自学网络安全是否可行？

linux

自学网络安全，这当然是可行的。自学是很多人学习的开端。若自我约束力强、知识收集能力佳、善于融入社群掌握行业新动态，那按照我接下来的学习路径学习，自学网络安全是完全可行的。

网络安全学习总体分六个阶段，零基础者学到第三、四阶段可逐渐做些简单工作，但学完六个阶段是最好的。Windows相关部分。基础命令、PowerShell使用与简单脚本编写。组件包括注册表、组策略管理器、任务管理器和事件查看器。另外，先学学在Windows搭建虚拟机的方法，掌握安装系统技能，为后续学习linux做准备。linux相关部分内容。

这个阶段，小白容易陷入误区，一上来就学习Kali，基本概念还不懂就去学工具使用，这是典型的本末倒置。计算机网络相关部分。从局域网入手，认识计算机通信的基础网络——以太网。局域网要怎样通信？集线器和交换机有哪些区别？MAC地址、IP地址、子网和子网掩码分别有何作用？接下来要认识广域网和互联网，借助七层与四层模型迅速构建计算机网络的基本概念，明确各层协议的作用、种类，以及这些协议在当今互联网中的具体应用方式。Web基础相关内容。学习网络安全必然涉及web，其安全在网络渗透里是极为重要的一部分。掌握HTML、CSS和JS的开发运用。这部分需要自己多动手，像是熟练掌握Javascript、对Ajax有所了解、学习JQuery等。数据库的基础内容。主要学习理论知识，重点把握库、表、索引概念，学会编写SQL以及数据的增删改查。Web的进阶发展。学习Apache与linux的基础常识。动态网页的基本原理是什么。从CGI/Fast - CGI发展到ASP/php/ASPX/JSP等动态网页技术，要知晓其发展历史、演变过程与基本工作原理。Web开发有一些基础知识，像表单操作、Session/Cookie、JWT、LocalStorage等。要明白这些基本术语的含义、用途以及能解决哪些问题。关于php编程。选择php是因其更便于我们研究安全问题。要学习语法基础、基本后端请求处理、数据库访问，之后再了解一下常用的Thinkphp框架。计算机网络深入学习。HTTP、HTTPS相关及抓包分析。linux上的tcpdump要掌握，常见参数配置也得会。学习用Wireshark分析数据包，借助Fiddler抓取、分析加密的HTTPS流量。加解密技术相关。像base64编码、对称加密、非对称加密、哈希技术等都涵盖在内。Web安全初步学习。Web安全领域有几类典型攻击手法，像SQL注入、XSS、CSRF、多种注入、SSRF、文件上传漏洞等。这些都要细致学习，学习理论的同时进行动手实践。这里得自己于虚拟机搭建含漏洞的网站，要是攻击互联网上的网站，会被找麻烦的。网络的扫描和注入操作。学习寻找攻击点，获取目标信息的方法。目标运行的操作系统、开放端口、运行服务、后端服务类型、版本信息等都属于要获取的信息，还有可利用的漏洞情况。只有得到这些信息，才能针对性地制定攻击手段，从而拿下目标。要学习常用扫描工具及其工作原理。社会工程学中的信息搜集。查询域名信息会用到whois信息，像shodan、zoomeye、fofa这类网络空间搜索引擎可检索IP、域名、URL背后的信息，而Google Hacking能借助搜索引擎检索网站内部信息，这些都是网络信息搜集中常见的技能。强行破解（通过暴力手段进行破解）。学习hydra爆破工具、超级弱口令与mimikatz。阶段四：安全防御与检测工作。要学习web应用防火墙，需掌握其工作原理，能找出弱点绕检测，或增强安全检测与防御能力。当下主流的WAF软件所采用的架构（如openresty、modsecurity）以及主要的几种检测算法，像基于特征、基于行为、基于机器学习等算法，都需要进行学习。掌握TCP劫持、DNS劫持、DDoS攻击、DNS隧道、ARP欺骗、ARP泛洪等常见攻击手段的原理。Windows与linux的系统登录日志、Web服务器日志、数据库日志等。Python编程相关内容。学习编程开发，编写爬虫、做数据处理、开发网络扫描工具和漏洞POC等。要重点掌握IE、Chrome这两款主流浏览器特性，还有浏览器沙盒机制、同源策略与跨域技术等内容。阶段五：高阶技术。学习互联网服务实际应用中的一些工程组件，像Java技术栈里的Spring全家桶、SSM，还有Redis、MySQL、Nginx、Tomcat、Docker等组件。学习渗透时如何转移，攻下一点后控制更多节点。这部分理论少实战多，得搭建靶场环境来模拟学习。我们有免费靶场，私信联系可获取权限。