021 版）：记住它的十大分类与含义，这是面试和报告的高频词。
• 密码学基础：对称与非对称加密、哈希、数字签名、HTTPS 里的证书链、常见误区（如 MD5 不能用于密码存储、Base64 不是加密）。
• 操作系统安全加固：Linux 基线（账户策略、SSH 加固、最小化服务）、Windows 基线（关闭不必要服务、审计策略）。
• 安全工具入门：Burp Suite（代理抓包改包）、Nmap（端口扫描）、SQLmap（注入自动化，仅用于授权环境）。

5.3 为什么学

第二阶段是从"会用电脑"到"懂安全"的分水岭。OWASP Top 10 是 Web 安全的公约数，几乎覆盖 80% 的真实 Web 漏洞；密码学是理解传输安全与认证的基础；系统加固则让你明白"防御方在做什么"，攻防是镜像关系，不懂防就打不深。

更重要的是，这一阶段训练你的"攻击者思维"：面对一个输入框，你会本能地问"这里的数据去了哪、被怎么处理、能否被我控制"。这种思维不是天赋，是成百上千次手动复现练出来的。

5.4 推荐动手实验

5.5 里程碑自测标准

• 能不看工具提示，手动写出一条有闭合逻辑的 SQL 注入探测语句。
• 能讲清 XSS 的反射型、存储型、DOM 型区别，并各给一个场景。
• 能说明 HTTPS 握手里非对称加密用在哪一步、对称密钥怎么协商。
• 能对照基线清单，给一台默认 Linux 服务器找出至少 5 处可加固点。

5.6 常见卡点与突破

• 卡在"只点工具不出脑"：SQLmap 一键跑通但说不清原理。突破：强制前两周不用自动化工具，全手动。
• 卡在"学完就忘"：缺复盘，见第九章机制。
• 卡在"不敢动手"：怕把环境搞崩。突破：所有实验都在虚拟机/容器里做，随便毁，快照是你的后悔药。

5.7 把漏洞学透的三条标准

一个漏洞算"真懂"，要满足三条：能向不懂的人讲清成因；能不依赖工具手动复现；能写出对应的防御代码或配置。任何一条做不到，就回到实验去补。用这三条标准筛一遍 OWASP Top 10，比刷十遍视频都扎实。

六、第三阶段：6–12 个月方向深耕

6.1 方向选择的必要性

到第六个月，必须二选一：偏攻击的渗透测试，或偏防御的安全运营。这不是终点，后期可以互通，但前期精力有限，先扎一条线才能形成竞争力。选择依据不是"哪个酷"，而是你的性格与条件：喜欢拆解、耐得住闷头钻研的适合渗透；喜欢协作、能在压力下做研判响应的适合运营。

6.2 渗透测试方向

• 学什么：信息收集（资产、子域、端口、指纹）、漏洞扫描与手工验证、常见 CMS 漏洞、提权（Linux/Windows 本地提权）、权限维持、报告撰写。进阶可触内网。
• 为什么学：渗透是攻击视角的集大成，对理解"攻击者怎么想"最直接，也最易产出可见成果（一份报告）。
• 动手实验：在 VulnHub 下载一台入门机（如基础难度的靶机），从踩点到拿到 root 旗标（flag）完整走一遍；用 TryHackMe 的渗透路径房间系统训练。
• 自测：能独立拿下一台未给提示的 VulnHub 靶机并写出含复现步骤的报告。
• 卡点：卡在提权。突破：系统学 Windows/Linux 提权原理，建一个"提权检查清单"。

6.3 安全运营方向

• 学什么：日志分析（Web 日志、系统日志、网络设备日志）、SIEM 搭建与规则（如 Wazuh、Splunk 基础）、告警研判流程、威胁情报（Threat Intelligence）使用、事件响应（IR，Incident Response）基础、SOAR（安全编排自动化与响应）剧本概念。
• 为什么学：企业真正长期招的是运营岗，需求量大、生命周期长；且运营能反哺你对攻击的理解。
• 动手实验：用 Wazuh 搭一个最小 SOC，把一台 Web 服务器的日志接进来，写一条检测"目录遍历扫描"的规则并触发验证。
• 自测：给定一批混合日志，能在 30 分钟内定位一次模拟攻击的入口时间与 IP。
• 卡点：卡在"告警洪水"看不过来。突破：学优先级分诊（Triage）方法，先按杀伤链阶段排。

6.4 共同要求与决策清单

无论选哪条线，这半年都必须产出一个"能写进简历"的项目：渗透方向是一份完整报告+靶机复盘；运营方向是一个可演示的检测剧本。没有项目，面试张口即虚。决策时可问自己三句：我更享受"攻"还是"防"？我能否接受运营的值班节奏？我手头是否有可练手的授权环境？答案倾向哪边就选哪边，选错可在第四阶段补救，但别一直犹豫。

七、第四、五阶段：1–2 年进阶与 2 年以上专项

7.1 第四阶段（1–2 年）的四块进阶能力

7.2 第五阶段（2 年以上）的专项研究

到这个阶段，差异化的不是"又会什么"，而是"在哪块比别人深"。典型专项：移动安全、车联网安全、工控安全（ICS/SCADA）、红队弹药研发（工具开发）、威胁狩猎（Threat Hunting）、安全研究（CVE 挖掘）。此时的标志是形成体系化能力：能把零散知识点连成方法论，沉淀可复用工具链与内部培训材料。

7.3 自测与卡点

• 四阶段自测：能在一个模拟域环境里从一台失陷的工作站打到域控；能审计一个开源项目并提有效 issue；能独立处置一次真实应急事件。
• 五阶段自测：在某一垂直领域，你的输出（文章/工具/课程）能被同行引用。
• 共同卡点：高原期——学了很多却感觉不涨。突破：从"输入"切到"输出"，写文章、做分享、带新人，教是最好的学。

7.4 进阶能力的资源地图

内网可跟公开域环境（如模拟域的练习镜像）；代码审计从自己写的小项目开始"自己审自己"；云安全用厂商免费层搭实验账号，重点练"错误配置"；应急响应读权威的事件复盘报告，反向推导防御短板。每条线都有成熟社区，但务必只在授权范围内练。

7.5 给进阶者的学习资源组合

进阶阶段资料极大丰富，反而容易迷失。推荐的组合是"一手资料为主、课程为辅"：一手资料包括官方文档、RFC、CVE 详情、厂商安全公告；课程用于建立框架。内网方向读公开域环境报告，云安全读云厂商安全白皮书与错误配置案例，代码审计直接读真实开源项目的 issue 与补丁。

进阶者还要开始建立"信息源纪律"：固定关注几个高质量来源（如国家漏洞库、CNVD、知名安全团队博客），每天扫一遍，而不是被算法推荐牵着走。把看到的高价值内容即时落入知识库（见第九章），避免"看过即忘"。这个阶段比拼的不是谁资料多，而是谁把资料转化成了能力。

同时，进阶者应当开始输出：写技术文章、在社区答问、做内部分享。输出会强制你把模糊的理解压实，也会让你在行业内被看见。很多高阶机会（如红队邀请、漏洞赏金、演讲席位）正是从持续输出中来的。把"输入—输出"的闭环从基础阶段延续到整个职业生涯，是走通五段式后仍能持续增值的核心习惯。

八、每周学习计划模板与靶场环境清单

8.1 每周时间分配模板

假设你是在职自学，每周约 12–15 小时。下面是可直接套用的分配（单位为小时）：

学习节奏建议用"输入—实践—输出"闭环，不要一周全是看视频。下面用旅程图表示典型一周的投入重心。

#mermaid-svg-WNIw55ITLwv9ovOd{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-WNIw55ITLwv9ovOd .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-WNIw55ITLwv9ovOd .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-WNIw55ITLwv9ovOd .error-icon{fill:#552222;}#mermaid-svg-WNIw55ITLwv9ovOd .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-WNIw55ITLwv9ovOd .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-WNIw55ITLwv9ovOd .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-WNIw55ITLwv9ovOd .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-WNIw55ITLwv9ovOd .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-WNIw55ITLwv9ovOd .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-WNIw55ITLwv9ovOd .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-WNIw55ITLwv9ovOd .marker{fill:#333333;stroke:#333333;}#mermaid-svg-WNIw55ITLwv9ovOd .marker.cross{stroke:#333333;}#mermaid-svg-WNIw55ITLwv9ovOd svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-WNIw55ITLwv9ovOd p{margin:0;}#mermaid-svg-WNIw55ITLwv9ovOd .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-WNIw55ITLwv9ovOd .mouth{stroke:#666;}#mermaid-svg-WNIw55ITLwv9ovOd line{stroke:#333;}#mermaid-svg-WNIw55ITLwv9ovOd .legend{fill:#333;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}#mermaid-svg-WNIw55ITLwv9ovOd .label text{fill:#333;}#mermaid-svg-WNIw55ITLwv9ovOd .label{color:#333;}#mermaid-svg-WNIw55ITLwv9ovOd .face{fill:#FFF8DC;stroke:#999;}#mermaid-svg-WNIw55ITLwv9ovOd .node rect,#mermaid-svg-WNIw55ITLwv9ovOd .node circle,#mermaid-svg-WNIw55ITLwv9ovOd .node ellipse,#mermaid-svg-WNIw55ITLwv9ovOd .node polygon,#mermaid-svg-WNIw55ITLwv9ovOd .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-WNIw55ITLwv9ovOd .node .label{text-align:center;}#mermaid-svg-WNIw55ITLwv9ovOd .node.clickable{cursor:pointer;}#mermaid-svg-WNIw55ITLwv9ovOd .arrowheadPath{fill:#333333;}#mermaid-svg-WNIw55ITLwv9ovOd .edgePath .path{stroke:#333333;stroke-width:1.5px;}#mermaid-svg-WNIw55ITLwv9ovOd .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-WNIw55ITLwv9ovOd .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-WNIw55ITLwv9ovOd .edgeLabel rect{opacity:0.5;}#mermaid-svg-WNIw55ITLwv9ovOd .cluster text{fill:#333;}#mermaid-svg-WNIw55ITLwv9ovOd div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-WNIw55ITLwv9ovOd .task-type-0,#mermaid-svg-WNIw55ITLwv9ovOd .section-type-0{fill:#ECECFF;}#mermaid-svg-WNIw55ITLwv9ovOd .task-type-1,#mermaid-svg-WNIw55ITLwv9ovOd .section-type-1{fill:#ffffde;}#mermaid-svg-WNIw55ITLwv9ovOd .task-type-2,#mermaid-svg-WNIw55ITLwv9ovOd .section-type-2{fill:hsl(304, 100%, 96.2745098039%);}#mermaid-svg-WNIw55ITLwv9ovOd .task-type-3,#mermaid-svg-WNIw55ITLwv9ovOd .section-type-3{fill:hsl(124, 100%, 93.5294117647%);}#mermaid-svg-WNIw55ITLwv9ovOd .task-type-4,#mermaid-svg-WNIw55ITLwv9ovOd .section-type-4{fill:hsl(176, 100%, 96.2745098039%);}#mermaid-svg-WNIw55ITLwv9ovOd .task-type-5,#mermaid-svg-WNIw55ITLwv9ovOd .section-type-5{fill:hsl(-4, 100%, 93.5294117647%);}#mermaid-svg-WNIw55ITLwv9ovOd .task-type-6,#mermaid-svg-WNIw55ITLwv9ovOd .section-type-6{fill:hsl(8, 100%, 96.2745098039%);}#mermaid-svg-WNIw55ITLwv9ovOd .task-type-7,#mermaid-svg-WNIw55ITLwv9ovOd .section-type-7{fill:hsl(188, 100%, 93.5294117647%);}#mermaid-svg-WNIw55ITLwv9ovOd .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-WNIw55ITLwv9ovOd .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-WNIw55ITLwv9ovOd :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}你工作日工作日你晨间阅读晨间阅读你晚间跟课晚间跟课周末周末你靶场专项靶场专项你复盘笔记复盘笔记你项目产出项目产出典型一周学习节奏

8.2 靶场与实验环境清单

8.3 用 Docker 一键搭好 DVWA 环境

所有实验都在隔离环境里做，避免污染本机。下面给出可直接执行的命令：

# 拉取并后台运行 DVWA 靶场（官方漏洞镜像，仅用于授权练习）
docker run -d -p 8080:80 –name dvwa vulnerables/web-dvwa

# 查看容器是否起来
docker ps | grep dvwa

# 进入容器初始化数据库（访问 http://localhost:8080 后点 Create/Reset Database）
docker exec -it dvwa bash

# 练习完毕销毁，干净利落
docker stop dvwa && docker rm dvwa

说明：默认访问地址为 http://localhost:8080，默认账号 admin、密码 password。首次使用务必先点页面上的数据库初始化。Pikachu 为 PHP+MySQL 应用，部署时把它放入 Web 根目录并访问 install.php 完成初始化即可，操作逻辑与 DVWA 类似。

8.4 靶场练习的进阶心法

靶场不是"通关游戏"，目的是建立可迁移的能力。三条心法：第一，每打完一个漏洞，强制写"复现卡片"，记录触发条件、Payload、修复方式，否则下一个类似漏洞你仍要从零找；第二，从"有答案"的 DVWA 过渡到"无答案"的 VulnHub，训练独立推理，遇到卡点先画攻击链再查资料；第三，定期做"限时演练"，模拟真实评估的时间压力，避免养成无限调试的依赖。把靶场战绩沉淀成可展示的报告，比"我打过 50 台"更有说服力。

九、个人知识库、复盘机制与"收藏即学会"破解

9.1 为什么必须建知识库

"收藏即学会"是自学最大的幻觉。收藏动作带来的掌控感，和真正掌握隔着一道实操的鸿沟。破解办法只有一个：让知识经过你自己的手输出一次。知识库不是网盘，而是你二次加工的产物。

9.2 知识库分类建议

9.3 复盘闭环

学一个知识点，必须走完"输入→整理→实践→复盘→输出"五步才算闭环。下面用状态图表示这条闭环，任何一步断掉，知识都留不住。

#mermaid-svg-riZKfP41cXwzYsNK{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-riZKfP41cXwzYsNK .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-riZKfP41cXwzYsNK .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-riZKfP41cXwzYsNK .error-icon{fill:#552222;}#mermaid-svg-riZKfP41cXwzYsNK .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-riZKfP41cXwzYsNK .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-riZKfP41cXwzYsNK .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-riZKfP41cXwzYsNK .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-riZKfP41cXwzYsNK .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-riZKfP41cXwzYsNK .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-riZKfP41cXwzYsNK .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-riZKfP41cXwzYsNK .marker{fill:#333333;stroke:#333333;}#mermaid-svg-riZKfP41cXwzYsNK .marker.cross{stroke:#333333;}#mermaid-svg-riZKfP41cXwzYsNK svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-riZKfP41cXwzYsNK p{margin:0;}#mermaid-svg-riZKfP41cXwzYsNK defs #statediagram-barbEnd{fill:#333333;stroke:#333333;}#mermaid-svg-riZKfP41cXwzYsNK g.stateGroup text{fill:#9370DB;stroke:none;font-size:10px;}#mermaid-svg-riZKfP41cXwzYsNK g.stateGroup text{fill:#333;stroke:none;font-size:10px;}#mermaid-svg-riZKfP41cXwzYsNK g.stateGroup .state-title{font-weight:bolder;fill:#131300;}#mermaid-svg-riZKfP41cXwzYsNK g.stateGroup rect{fill:#ECECFF;stroke:#9370DB;}#mermaid-svg-riZKfP41cXwzYsNK g.stateGroup line{stroke:#333333;stroke-width:1;}#mermaid-svg-riZKfP41cXwzYsNK .transition{stroke:#333333;stroke-width:1;fill:none;}#mermaid-svg-riZKfP41cXwzYsNK .stateGroup .composit{fill:white;border-bottom:1px;}#mermaid-svg-riZKfP41cXwzYsNK .stateGroup .alt-composit{fill:#e0e0e0;border-bottom:1px;}#mermaid-svg-riZKfP41cXwzYsNK .state-note{stroke:#aaaa33;fill:#fff5ad;}#mermaid-svg-riZKfP41cXwzYsNK .state-note text{fill:black;stroke:none;font-size:10px;}#mermaid-svg-riZKfP41cXwzYsNK .stateLabel .box{stroke:none;stroke-width:0;fill:#ECECFF;opacity:0.5;}#mermaid-svg-riZKfP41cXwzYsNK .edgeLabel .label rect{fill:#ECECFF;opacity:0.5;}#mermaid-svg-riZKfP41cXwzYsNK .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-riZKfP41cXwzYsNK .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-riZKfP41cXwzYsNK .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-riZKfP41cXwzYsNK .edgeLabel .label text{fill:#333;}#mermaid-svg-riZKfP41cXwzYsNK .label div .edgeLabel{color:#333;}#mermaid-svg-riZKfP41cXwzYsNK .stateLabel text{fill:#131300;font-size:10px;font-weight:bold;}#mermaid-svg-riZKfP41cXwzYsNK .node circle.state-start{fill:#333333;stroke:#333333;}#mermaid-svg-riZKfP41cXwzYsNK .node .fork-join{fill:#333333;stroke:#333333;}#mermaid-svg-riZKfP41cXwzYsNK .node circle.state-end{fill:#9370DB;stroke:white;stroke-width:1.5;}#mermaid-svg-riZKfP41cXwzYsNK .end-state-inner{fill:white;stroke-width:1.5;}#mermaid-svg-riZKfP41cXwzYsNK .node rect{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-riZKfP41cXwzYsNK .node polygon{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-riZKfP41cXwzYsNK #statediagram-barbEnd{fill:#333333;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-cluster rect{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-riZKfP41cXwzYsNK .cluster-label,#mermaid-svg-riZKfP41cXwzYsNK .nodeLabel{color:#131300;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-cluster rect.outer{rx:5px;ry:5px;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-state .divider{stroke:#9370DB;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-state .title-state{rx:5px;ry:5px;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-cluster.statediagram-cluster .inner{fill:white;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-cluster.statediagram-cluster-alt .inner{fill:#f0f0f0;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-cluster .inner{rx:0;ry:0;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-state rect.basic{rx:5px;ry:5px;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-state rect.divider{stroke-dasharray:10,10;fill:#f0f0f0;}#mermaid-svg-riZKfP41cXwzYsNK .note-edge{stroke-dasharray:5;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-note rect{fill:#fff5ad;stroke:#aaaa33;stroke-width:1px;rx:0;ry:0;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-note rect{fill:#fff5ad;stroke:#aaaa33;stroke-width:1px;rx:0;ry:0;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-note text{fill:black;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram-note .nodeLabel{color:black;}#mermaid-svg-riZKfP41cXwzYsNK .statediagram .edgeLabel{color:red;}#mermaid-svg-riZKfP41cXwzYsNK #dependencyStart,#mermaid-svg-riZKfP41cXwzYsNK #dependencyEnd{fill:#333333;stroke:#333333;stroke-width:1;}#mermaid-svg-riZKfP41cXwzYsNK .statediagramTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-riZKfP41cXwzYsNK :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

学新知识点

写卡片笔记

上机验证

总结错误

写文章或教别人

输入

整理

实践

复盘

输出

9.4 用脚本固化你的学习打卡

把复盘变成可执行的习惯，比靠意志力靠谱。下面一段 Python 脚本帮你维护一个本地学习索引，每次学完一条就记录，月底自动统计。

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
"""极简学习打卡与知识库索引器（本地文件，无外部依赖）"""
import json
import os
from datetime import date

INDEX_FILE = "study_log.json" # 学习记录文件

def load():
if not os.path.exists(INDEX_FILE):
return []
with open(INDEX_FILE, "r", encoding="utf-8") as f:
return json.load(f)

def add(topic, stage, note):
logs = load()
logs.append({
"date": str(date.today()),
"topic": topic,
"stage": stage,
"note": note,
})
with open(INDEX_FILE, "w", encoding="utf-8") as f:
json.dump(logs, f, ensure_ascii=False, indent=2)
print(f"已记录：{topic}（{stage}）")

def summary():
logs = load()
by_stage = {}
for x in logs:
by_stage[x["stage"]] = by_stage.get(x["stage"], 0) + 1
print(f"累计记录 {len(logs)} 条，各阶段分布：{by_stage}")

if __name__ == "__main__":
# 示例：学完 SQL 注入 Low 难度后打一次卡
add("SQL注入-手工闭合", "第二阶段", "DVWA Low 用 ' 报错判断字符型")
summary()

用法：把脚本存为 study_log.py，每次学完调用 add(…) 记录，周末跑 summary() 看分布。坚持一个月，你会发现"学了啥"从模糊变清晰，这正是打破收藏幻觉的关键。

9.5 避免"收藏即学会"的四条铁律

9.6 一套可以长期用的复盘模板

知识库最容易变成"资料坟场"：收藏了很多，但从来不看。破解方法只有一个——让每篇笔记都指向一个具体动作。下面这套模板在写每篇复盘时逐项填，填不满说明这次练习还没做完。

使用建议：每周留出固定时间做一次复盘，把当周的实操笔记压缩成一页"能带走的东西"。三个月之后回看，你会发现真正留下的不是命令，而是一套遇到陌生问题时的定位方法——先分层判断、再缩小范围、最后验证假设。这套方法才是能迁移到任何系统上的能力。

另外一个常被忽视的动作是定期回头复现旧实验。人的记忆对"步骤"衰减很快，对"判断"却衰减很慢。隔一个月重做同一个靶机，如果还需要查笔记才能走完流程，说明你练的是记忆而不是能力；如果流程记不清但每步都能自己推出来，那说明你练对了。

9.7 信息源与社群的管理办法

学习路线里最容易失控的环节不是技术，而是信息。建议采用"三层筛选 + 固定时间"的做法：

关键动作是"固定时间"：把信息读取塞进固定时段，而不是随时刷。随时刷的结果是注意力被切碎，动手时间被挤占，最后感觉"学了很多但什么都不会"。把省下来的时间换成动手时长，收益至少翻倍。

找同伴时也有一个实用原则：优先找能互相追问的人，而不是互相点赞的人。向别人讲一遍自己的实验，被追问两个"为什么"，往往比看十篇文章的收获更大。

十、常见问题 FAQ

十、常见问题 FAQ

Q1：零基础、非科班，能走这条路吗？
能。路线本身不要求科班，但要求持续动手。很多优秀安全工程师是转行而来，关键是第二阶段之后要有项目背书。

Q2：先学 Python 还是先学 Linux？
同步推进。Python 用来自动化，Linux 是主要战场，两者不冲突，第二阶段的漏洞复现大量依赖 Linux 命令行。

Q3：要不要一上来就学 Kali Linux？
不建议。Kali 只是工具集合，基础不会时用它只会"点按钮"。先把第一、二阶段打牢，再上 Kali 才顺手。

Q4：渗透和运营哪个更好就业？
运营岗需求基数更大、更稳定；渗透岗上限高、竞争也激烈。新手建议运营打底、渗透作特长，互为加成。

Q5：学到哪个阶段可以投简历？
至少完成第三阶段、有一个完整项目。只有收藏没有产出，面试很难过。

Q6：每天只有一小时怎么办？
拉长周期、保住闭环。一小时也走"输入+输出"，宁慢勿断。用第八章的晨晚间碎片分配即可。

Q7：证书要不要考？
可作为阶段性检验与简历加分，但不替代动手能力。NISP、CISP、OSCP 等按需选择，优先级低于真实项目。

十一、真实场景复盘：一个零基础转行者的 12 个月

为了把抽象路线落到具体，这里复盘一位化名"小林"的转行者真实路径（细节已脱敏）。小林本科为机械专业，毕业三年后决定转安全，每周可投入约 12 小时。

第 0–3 月：踩坑在环境。 小林前六周陷在"找最好教程"里，收藏了二十多套资料却没装一台虚拟机。转折点是有天强制自己只用一套资料、当晚装好 Ubuntu 并配通 SSH。此后节奏才起来：用 Wireshark 看懂三次握手、用 Python 写出第一个端口扫描脚本。月末自测时，他能独立解释 TCP 建立过程，这是基础阶段达标的信号。

第 3–6 月：被 SQL 注入卡住。 在 DVWA 上，Low 难度一晚打穿，Medium 却卡了一周——卡在"为什么加了注释符仍报错"。后来他停掉 SQLmap，纯手工推闭合逻辑，并在知识库写了一张"错误卡"，记录每一种报错对应的成因。这张卡后来在 Pikachu 上直接复用。阶段末他复现了 OWASP Top 10 中七类，剩下三类靠读原理补齐。

第 6–12 月：选定渗透方向。 小林在 TryHackMe 房间系统训练，并下载第一台 VulnHub 靶机。前两台都靠看 Walkthrough 才拿下，他一度怀疑自己不行。教练给的建议是：先照着走通，再关掉答案重打一遍。第三台他开始独立拿下，并写出含时间线、利用链、修复建议的报告。这份报告成了他简历的核心项目。

第 12 月之后：进入进阶。 拿到第一家安全服务公司实习后，小林从 Web 打点转向内网，系统学了域环境与横向移动。他最大的体会是：面试不问你"学过什么"，只问"做过什么、遇到什么坑、怎么解决"。

下表对比他的"原计划"与"实际"：

小林的经验可浓缩为三句：资料做减法、实验做加法、产出做乘法。与本文路线图互为印证。这也提醒我们：路线给出的是方向，真正的速度来自"少犹豫、多动手、勤输出"。

十二、小结

这份路线图把网络安全学习拆成五段：0–3 个月打网络/系统/编程基础，3–6 个月吃透 OWASP Top 10 与密码学，6–12 个月在渗透测试与安全运营间选定方向并产出项目，1–2 年横向拓展内网、代码审计、云安全与应急，2 年以上走向专项研究与体系化。能否走通，不靠收藏多少资料，而靠"输入—整理—实践—复盘—输出"的闭环是否跑起来。用 Docker 隔离靶场、用打卡脚本固化复盘、用知识库卡片替代网盘收藏，是把路线落地的三件具体工具。时间窗是参考，阶段顺序别颠倒——基础越实，后面越顺。