经常有准备入行的朋友也有刚上大一大二的学弟学妹来问我网络安全怎么学这个问题看起来很基础但认真回答的人其实不多。网上答案要么是“先学 Python 再学渗透”这种正确的废话要么是几十个培训机构的广告看得人头皮发麻。2025 年了网络安全的学习资料早就多到看不完CTF 靶场、在线平台、漏洞环境一抓一大把真正缺的是一条能落地、能验证自己学到哪儿的路线以及一套可以随便折腾的靶场环境。这篇文章就当我在工位上跟你面对面唠嗑。我把自己带团队时反复讲的入门路径、靶场部署、CTF 题型和踩坑记录全捋一遍。零基础可以顺着走有点基础想补实战的可以直接跳到靶场部署和题型拆解那两部分。内容里涉及的命令和工具都是我自己在训练环境里验证过、平时带新人也在用的你可以放心照着抄。1. 2025 年网络安全学习路线全景图1.1 基础三件套先打牢网络、Linux、编程我见过太多人一上来就学 MySQL 注入、Burp Suite 抓包结果连 HTTP 状态码 302 代表什么意思都说不清最后全在瞎试。基础这东西确实没法跳过但也不用学到多深。计算机网络、Linux、Python 这三样是后续所有操作的地基。计算机网络不用啃完一整本教材学到能解释清楚“一条 curl 请求从输入到返回经历了什么”就够了。DNS 怎么解析、TCP 握手是怎么回事、HTTP 的请求头和响应头里每个字段大概什么作用、Cookie 和 Session 的区别是什么这些要能用自己的话讲明白。我经常打一个比方HTTP 请求就像外卖订单URL 是收货地址Header 是下单备注响应体是送到手里的餐要是连地址规则都没搞懂后面分析攻击包根本无从下手。Linux 是另一道绕不开的坎。绝大多数服务器跑的是 LinuxKali 本身也是一个基于 Linux 的发行版里面装了 nmap、sqlmap、Burp Suite 等一整套渗透测试工具。你至少要在终端里能自由进出目录、管理系统服务、安装软件包、查看日志还要知道怎么配静态 IP、怎么设置端口转发。别怕命令行敲一个月就熟了。编程语言方面我强烈建议从 Python 入手它语法友好、库丰富写个批量请求脚本、解码脚本、扫描脚本都很方便。Web 方向最好再了解一点 PHP因为 DVWA、Pikachu 这类经典靶场很多是 PHP 写的看源码时不懂 PHP 会很难受。这三块学到了什么程度算过关我自己的标准是能自己写一个 Python 脚本遍历目录文件并输出结果能理解一条 curl 请求里每个参数的含义能在 Kali 里装软件、看进程、清日志。过了这条线就可以正式接触安全知识了。1.2 Web 漏洞原理整个入门阶段的重头戏Web 安全是网络安全里最好上手的切入口也是国内招聘量最大的方向之一。入门阶段的核心任务就是吃透 OWASP Top 10 那一套漏洞原理SQL 注入、XSS 跨站脚本、CSRF 跨站请求伪造、文件上传、命令执行、SSRF、反序列化等等。学漏洞原理不要死记定义要理解根源。我总结下来就一句话大部分漏洞都源于开发者信任了用户的输入。SQL 注入是把你的输入原封不动拼进了 SQL 查询语句XSS 是把输入当成了前端代码执行文件上传则是把恶意的文件内容放进了服务器。理解了这个共性你看到的就不是一个个孤立漏洞而是一类问题的不同表现。生活里有个很形象的类比你把一句“你妈妈说你中午不回来吃饭”原封不动转述给家里人和你确认过意思再转述结果完全不一样。开发者如果没有对输入做过滤和校验、没有对输出做编码处理就相当于把陌生人的话原样搬给别人出问题只是时间问题。这一阶段建议搭配 OWASP 官方文档和《白帽子讲 Web 安全》那本书一起看。每学一个漏洞就去对应靶场里亲手触发一遍。1.3 CTF 夺旗赛和靶场验证与实战的闭环CTF 是 Capture The Flag 的缩写翻译过来就是夺旗赛。比赛的玩法是你面对一个个模拟题目想办法从里面找到藏在某处的 flag 字符串一般是 flag{xxx} 这种格式。这个过程需要你综合运用密码学、隐写分析、Web 漏洞利用、逆向工程甚至编程能力找到 flag 后提交得分。靶场和 CTF 有所不同。靶场是一整套有漏洞的应用或虚拟机你自己当攻击者随便打没有人给你限定时间。CTF 更像短跑冲刺几十分钟一道题靶场则是慢跑耐力训练一整套环境里反复磨合思路。两者都要练顺序上我建议先靶场后 CTF靶场能帮你把某个漏洞的利用方式吃透CTF 再帮你把多个知识点串起来。我给新人的模拟路线是这样的DVWA 入门综合漏洞Pikachu 练中文靶场通关SQLi-Labs 专攻 SQL 注入XSS-Labs 专攻 XSS之后再上 VulnHub 的整机渗透和 TryHackMe 的引导式在线练习最后到 CTFshow、PolarCTF 这类平台刷题。这条线走完就具备了基本的安全测试思维。1.4 选方向渗透测试、安全运维与新兴安全网安方向越往后越分叉尽早想明白自己是偏进攻还是偏防守学习路线会完全不同。偏进攻的方向是渗透测试工程师日常工作是找系统漏洞并推动修复核心技能是 Web 漏洞原理、渗透流程、内网横向移动、报告编写。偏防守的方向是安全运维和蓝队日常工作是监控告警、应急响应、日志分析还要做漏扫、基线检查这类合规活儿核查中间件和服务器配置是否符合企业的安全基线。偏开发的方向是安全研发写扫描器、WAF 规则、内部安全平台工作性质接近后端开发但安全功底必须扎实。还有像汽车网络安全、AI 安全这种新方向后面细说。大学生可以靠 CTF 试出自己擅长的题型在职转行的朋友就按目标岗位倒推技能树别什么都学。2. 实战资源部署从零搭起第一套靶场2.1 靶场怎么选五类常用靶场对比新手最容易卡在“到底用哪个靶场”。我直接把这些年常用的靶场整理成一张表按自己的基础对号入座就行。靶场侧重方向难度部署方式DVWAWeb 综合漏洞适合入门低Docker / 源码Pikachu中文练习靶场覆盖常见漏洞提示低Docker / 源码SQLi-LabsSQL 注入专项1-65 关渐进中低Docker / 源码XSS-LabsXSS 专项闯关中Docker / 源码VulnHub整机渗透包含信息收集与提权中高OVA 虚拟机镜像TryHackMe在线引导式学习路径完整低到高在线注册CTFshow / PolarCTF在线 CTF 刷题平台低到高在线注册我自己带新人时第一个完整通关的靶场推荐 Pikachu。为什么不是 DVWA因为 Pikachu 是全中文界面每个漏洞模块都有简单说明和示例适合零基础理解自己在打什么。DVWA 的漏洞模块更接近真实场景但它默认英文对部分新手不够友好更适合作为第二个靶场。SQLi-Labs 和 XSS-Labs 属于“单个漏洞死磕型”靶场。前者从最简单的数字型注入一路到堆叠注入、报错注入、时间盲注打完一遍等于把 SQL 注入的常见姿势全过了一遍。后者则是一关一关构造 XSS payload非常考验对闭合方式的理解。2.2 Docker 一键部署Kali 和本机都能用的万能方案我强烈推荐用 Docker 部署靶场原因很简单环境一致性。本机装靶场最大的坑就是环境不一致我在 Windows 上用小皮面板跑 DVWAPHP 版本经常不兼容跑 SQLi-Labs 时 MySQL 8 的认证方式又和旧代码不对付。Docker 把整个运行环境打包成镜像一条命令拉起来坏了删掉重建省去一堆历史包袱。安装 Docker 之后建议先配置国内镜像加速器这样拉取镜像会快很多。然后依次执行下面这些命令就能把四套主流靶场全部跑起来# DVWA映射到 8080 端口 docker run -d -p 8080:80 vulnerables/web-dvwa # Pikachu映射到 8081 端口 docker run -d -p 8081:80 aisafety/pikachu # SQLi-Labs映射到 8082 端口 docker run -d -p 8082:80 acgpiano/sqli-labs # XSS-Labs映射到 8083 端口 docker run -d -p 8083:80 imnirdst/xss-labs为什么特意把端口改成 8080、8081、8082、8083因为如果全映射到 80 端口只能同时起一个容器后面起的会报端口冲突。改成不同端口四套靶场就能同时开着边练边对比效率高很多。启动完成后浏览器访问对应地址DVWA打开首页后点 Create/Reset Database初始化后用 admin/password 登录Pikachu直接访问首页不需要登录SQLi-Labs打开后从第一关开始点题目链接进入注入点XSS-Labs打开后从第一关开始闯这些镜像名都来自社区如果哪一天某个镜像拉不到了搜同类替代镜像或者改用源码部署都行核心思路是一样的。2.3 手动搭建Windows 小皮面板部署 DVWA 和 Pikachu有些朋友的电脑配置不高或者不想装 Docker那可以直接用源码手动搭建。Windows 下最省事的方案是小皮面板也就是 phpstudy它把 Apache、MySQL、PHP 集成在一起点几下就能搭建起一个 Web 环境。首先下载小皮面板并启动 Apache 和 MySQL。然后去 DVWA、Pikachu 的官方渠道把源码下载下来解压到小皮面板的 WWW 目录下让每个靶场文件夹都成为一个独立的站点目录。DVWA 需要多一步配置。它有一个配置文件在 config 目录下叫 config.inc.php你需要把里面的数据库地址、用户名、密码改成你本地 MySQL 的实际值一般就是 localhost、root、root。改完之后访问 DVWA 的 install.php 页面初始化数据库就能正常登录了。Pikachu 更简单解压到 WWW 目录后直接访问就能用。整个手动部署过程大概十分钟好处是你能看到每个靶场的完整源码以后想琢磨漏洞原理时直接翻源码看它到底怎么拼 SQL、怎么处理上传文件比黑盒测试理解深得多。2.4 在线平台与虚拟机靶场不动手也能练的选择不想折腾本地环境的朋友直接用在线平台是最快的。CTFshow 和 PolarCTF 是国内很活跃的在线 CTF 平台注册就能刷题。题目分 Web、Pwn、逆向、密码学、杂项等类别入门选手主打 Web 和杂项就够练一阵子了。这类平台的好处是有积分排行、有题解区卡住时可以看别人的思路互动感强。TryHackMe 是我非常推荐的在线引导式平台它把学习路径拆成一间间“房间”每个主题有前置知识、实战任务和验证环节。虽然界面是英文的但跟着指引走几乎不会迷路适合想系统学又不想自己搭环境的人。VulnHub 则完全是另一个路数。它提供的是虚拟机镜像下载下来是一个 OVA 文件导入 VirtualBox 或 VMware 后启动。整个目标就是一台“故意被攻破”的 Linux 机器你需要从零开始做信息收集、端口扫描、漏洞利用、权限提升打完一整台机器才算通关。这比 Web 靶场难不少但打下来能明显感觉到自己“从脚本小子变成了入门渗透测试员”。建议把前几个 Web 靶场通关后再碰 VulnHub。3. CTF 题型拆解Web、密码学、杂项到底怎么解3.1 Web 题SQL 注入、命令执行、文件上传的破题思路CTF 的 Web 题核心就是找漏洞、拿权限、读 flag最常见的三个考点是 SQL 注入、命令执行和文件上传。先看 SQL 注入。有些题目看起来就是一个普通查询比如题目说“输入 id 即可查询到信息但是报错感觉好奇怪”这种“能回显数据库报错”的界面八成是报错注入。你先输入一个单引号试试如果页面冒出 SQL 语法错误说明后端把输入直接拼进了查询语句。这时候可以把 updatexml 这类函数利用起来让报错信息里带出你想要的数据?id1 AND updatexml(1,concat(0x7e,(SELECT database()),0x7e),1) --上面的 payload 作用是触发一个 XML 解析报错把 SELECT 查询的结果拼进报错消息里显示出来。看到报错里吐出数据库名说明这条路走通了。之后把 database() 换成查表名、查字段名的语句一步一步逼近 flag 所在位置。再说命令执行。PHP 里的命令执行函数很多system、exec、shell_exec、passthru 都是功能都是在服务器上执行系统命令并返回结果。CTF 里常见场景是有一个“ping 探测”功能输入 IP 地址就能 ping 通。如果后端只做了非常粗糙的过滤你输入127.0.0.1; whoami就能在 ping 完之后把当前用户信息带出来。分号、管道符、反引号都是常见的拼接符号哪一个没被过滤就用哪个。文件上传题的套路更固定基本是绕过后端校验传一个恶意的 PHP 文件上去。常见绕过思路是改扩展名、伪造 Content-Type、在图片文件里嵌入一句话木马。这里必须强调一下这些都是 CTF 靶场里的练习不要拿这套去打别人的线上系统合规地测试只能在你自己拥有或明确授权授权的环境里进行。3.2 密码学题从古典密码到编码工具链密码学题在 CTF 里属于“会工具就很轻松不会工具就很痛苦”的题型。原因是很多题的难点不在数学而在识别出它用了哪种编码或加密方式。古典密码是最常见的送分题。凯撒位移是最基础的一种把字母表平移若干位暴力跑 25 种位移看哪个结果读起来像英文就能解出来。栅栏密码是按行重排再按列读取通常靠手工还原。替换密码稍微复杂一点但用 quipqiup 这种工具可以直接自动化破解。quipqiup 的原理是基于英文词频统计把密文丢进去它就像玩填字游戏一样自动尝试各种替换组合最终还原出原始句子。编码类题目更要靠工具。随波逐流 CTF 编码工具是国产的集成式解码箱MD5 解密、Base 系列、URL 编码、Unicode、各种古典密码处理全都有界面直观比赛里用起来非常顺手。还有一个不可错过的是 CyberChef它是一款在线编码转换“瑞士军刀”可以把几十种编码解码操作拖拽组合成一条处理链比如“先 Base64 解码再 URL 解码再 XOR 解密”操作一次全部跑完效率奇高。遇到现代密码学题比如 RSA思路就不一样了。先判断是简单分解还是已知漏洞利用常见的套路包括小 e 开方、共模攻击、低解密指数攻击等。做这类题需要一点数论基础至少要明白模运算和欧拉函数。我的建议是前期先把古典密码和编码题吃透RSA 放到后期再补毕竟 CTF 比赛里 Web 和杂项的分更容易拿。3.3 杂项题隐写、二维码、键盘密码这类“细节控”题目杂项题英文叫 Misc是最考验耐心和联想力的类别。看起来五花八门但高频考点其实很固定。图片隐写是重头戏。看到题目里是个图片文件名字带 stege、steg 之类的词那基本就是隐写没跑了。拿到图先做三件事用 binwalk 分离看有没有藏其他文件在里面用 strings 看有没有可疑的明文信息再用 steghide 尝试提取隐藏内容。这三板斧能解决大半常规隐写题。有些题比较刁钻会把信息藏在图片的 LSB 最低位里需要 zsteg 这类工具逐层通道查看。二维码题也常见通常不是直接扫一下就完事。有时候图片里的二维码缺了一个定位角你得自己补上才能扫出来有时候二维码是翻转、镜像、旋转过的需要旋转或水平翻转再识别还有一种是把黑白反转的二维码需要先做反色处理再扫码。解这类题的关键是记住二维码的三个定位角结构看到不完整的第一反应就是补角。键盘密码是很有意思的一类题PolarCTF 的 keyboard2.0 就是一个典型。这类题目把明文通过键盘相邻键做了替换比如原本按的是右边一格解的时候把密文每个字母往左推回一格就能还原。做这类题需要你对键盘布局非常熟悉不熟的可以打开一个键盘布局图对照解密。杂项题的通用心法是看到一串乱码先猜大类是编码就丢进随波逐流或 CyberChef是隐写就上 binwalk 和 steg 工具是密码就查有没有古典密码特征。思路明确之后剩下就是工具的熟练度问题。3.4 CTF 渗透题常用的 Kali 命令速查表CTF 的 Web 题和渗透测试离不开 Kali Linux 里的工具。很多题目看着难其实就是命令用得不够熟。我把平时用得最频繁的命令整理成一张表建议收藏起来反复用场景命令示例说明端口服务扫描nmap -sV -sC 192.168.1.10探测开放端口和对应服务版本目录扫描dirsearch -u http://目标发现后台目录和隐藏文件Web 代理抓包burpsuite拦截修改 HTTP 请求SQL 注入自动化sqlmap -u http://目标/?id1 --dbs自动化检测注入并枚举数据库密码爆破hydra -l admin -P pass.txt 目标 http-post-form对登录表单做口令猜测隐写分析binwalk -e 文件分离出隐藏的压缩包或文件隐写提取steghide extract -sf 文件.jpg从图片中提取隐藏信息压缩包密码爆破fcrackzip -u 文件.zip对加密压缩包执行字典破解这些工具不建议一次性全部背下来最好的方式是每学一个漏洞类型就配套记一个对应工具。比如学了 SQL 注入就把 sqlmap 的参数过一遍学了目录扫描就把 dirsearch 的常用参数过一遍。形成“漏洞类型 - 工具命令 - 手工验证”的反射链比赛中才会快。4. 常见问题与排坑实录4.1 靶场启动失败的排查顺序带新手时我收到最多的问题就是“靶场启动失败”。其实只要按照顺序排查大多数问题五分钟内能解决。第一步查端口占用。启动 Docker 容器提示端口被占用先看本地是哪个进程占了端口# Linux / Kali netstat -tlnp | grep :80 # Windows netstat -ano | findstr :80找到占用进程后要么杀掉进程要么把靶场映射到其他端口我习惯直接换端口。第二步查镜像问题比如提示镜像拉取超时优先检查 Docker 的镜像加速有没有配置。第三步查环境变量和数据库连接。第四步查 PHP 版本兼容老靶场在 PHP 7.4 以上的环境经常报错容器内锁定 PHP 5.x 或 7.x 版本最省事。还有一个隐蔽的坑是面板缓存。小皮面板部署靶场时改了 PHP 版本和配置后没重启服务页面一直报旧错误。记住一条原则改完配置文件必须完整重启 Apache 或 Nginx不要只刷新页面。日志是排查故障的第一帮手Apache 的错误日志在日志目录里tail 一下通常就能看到具体报错原因。4.2 SQLi-Labs 和 XSS-Labs 卡关怎么办SQLi-Labs 和 XSS-Labs 都是闯关式靶场卡关是必然经历。很多人卡在 SQLi-Labs 第四关是因为前三关全是通过?id1触发报错到第四关报错突然消失了就开始怀疑人生。其实原理完全一样只是注入点从单引号变成了双引号加括号。遇到这种情况我建议直接打开后端源码看 SQL 语句到底是怎么拼接的理解闭合方式之后再回去构造 payload一下就通了。如果某个关卡页面不返回任何报错信息说明后端把错误屏蔽了这时候就不要纠结于回显改用时间盲注。payload 里加入 sleep 函数观察页面响应时间是否延迟就能判断出注入条件真假。盲注速度慢但要稳。XSS-Labs 的逻辑和 SQLi-Labs 相反每一关都在考“如何闭合上下文”。第一关是把参数直接拼进了 HTML 标签你传什么它就输出什么所以可以直接传标准 script 标签。第二关把参数放进了 value 属性里你就需要先闭合掉属性再用scriptalert(1)/script这种方式。后面每一关都是这个套路的变种谁过滤了什么、编码了什么都要自己动手试出来。这里分享一个经验通关不是目的。每过一关整理一条笔记记录当时的 payload 为什么这么写、后端做了什么过滤、怎么绕过去的。写十关笔记之后你对 XSS 的理解会超过单纯刷一百道题。4.3 学习路上的工具和资料避坑经验网安圈有一个很现实的现象网上总有些名头很大的小工具宣传视频剪得飞起实测啥也不是。看到这种工具先别急着装去 GitHub 看更新频率和 issue 数去社区搜真实评价。有些工具比如 cyberstrike经常有人搜“效果如何”说明大家心里都打鼓。我的建议是不买贵的先把手头 Burp Suite、sqlmap、nmap 用到滚瓜烂熟就能解决九成问题。工具只是外挂思路才是本体。资料囤积症也要治。不少新人收藏夹里存了上百个视频和文章几个月后再问还在收藏夹里吃灰。B 站视频收藏了不等于学会跟着敲一遍、输出一篇笔记才是真吸收。我自己的要求是学一个知识点必须配套一次上机验证验证不过关就再看一遍直到能不看教程复现为止。还有一个小建议多看题解但要少抄题解。CTF 平台每题都有题解区卡住时看题解没问题但看完要把思路理顺再用自己的话重新打一遍。直接复制别人的 payload 提交上去拿了分和你没有任何关系。5. 学完之后怎么走5.1 就业岗怎么选渗透、运维、研发三条路学完基础和实践之后就业方向基本可以分成三条路。渗透测试工程师是最热门的方向日常工作是对目标系统做模拟攻击发现漏洞后写报告推动修复。需要的核心技能是 Web 漏洞原理、渗透测试流程、内网渗透技术以及报告编写能力。这份工作需要不断学习新漏洞因为攻击手法每天都在变。安全运维方向更偏防守。日常工作是维护防火墙、做漏洞扫描、处理安全告警、应急响应还要定期做基线检查核查服务器和中间件的安全配置项是否符合企业安全基线。这个岗位对广度要求高但深度要求相对低需求量也大。安全研发方向则是写工具和平台比如内部扫描器、WAF 规则、资产测绘平台。这个岗位工作性质接近后端开发编程能力要求高安全功底也不能差。如果既喜欢写代码又对安全有兴趣这个方向非常合适。选择上不必纠结建议用半年到一年时间把三条路的日常内容都体验一下网上的资料和社区案例足够帮你判断自己更喜欢哪种工作节奏。5.2 SRC 众测与漏洞挖掘的正确打开方式SRC 全称是 Security Response Center也就是厂商自建的安全应急响应中心用来接收外部安全研究者提交漏洞报告。国内有补天、漏洞盒子这类众测平台也有各大厂商各自运营的 SRC 项目。安全人员在这些平台测试后提交漏洞换取积分和奖金。我特别想给新人说清楚一件事搞 SRC 不是捷径合规是底线。所有测试必须在平台声明授权的范围内进行超出范围哪怕只是手滑扫了一下别的业务也可能面临法律风险。正确路径是先在本地靶场把某类漏洞练熟练再去读公开的 SRC 报告理解真实业务场景最后才是在授权范围内做测试。提交报告也是有讲究的。写漏洞报告要清晰说明漏洞位置、危害、复现步骤、修复建议最好附带截图或视频。一份高质量报告不仅更容易通过审核也是你面试时可以直接展示的作品集。5.3 前沿方向汽车网络安全 ISO 21434 与 AI 恶意流量检测网络安全并不是只有 Web 渗透。这几年车联网非常缺人核心标准是 ISO/SAE 21434它把汽车全生命周期的网络安全管理标准化从概念设计到生产制造再到售后运维都要考虑网络风险。如果你学渗透时对 CAN 总线、车载诊断协议这类知识有一定了解在这个方向会很有竞争力传统网络安全工程师转型过去优势也不小。AI 安全是另一个值得关注的方向。现在有研究尝试把网络流量会话画成图像再用 DAMO-YOLO 这类目标检测模型去做恶意流量识别相当于让模型“看”数据流量长什么样再判断是正常还是恶意。这类探索把计算机视觉和网络安全结合在了一起属于典型的“AI for Security”交叉方向。如果编程和数学底子不错走这条路会很有意思。每次带新人我都会说同一句话网络安全是练出来的不是看出来的。你可能已经收藏了十几条学习路线这些分享本身不值钱真正让你产生价值的是今晚打开终端、把 Pikachu 靶场跑起来、亲手拿到第一个 flag 的那个瞬间。那一瞬间之后你会发现自己需要的不是更多资料而是更多的动手实验。希望这篇路线图和靶场清单能让你少走些弯路动手的时候遇到问题随时可以按前面的排错步骤自查一遍剩下的就交给时间。