一、基础打底（必学，所有方向通用）

1. 计算机&网络基础

计算机组成、操作系统原理（Windows、Linux 重点）

​计算机网络：TCP/IP、路由交换、DNS、HTTP/HTTPS、FTP等协议

网络架构、子网划分、端口、防火墙、网关、VPN基础

2. 操作系统

Linux：命令行、权限、服务、日志、Shell脚本、系统运维（核心）

Windows：组策略、注册表、进程、服务、域环境

3. 编程&脚本能力

入门：Python（安全领域最常用，写工具、爬虫、漏洞检测、自动化）

脚本：Shell/Bash、PowerShell

进阶：C/C++（漏洞挖掘、逆向）、Go（现代安全工具主流）

基础语法、正则表达式、简单接口开发

4. 数据库基础

MySQL、SQL语句、数据库原理（应对SQL注入必备）

二、核心安全专业知识（主流攻防方向）

1. Web安全（入门首选，岗位最多）

常见漏洞：SQL注入、XSS跨站、CSRF、文件上传、命令执行、SSRF、越权、逻辑漏洞

Web架构：前端基础、Apache/Nginx、中间件（Tomcat、Redis、Fastcgi）

工具：Burp Suite、浏览器开发者工具、AWVS、Xray

2. 渗透测试（攻防实战）

渗透流程：信息收集 → 漏洞探测 → 漏洞利用 → 权限提升 → 内网渗透 → 痕迹清理

​内网渗透：端口扫描、横向移动、权限维持、域渗透

​工具：Nmap、Dirsearch、Hydra、Metasploit(MSF)、CobaltStrike

3. 系统&主机安全

系统漏洞、恶意代码分析、病毒/木马/远控原理

主机加固、日志分析、入侵排查

4. 密码学

对称加密、非对称加密、哈希算法（MD5、SHA）、数字签名、证书、加密协议原理

5. 逆向工程（进阶）

汇编语言、PE结构、脱壳、反编译、漏洞原理、缓冲区溢出

工具：OD、IDA、Ghidra

6. 应急响应&等保（运维/合规方向）

入侵溯源、病毒查杀、日志分析、服务器应急处置

网络安全等级保护、安全合规、风险评估

三、细分方向对应技能（按需选择发展路线）

1. Web渗透工程师：Web漏洞+渗透流程+Python+Burp

2. 内网安全/红队：内网渗透、域、权限维持、多种系统攻防

3. 安全运维/安全运营：防火墙、WAF、IDS/IPS、日志分析、告警处置、等保

4. 逆向/病毒分析：汇编、C语言、脱壳、恶意样本分析

5. 代码审计：PHP/Java/Python代码审计、漏洞代码挖掘

6. 云安全：阿里云/腾讯云等云架构、云主机、容器(Docker)、K8s安全

四、必备工具清单（入门常用）

扫描：Nmap、Dirsearch

抓包改包：Wireshark、Burp Suite

漏洞扫描：Xray、AWVS

远控/渗透框架：MSF、CS

​流量分析：Wireshark

五、学习路线建议（新手友好）

1. 先学：计算机网络 + Linux基础 + Python基础

2. 再入门：Web安全漏洞 + 基础渗透流程

​3. 实战：靶场练习（DVWA、WebGoat、攻防世界、TryHackMe）

4. 进阶：内网渗透、代码审计、逆向、应急响应

补充：一定要多动手实操，纯理论无法就业；同时遵守《网络安全法》，仅在授权靶场/环境练习，禁止非法测试他人网站、服务器。