当 “网络安全工程师” 连续 3 年入选 “高薪紧缺职业”，当零基础转行做安全运维的应届生能拿到 18K 起薪，你会发现：网络安全早已不是 “技术大神” 的专属领域，而是普通人能靠 “系统化学习” 入门的职业赛道。很多新手会困惑：“没编程基础能学吗？”“不知道从哪开始，越学越乱怎么办？” 其实，入门网络安全的关键不是 “懂多少复杂技术”，而是 “找对学习路径，先搭好基础框架”。
本文就从 “新手必学基础→实战练手步骤→工具资源包” 全流程拆解，帮你用 3 个月时间搭建清晰的学习体系，甚至能独立挖掘基础漏洞，为入行或副业变现打牢基础。
一、新手别踩坑：先搞懂 “3 个核心认知”，避免走弯路
很多人入门网络安全第一步就错了 —— 要么抱着 “先学 Python 编程” 的想法陷入代码焦虑，要么沉迷 “黑客工具” 却连基础原理都不懂。其实，新手先明确这 3 个认知，能少走 60% 的弯路：
1. 网络安全≠黑客技术：核心是 “守护”，不是 “攻击”
- 误区：以为学网络安全就是 “学怎么黑网站、偷数据”；
- 真相：行业 90% 的岗位（如安全运维、漏洞测试、等保测评）都是 “防御导向”—— 比如漏洞挖掘是 “帮企业提前找漏洞修复”，安全运维是 “监控系统防攻击”，合法合规是底线，攻击他人系统不仅违法，还会彻底断送职业前途。
2. 没编程基础也能入门：先学 “应用层”，再补 “代码层”
- 误区：觉得 “不会写代码就没法学安全”，直接放弃；
- 真相：入门阶段（前 3 个月）完全不用深学编程，重点先掌握 “工具使用 + 漏洞原理 + 业务逻辑”—— 比如你不用会写 SQL 语句，只要能看懂 “SQL 注入的原理”，用 SQLmap 工具检测漏洞就行；等能独立挖基础漏洞后，再按需学 Python（写自动化脚本）、JavaScript（分析 XSS 漏洞）即可。
3. 学习不是 “堆知识点”：先搭 “框架”，再填 “细节”
- 误区：今天学 Burp Suite，明天学 Nmap，后天学漏洞原理，知识点零散记不住；
- 正确逻辑：先建立 “网络安全学习框架”（比如 “基础理论→信息收集→漏洞识别→实战练手”），每个阶段聚焦 1-2 个核心目标，比如第一个月只学 “网络基础 + 信息收集”，第二个月专攻 “SQL 注入 + XSS 漏洞”，避免 “贪多嚼不烂”。
二、3 个月学习计划：从 “基础” 到 “能挖漏洞” 的具体步骤
这份计划专门针对零基础新手，每天学习 2-3 小时，3 个月后能独立在合法靶场挖掘 SQL 注入、XSS 等基础漏洞，甚至能尝试赏金平台的新手任务。
第 1 个月：打基础 —— 搞定 “网络协议 + 操作系统 + 信息收集”
目标：理解 “网络怎么通信”“系统怎么运行”，能独立完成目标的基础信息收集。
1. 第一周：网络协议基础（必学 3 个核心协议）
不用学所有协议，重点掌握 “能直接用在安全测试中的 3 个”：
- TCP/IP 协议：理解 “IP 地址（设备标识）、端口（服务入口）、三次握手（连接建立）”—— 比如知道 “80 端口对应 Web 服务、3306 对应 MySQL 数据库”，后续扫描端口时就知道该关注什么；
- HTTP 协议：搞懂 “请求头（如 Cookie、User-Agent）、响应码（如 200 成功、404 找不到、500 服务器错误）”—— 比如看到 “403 禁止访问”，就知道可能需要绕权限，看到 “Set-Cookie” 就知道可以尝试篡改 Cookie；
- DNS 协议：明白 “域名怎么解析到 IP”—— 比如知道 “子域名（如blog.xxx.com）是主域名的分支，防护往往更弱”，后续信息收集时会重点挖子域名。
学习资源：B 站 “HTTP 协议入门”（30 分钟 / 节，共 5 节）、《图解 TCP/IP》（看前 3 章即可）。
2. 第二 - 三周：操作系统基础（重点学 Linux）
Windows 大家基本熟悉，重点掌握 Linux 的 “常用命令”（安全测试中 90% 的服务器是 Linux 系统）：
- 必学命令（按使用频率排序）：
ls：查看目录文件；cd：切换目录（如cd /var/www/html进入 Web 根目录）；grep：搜索内容（如grep "password" config.php找配置文件里的密码）；netstat -tuln：查看开放的端口；ps -aux：查看运行的进程。
实战练习：在 VMware 装 “CentOS 7” 系统，每天练 10 分钟命令，比如 “用命令找 Web 根目录、查看端口”。
3. 第四周：信息收集实战（掌握 “3 步收集法”）
信息收集是漏洞挖掘的前提 —— 搞懂目标的 “底细”，才能针对性找漏洞。新手按这 3 步来：
- 域名信息收集：用 Whois 查域名注册人、到期时间（比如https://whois.chinaz.com/），用 “Layer 子域名挖掘机” 挖子域名（比如输入
xxx.com，挖出test.xxx.com“管理后台”）； - 技术栈收集：用 WhatWeb 查目标的服务器（如 Nginx/Apache）、编程语言（PHP/Java）、框架（ThinkPHP/SpringBoot）—— 比如查到 “ThinkPHP 5.0”，就知道该重点测它的专属 RCE 漏洞；
- 端口服务收集：用 Nmap 扫目标 IP 的开放端口，比如
nmap -p 1-1000 目标IP，重点关注 “高危端口”（22 SSH、3306 MySQL、8080 Tomcat），这些端口可能有弱口令漏洞。
实战练习：选一个公开靶场（如 DVWA 的 IP），按 3 步收集信息，输出 “信息收集报告”（包含域名、技术栈、开放端口）。
第 2 个月：攻漏洞 —— 吃透 “2 类高频基础漏洞”（附实战）
目标：理解 SQL 注入、XSS 漏洞的原理，能独立在靶场挖掘并验证这 2 类漏洞。
1. 第一 - 二周：SQL 注入漏洞（最易入门，新手首选）
- 原理通俗讲：网站输入框没过滤特殊字符，你输入 SQL 语句，就能 “骗” 数据库执行你的命令 —— 比如在登录框输 “admin’ or 1=1 --”，就能绕过验证直接登录；
- 实战步骤（以 DVWA 为例）：
- 打开 DVWA 的 “SQL Injection” 模块，在输入框输
1'，页面报错 “SQL 语法错误”，说明有注入点； - 用 “联合查询” 获取数据，输入
1' union select 1,version(),database() --，能看到数据库版本和库名； - 用 SQLmap 自动化挖掘：打开命令行，输入
sqlmap -u "http://DVWA-IP/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie="security=low; PHPSESSID=xxx"（cookie 从浏览器 F12 获取），SQLmap 会自动跑出数据库表、用户名密码。
- 打开 DVWA 的 “SQL Injection” 模块，在输入框输
- 关键技巧：遇到 “输入框没反应” 时，试试 “URL 参数注入”（比如把
id=1改成id=1'），很多网站会在 URL 传参。
2. 第三 - 四周：XSS 跨站脚本漏洞（前端高频漏洞）
- 原理通俗讲：在网页输入框插入恶意 JS 代码，其他用户访问时代码自动执行 —— 比如插入
<script>alert('XSS')</script>，别人打开页面会弹出弹窗； - 分类与实战（DVWA 为例）：
- 反射型 XSS：代码只执行一次（比如搜索框输入代码，刷新页面就消失）；实战：在 “XSS Reflected” 模块输
<script>alert(document.cookie)</script>，页面弹出 Cookie，说明有漏洞； - 存储型 XSS：代码存在数据库（比如评论区输入，所有人都能看到）；实战：在 “XSS Stored” 模块输
<script>alert('存储型XSS')</script>，提交后刷新页面，弹窗不消失，说明漏洞存在。
- 反射型 XSS：代码只执行一次（比如搜索框输入代码，刷新页面就消失）；实战：在 “XSS Reflected” 模块输
- 挖掘重点：优先测 “用户能自定义内容” 的地方（评论区、个人签名、留言板），这些地方最容易漏过滤。
第 3 个月：练实战 —— 从 “靶场” 到 “赏金平台新手任务”
目标：把前 2 个月的知识落地，在合法场景实战，甚至拿到第一笔小额赏金。
1. 第一 - 二周：靶场综合实战（推荐 2 个新手友好靶场）
- DVWA（本地搭建）：把安全等级从 “Low” 调到 “Medium”“High”，挑战 “带过滤的漏洞挖掘”—— 比如 Medium 级别的 SQL 注入，输入
'会被过滤，需要用1 or 1=1绕过； - VulnHub（仿真靶机）：下载 “Metasploitable 2” 靶机（含 Web 漏洞、服务器漏洞），完成 “从信息收集→漏洞挖掘→获取服务器权限” 的全流程 —— 比如通过 “vsftpd 2.3.4 漏洞” 获取 shell，再提权到 root。
实战要求：每挖一个漏洞，写 “简易漏洞报告”（包含漏洞名称、复现步骤、截图），培养文档输出能力。
3. 第三 - 四周：赏金平台新手任务（尝试变现）
新手别直接冲 “大厂赏金”，先从 “低门槛新手任务” 入手，积累经验和信誉：
- 推荐平台：漏洞盒子（有 “新手专区”，漏洞难度低，赏金 50-500 元）、奇安信众测（新手任务有详细指引）；
- 实战案例（漏洞盒子新手任务）：
- 目标：某测试网站的 “留言板” 功能；
- 测试：在留言板输入
<script>alert('XSS')</script>，提交后刷新页面弹窗，确认存在存储型 XSS； - 写报告：按平台模板填 “漏洞名称（某网站留言板存储型 XSS 漏洞）、复现步骤（附截图）、修复建议（过滤
三、新手必备：“零门槛工具包”（免配置，直接用）
新手不用找复杂工具，这 5 个工具覆盖 “信息收集→漏洞挖掘→报告输出” 全流程，全部免配置，解压就能用：
| 工具名称 | 核心用途 | 新手用法 | 下载建议 |
|---|---|---|---|
| Layer 子域名挖掘机 | 挖目标子域名（找隐藏网站） | 输入主域名（如xxx.com），勾选 “常规字典”，点击开始，自动出子域名列表 | 官网下载绿色版，无需安装 |
| WhatWeb | 识别网站技术栈（服务器、框架） | 打开命令行，输入whatweb http://目标URL，直接显示技术栈信息 | 下载免配置版，解压后用 cmd 运行 |
| Nmap（绿色版） | 扫描端口和服务 | 命令行输入nmap -p 1-1000 目标IP，扫描前 1000 个端口，输出开放端口和服务 | 选 “Windows 免安装版”，避免环境配置 |
| Burp Suite（社区版） | 抓包、测试 XSS/SQL 注入 | 1. 浏览器设置代理（127.0.0.1:8080）；2. 打开 Burp，拦截请求后修改参数（如把id=1改成id=1'） | 官网下载社区版，免费够用，无需破解 |
| SQLmap（绿色版） | 自动化检测 SQL 注入 | 命令行输入sqlmap -u "目标URL?param=1" --cookie="xxx"（cookie 从浏览器 F12 获取），自动检测并跑数据 | 下载 “SQLmap+Python 集成版”，不用单独装 Python |
| 漏洞报告模板（新手版） | 规范输出漏洞报告 | 按模板填空：漏洞名称、危害等级、复现步骤（附截图）、修复建议，直接复制到赏金平台 | 用 Word 模板，包含示例截图，新手可参考 |
四、新手避坑：3 个 “致命错误”，千万别犯
1. 法律红线：“没授权的网站，绝对不能测！”
- 错误做法：看到某电商网站有漏洞，私自用工具扫描，结果被企业报警，按 “非法入侵计算机信息系统罪” 处罚；
- 正确做法：只在 “公开授权靶场”（如 DVWA、漏洞盒子新手区）或 “有书面授权的企业” 测试，测试前留存授权证据（电子合同、平台任务截图），这是入行的底线。
2. 学习误区：“只看教程，不练实战”
- 错误做法：刷完 100 集网络安全教程，却没在靶场实操过一次，学完就忘；
- 正确做法：“教程学 1 小时，实战练 2 小时”—— 比如学完 SQL 注入原理，立刻打开 DVWA 练手，遇到问题再回头看教程，这样才能真正掌握。
3. 心态误区：“挖不到漏洞，就觉得自己不适合”
- 错误做法：在靶场练了 2 天没挖到漏洞，就觉得 “自己没天赋，放弃学习”；
- 正确心态：新手前 10 次测试没挖到漏洞很正常！比如 XSS 漏洞可能被过滤，SQL 注入可能在 URL 参数而不是输入框 —— 多总结 “为什么没挖到”（是信息收集不全？还是漏洞类型不对？），调整后再试，坚持 1 个月就能看到进步。
最后：网络安全入门，“坚持” 比 “天赋” 更重要
很多新手会问 “我能学会吗？”—— 其实行业里 80% 的从业者都是 “零基础转行”，比如从运维、测试、甚至行政转过来的。他们的共同点不是 “懂编程”，而是 “愿意从基础学起，坚持实战”。
你不需要一开始就成为 “技术大神”，只要按 “3 个月计划” 一步步来：第一个月打基础，第二个月攻漏洞，第三个月练实战，就能从 “什么都不懂” 到 “能挖基础漏洞、拿小额赏金”。
现在，网络安全行业还处于 “人才缺口大、入门门槛低” 的阶段，与其在传统岗位内卷，不如抓住这个 “靠技能突围” 的机会 —— 毕竟，数字世界的安全，永远需要 “愿意学习、愿意守护” 的人。
网络安全学习路线&学习资源![]()
网络安全的知识多而杂，怎么科学合理安排？
下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！
初级网工
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k
到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？
【“脚本小子”成长进阶资源领取】
7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.
零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。
8、超级网工
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。
网络安全工程师企业级学习路线
如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。
一些我自己买的、其他平台白嫖不到的视频教程：
需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。
网络安全学习路线&学习资源![]()
结语
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失！！！
![朋友的技术博客上线了！专注干货，欢迎交流 [特殊字符][特殊字符]](http://pic.xiahunao.cn/朋友的技术博客上线了！专注干货，欢迎交流 [特殊字符][特殊字符])
