網(wǎng)安學(xué)習(xí)就像一個深不見底的湖看著別人在里面游得輕松自己一猛子扎進去卻容易嗆水。我做了十來年安全相關(guān)工作帶過不少新人也見過太多“買了課就沒然后了”的案例。這篇“新手小白網(wǎng)安學(xué)習(xí)之路3”我不跟你講虛的就講一個零基礎(chǔ)的人從打開電腦到真正入門前面幾個月到底該怎么一步一步走需要準備什么會遇到哪些坑。這篇更偏向?qū)嵅俾肪€和實訓(xùn)環(huán)境搭建把你最關(guān)心的“學(xué)什么、用什么練、怎么避坑”一次說透。這系列前面聊過一些基礎(chǔ)認知這篇直接把路線細化到可以照著做的程度。已經(jīng)看完視頻、準備開始上手的人以及那些剛決心入坑、還沒理清頭緒的人都可以拿這篇當階段參考。就算你現(xiàn)在一篇技術(shù)文章都沒讀過只要愿意動腦子、肯動手敲命令這篇能幫你少走我當年繞過的半年彎路。1. 學(xué)網(wǎng)安之前先把心里那桿秤放平很多人一聽說網(wǎng)安腦子里全是電影里那種敲幾下鍵盤就攻破銀行系統(tǒng)的畫面。真實世界的網(wǎng)安工作絕大多數(shù)時間是在跟日志、代碼、配置、漏洞報告打交道枯燥程度堪比檢查一疊發(fā)票。心態(tài)擺不正后面十有八九會半途而廢。1.1 網(wǎng)安不是“黑客炫技”這行最值錢的是規(guī)矩意識網(wǎng)安的全稱是網(wǎng)絡(luò)安全核心任務(wù)是保護系統(tǒng)、保護數(shù)據(jù)、保護業(yè)務(wù)連續(xù)性。不管是藍隊防守還是紅隊測試所有技術(shù)動作都必須在授權(quán)范圍內(nèi)進行。沒有授權(quán)的測試性質(zhì)就是入侵這一點沒有任何模糊地帶。我面試的時候特別愛問新人一個問題你學(xué)過滲透那你覺得在什么情況下你可以對一個網(wǎng)站進行漏洞測試很多人第一反應(yīng)是“找到漏洞就可以測”這個答案是錯的。唯一的合法前提是獲得系統(tǒng)所有者的書面授權(quán)或者這個系統(tǒng)就是你自己搭的教學(xué)靶場。技術(shù)可以放開學(xué)但邊界意識必須從第一天就刻在腦子里這既是職業(yè)底線也是保護你自己的最有效手段。1.2 學(xué)習(xí)路線是什么樣先看全景再邁步網(wǎng)安不是單一技能它是一棵技能樹主干分支非常多。新手最容易犯的錯就是東學(xué)一點西學(xué)一點今天看個黑客工具明天學(xué)一段代碼后天又去研究密碼學(xué)結(jié)果每個都只摸到表皮。我建議你把整個學(xué)習(xí)過程切成五個階段心里先有個地圖第一階段計算機網(wǎng)絡(luò)基礎(chǔ)、操作系統(tǒng)基礎(chǔ)約1個月第二階段Linux命令行與Windows系統(tǒng)管理約1個月第三階段Web安全基礎(chǔ)與原理約2個月第四階段編程與腳本能力提升約2個月可與第三階段并行第五階段靶場實訓(xùn)與工具深化長期持續(xù)這張路線圖不是我拍腦袋畫的它遵循的邏輯是“先懂通信再懂系統(tǒng)再懂應(yīng)用再懂攻防”。網(wǎng)絡(luò)是你未來理解攻擊路徑的基礎(chǔ)系統(tǒng)是你操作實驗環(huán)境的工具Web是目前漏洞最多也最好上手的切入點編程則決定你的上限。倒過來學(xué)大概率會卡在某個環(huán)節(jié)反復(fù)受挫。1.3 時間預(yù)期別信“三個月上岸”的鬼話市面上有些宣傳說零基礎(chǔ)三個月保你入門、六個月就能就業(yè)我負責(zé)任地告訴你這說的是極少數(shù)天賦型選手或者本身就是相關(guān)專業(yè)轉(zhuǎn)過來的人。普通小白每天能保證兩小時有效學(xué)習(xí)的話從零到能獨立完成中等難度靶場通常需要六到九個月。這不是打擊你是讓你有個合理預(yù)期。預(yù)期錯了第二個月就會因為“怎么還學(xué)不會”而放棄。網(wǎng)安學(xué)習(xí)最稀缺的不是聰明是持續(xù)每天推進一點點的韌勁。你把它當成一項需要長期投入的愛好或者職業(yè)規(guī)劃而不是一場速成沖刺才能走得遠。2. 根基不牢地動山搖先把網(wǎng)絡(luò)和系統(tǒng)搞明白我見過不少學(xué)了半年Web安全卻連TCP三次握手都說不太清的人。不是說他不聰明而是他跳過了基礎(chǔ)直接去看攻擊手法結(jié)果碰到稍微復(fù)雜點的場景就抓瞎?；A(chǔ)這東西學(xué)的時候覺得沒用用的時候方恨少。2.1 計算機網(wǎng)絡(luò)不是背OSI七層是理解數(shù)據(jù)怎么走學(xué)網(wǎng)絡(luò)別一上來就背TCP/IP那一堆協(xié)議字段。你先搞懂一件事當你在瀏覽器輸入一個網(wǎng)址按下回車到網(wǎng)頁顯示出來中間發(fā)生了什么。把這個過程完整說清楚DNS解析、TCP連接、HTTP請求、Nginx接收、后端處理、響應(yīng)返回每一步都對應(yīng)網(wǎng)絡(luò)協(xié)議棧的一個環(huán)節(jié)。推薦你手頭常備一本圖解類的網(wǎng)絡(luò)入門書配合Wireshark抓包看真實流量。比如你訪問一個本地搭建的測試站點抓包看看TCP三次握手那三個SYN、SYN-ACK、ACK是怎么出現(xiàn)的比單純背理論記憶深刻得多。IP地址、子網(wǎng)掩碼、路由表這些概念也別放過以后做內(nèi)網(wǎng)滲透、分析攻擊路徑全靠它們。一個很實用的練習(xí)自己電腦上tracert一個公網(wǎng)地址看每一跳的延遲和IP理解數(shù)據(jù)包是怎么跳著到達目標的。做幾次之后你對“網(wǎng)絡(luò)是分層的、是很多設(shè)備協(xié)作的”這種抽象概念就會有實感。2.2 Linux與Windows你的實驗臺和工作臺網(wǎng)安實驗環(huán)境里L(fēng)inux是絕對主力因為大量服務(wù)器、安全工具都跑在Linux上。Windows也不能扔畢竟現(xiàn)實企業(yè)環(huán)境里Windows仍是主流很多攻擊面就在Windows系統(tǒng)里。新手不需要把Linux學(xué)成運維專家但下面這些必須得心應(yīng)手命令行基礎(chǔ)cd、ls、mkdir、grep、find這些用戶與權(quán)限管理尤其是r w x權(quán)限位文件系統(tǒng)結(jié)構(gòu)常用的網(wǎng)絡(luò)命令ip、ss、ping、nc以及用包管理器裝軟件。建議直接裝個Ubuntu虛擬機以后裝靶場、跑工具都在里面完成。Windows方向重點理解進程、服務(wù)、注冊表、事件日志這幾塊。以后分析惡意樣本或者做應(yīng)急響應(yīng)的時候全都要跟這些東西打交道。你現(xiàn)在可以不知道它們的全部細節(jié)但至少要能在“任務(wù)管理器里看到一個可疑進程”時知道怎么去查它的啟動項、路徑和日志記錄。2.3 用生活類比拆解抽象概念小白也能秒懂說個我的教學(xué)習(xí)慣把協(xié)議端口類比成小區(qū)里的門牌號。IP地址是“哪個小區(qū)哪棟樓”端口就是你找的具體“幾零幾”。比如你訪問一個網(wǎng)站數(shù)據(jù)包會找到服務(wù)器IP小區(qū)然后敲開80端口門牌。沒有端口數(shù)據(jù)到了服務(wù)器也不知道該交給哪個服務(wù)。再比如說防火墻規(guī)則你把它想成小區(qū)門口保安的登記本只能讓登記的訪客進其他一律攔在外面。理解了這套規(guī)則背后的邏輯再看防火墻配置里那一堆allow、deny就不覺得陌生了。我講給新人聽的時候他們普遍反饋這種類比特別容易入腦。3. 實訓(xùn)環(huán)境怎么搭別用真機練手這是鐵律熱搜里有人問“有沒有帶網(wǎng)安實訓(xùn)的電腦”這說明大家已經(jīng)意識到實訓(xùn)的重要性了。但我必須先潑一盆冷水不要在自己的主力電腦上直接跑攻擊工具做實驗。一個不小心可能把你的系統(tǒng)弄壞、文件誤刪甚至因為實驗配置的漏洞被外網(wǎng)掃描到。練手一定要在隔離環(huán)境里做。3.1 電腦配置怎么選才能滿足網(wǎng)安學(xué)習(xí)和實訓(xùn)做網(wǎng)安實驗對電腦要求真不算高別被網(wǎng)上的配置黨帶偏。CPU方面現(xiàn)在的入門級處理器比如i5或R5級別完全夠用內(nèi)存建議16GB起步因為跑虛擬機很吃內(nèi)存硬盤優(yōu)先固態(tài)至少留出100GB空余空間給虛擬機鏡像和靶場。如果你預(yù)算緊張一臺8GB內(nèi)存的老電腦也可以先跑輕量級的Linux虛擬機只是同時開的服務(wù)要克制一點。如果你問要不要買專門“帶實訓(xùn)功能”的電腦產(chǎn)品我的建議是沒必要。實訓(xùn)靠的是虛擬機、靶場軟件和網(wǎng)絡(luò)環(huán)境不是靠電腦里預(yù)裝的東西。很多預(yù)裝所謂“實訓(xùn)系統(tǒng)”的機器配置往往不如你自己裝一套來得靈活。3.2 虛擬機與靶場搭建實操從零搭出你的安全實驗室推薦用VMware Workstation Pro或VirtualBox都可以隨便選一個。虛擬機里裝啥呢建議至少準備三臺Kali Linux裝你以后要用的各類安全測試工具只做實驗用Ubuntu Server作為目標機裝一些有漏洞的Web應(yīng)用Windows靶機練習(xí)Windows相關(guān)的安全技能靶場方面入門最友好的是DVWA一個故意造了很多漏洞的Web應(yīng)用它難度分級適合循序練習(xí)。再往上可以玩VulHub——一個集成了大量漏洞環(huán)境的開源項目在里面可以一鍵啟動各種漏洞環(huán)境。等基礎(chǔ)打牢了再考慮上HackTheBox這類在線平臺做更真實的綜合性挑戰(zhàn)記得只做平臺上的題目不要對平臺之外的系統(tǒng)動手。搭建步驟其實不復(fù)雜裝好虛擬機軟件下載對應(yīng)ISO鏡像新建虛擬機時內(nèi)存分2~4GB硬盤分30~40GB網(wǎng)絡(luò)模式選擇NAT或僅主機模式。NAT模式下虛擬機能上網(wǎng)但外界訪問不到它僅主機模式更隔離適合后期做內(nèi)網(wǎng)實驗。第一次搭的時候慢一點把每個選項都搞清楚為什么這么選以后遇到問題才有排查頭緒。3.3 為什么強烈不建議直接拿公網(wǎng)目標“練手”這可能是整個網(wǎng)安學(xué)習(xí)里最重要的一條紅線。有些人學(xué)幾天掃描工具就想去掃公網(wǎng)上的網(wǎng)站美其名曰“測試”。這種行為在法律上就是未授權(quán)掃描已經(jīng)觸碰到非法侵入計算機信息系統(tǒng)的邊界輕則封IP重則真會有人找你喝茶。練手的材料太豐富了本地搭一個DVWA里面幾十個常見漏洞隨便練VulHub上下載CVE環(huán)境一鍵復(fù)現(xiàn)經(jīng)典漏洞還有各類在線訓(xùn)練平臺提供的合法挑戰(zhàn)。你練的每一個技巧都能在這些環(huán)境里得到充分練習(xí)。記住網(wǎng)絡(luò)安全先學(xué)的是“規(guī)矩”技術(shù)越強越要守住邊界否則本事越大危害越大。4. 五階段路線拆解照著走不迷路前面給了全景這一章把每一階段落到具體動作。我會告訴你每個階段要學(xué)什么、學(xué)到什么程度算過關(guān)、用什么驗證自己學(xué)會了。你可以按這個節(jié)奏安排自己的學(xué)習(xí)計劃。4.1 階段一打地基第1~2月主要任務(wù)是網(wǎng)絡(luò)協(xié)議與操作系統(tǒng)。網(wǎng)絡(luò)方面把HTTP協(xié)議、DNS、TCP/UDP、IP這幾個核心搞清楚會用Wireshark抓包分析。操作系統(tǒng)方面至少在Linux虛擬機里能熟練操作文件、權(quán)限、進程能看懂系統(tǒng)日志能用命令行解決問題。怎么驗證過關(guān)隨手給你一個域名你能說出用戶輸入到頁面展示的完整流程給你一臺沒裝圖形界面的Linux你能用命令行找到日志文件、查看當前進程、修改配置文件。能完成這些階段一就算扎實了。4.2 階段二走進Web安全第3~4月Web安全是多數(shù)新人切入安全領(lǐng)域最順的入口因為Web應(yīng)用隨處可見漏洞類型也相對固定。常見漏洞至少要知道SQL注入、XSS跨站腳本、CSRF跨站請求偽造、文件上傳漏洞、SSRF服務(wù)端請求偽造、命令注入、越權(quán)訪問等。學(xué)習(xí)方法我推薦“原理復(fù)現(xiàn)”雙管齊下。先看書或教程弄懂漏洞產(chǎn)生的原理再到DVWA里面把對應(yīng)關(guān)卡打一遍。比如學(xué)SQL注入的時候DVWA的低難度關(guān)卡就是讓你在輸入框里提交具有注入語句的參數(shù)然后觀察返回結(jié)果中間數(shù)據(jù)是怎么被拼接到SQL語句里的一目了然。這個階段可能比較枯燥因為要同時補HTTP細節(jié)、后端代碼邏輯和數(shù)據(jù)庫知識。別急我在教學(xué)里常說Web安全不是“背漏洞”而是“理解程序里數(shù)據(jù)處理不當?shù)牡胤健薄Ｄ惆训卿?、查詢、上傳這幾個核心功能的代碼邏輯吃透前面一大堆漏洞理解起來就不難了。4.3 階段三編程能力和工具雙修第5~6月到這個時候必須開始寫代碼了。首選Python語法簡單、安全腳本生態(tài)豐富。你要學(xué)會用Python寫一些自動化的小工具比如批量探測端口、解析HTTP響應(yīng)、處理日志文件。不要求寫多牛的系統(tǒng)能把自己手上重復(fù)性的工作自動化就是很大的進步。工具層面這個階段可以深入使用幾款核心工具Nmap做端口和服務(wù)發(fā)現(xiàn)Burp Suite做Web流量截獲與修改SQLMap自動化探測SQL注入漏洞Metasploit做漏洞利用框架的實驗。注意工具是放大器可不是替代品。你得先懂原理再拿工具去放大效率否則出了問題只會一臉懵。怎么驗證過關(guān)給你一臺靶機你能用Nmap做完端口掃描并分析服務(wù)信息再用Burp Suite抓到登錄請求并嘗試常見攻擊并寫一段Python腳本輔助測試。能做下來這個流程你已經(jīng)有初步的安全測試能力了。4.4 階段四綜合實戰(zhàn)與方向選擇第7~9月前幾個階段幫你打了通識底子這個階段開始分方向。安全領(lǐng)域常見的就業(yè)方向包括滲透測試工程師、安全運維工程師、安全開發(fā)工程師、等保測評師、應(yīng)急響應(yīng)與藍隊分析師。每個方向?qū)寄軜涞膫?cè)重都不一樣你最好先想清楚自己想往哪走。如果走滲透測試方向繼續(xù)深挖Web漏洞利用、內(nèi)網(wǎng)滲透、域滲透多看真實攻擊案例的復(fù)盤報告如果走安全運維方向重心放到防火墻策略、入侵檢測、日志分析、應(yīng)急響應(yīng)流程上如果偏安全開發(fā)那就把代碼能力和安全原理結(jié)合研究如何寫出更安全的代碼、做安全產(chǎn)品研發(fā)。方向不是定了就不改但至少要在第九個月左右有個傾向。因為后面你投簡歷、做項目、積累作品集都要圍繞方向去深耕泛而不精是職場大忌。5. 學(xué)習(xí)路上那些繞不過去的坑我替你踩過了這章專門寫避坑全是我自己踩過或者看學(xué)員踩過的真實問題。你要是能避開一半學(xué)習(xí)效率至少翻倍。5.1 信息過載囤了一堆資料一個都沒學(xué)完網(wǎng)安學(xué)習(xí)資料多到看不完這是事實。今天看到一篇好文章收藏明天看到一套視頻下載結(jié)果收藏夾吃灰。我自己早年也這樣收藏了幾百個鏈接真正打開學(xué)完的沒幾個。對策很簡單每個階段只鎖定一套核心學(xué)習(xí)資源把它吃透別的統(tǒng)統(tǒng)不看。比如階段一鎖定一本書加官方文檔階段二鎖定一個Web安全入門視頻系列加DVWA實戰(zhàn)階段三鎖定一本Python入門教程。貪多嚼不爛把一件事做到足夠深比手里攥十個半成品強太多了。學(xué)完一套再碰新的不要并行開十個戰(zhàn)線。5.2 只記不看、只看不練知識是別人的不是你的有人學(xué)習(xí)喜歡把命令和原理記到筆記本里覺得記下來就學(xué)會了。第二天問他某個命令的選項什么意思答不上來。我特別強調(diào)安全是門手藝必須動手。眼睛看會一百遍不如手指敲一遍。每個知識點學(xué)完之后立刻去虛擬機里驗證。比如學(xué)了“文件權(quán)限777是什么意思”馬上建個文件改一下權(quán)限再用不同用戶去訪問看報錯。學(xué)了SQL注入原理馬上在DVWA里構(gòu)造Payload試試。這種即時反饋的學(xué)習(xí)方式記憶留存率遠高于純看書。另外強調(diào)一句筆記一定要做但要做自己的理解用自己的話寫出來才能確認你真懂了。我現(xiàn)在寫文章也保持這個習(xí)慣寫不出來就意味著沒吃透。5.3 重攻輕防只會打不會守走不遠新人對攻擊技術(shù)天然感興趣這很正常。但如果你想在這個行業(yè)長期發(fā)展防守知識絕對不能缺。藍隊知識日志分析、流量監(jiān)控、應(yīng)急處置、漏洞管理不僅是企業(yè)最日常的需求也能反過來幫你理解攻擊者的手法。比如你學(xué)了SQL注入攻擊反過來想一想如果我是防守方該怎么在日志里發(fā)現(xiàn)這條攻擊線索怎么寫安全參數(shù)來防住它這樣的雙向思維能讓你的水平很快超過同齡人。5.4 常見問題速查表新手高頻求助地這里整理幾個新手上路階段經(jīng)常卡住的問題和解決思路問題原因解決思路虛擬機打開后無法連接網(wǎng)絡(luò)NAT網(wǎng)卡配置錯誤檢查虛擬機網(wǎng)絡(luò)模式與宿主機防火墻重新設(shè)置NAT下載工具速度太慢連接資源服務(wù)器問題換官方源或鏡像源不急的話慢慢下DVWA頁面顯示數(shù)據(jù)庫連不上數(shù)據(jù)庫服務(wù)未啟動檢查MySQL/MariaDB服務(wù)狀態(tài)重新初始化數(shù)據(jù)庫用Burp Suite抓不到本地HTTPS包證書沒裝好在瀏覽器和系統(tǒng)里安裝Burp導(dǎo)出的CA證書掃描靶機掃不到開放端口靶機服務(wù)沒啟動或網(wǎng)絡(luò)隔離確認目標服務(wù)已啟動確認靶機IP能互通代碼報錯看不懂還沒學(xué)編程基礎(chǔ)回退到Python基礎(chǔ)章節(jié)先把報錯信息里關(guān)鍵詞查懂這些都是卡住無數(shù)新人的小問題學(xué)會了排查方法后面實驗會順暢很多。每一行報錯都是給你留的線索千萬別略過。6. 實訓(xùn)層面的進階玩法把知識串成項目等到基礎(chǔ)靶場都打得差不多了你應(yīng)該開始做一些綜合性、可展示的項目而不只是刷題過關(guān)。真正讓你面試時有底氣跟別人聊的就是你做過什么、遇到什么問題、怎么解決的。6.1 從單點靶場到綜合演練環(huán)境推薦把DVWA、VulHub里面的多個靶場串起來搭一個類似“小企業(yè)內(nèi)網(wǎng)”的實驗環(huán)境。準備一臺Kali當攻擊機兩臺Ubuntu當Web服務(wù)器和數(shù)據(jù)庫服務(wù)器再開一臺Windows當辦公機器模擬一個簡化版的業(yè)務(wù)系統(tǒng)。在這個環(huán)境里練習(xí)完整攻擊鏈信息收集掃描端口、識別服務(wù)、漏洞發(fā)現(xiàn)針對Web漏洞做檢測、漏洞驗證確認危害、產(chǎn)出報告寫出修復(fù)建議。這一整套流程練下來你對企業(yè)安全工作的理解會跟只會打靶場的人完全不一樣。這種綜合環(huán)境不要求一步搭完分幾天有余每加一臺機器就多學(xué)一遍網(wǎng)絡(luò)、服務(wù)和系統(tǒng)配置。過程本身就是極好的學(xué)習(xí)素材以后你可以把自己的環(huán)境搭建過程寫成文章這是比一副靶場截圖有說服力得多的作品集。6.2 參與CTF與公開項目既能漲技術(shù)又能攢作品CTF奪旗賽是很好的能力放大器尤其適合入門后的中后期階段。比賽里有Web、逆向、密碼學(xué)、雜項、PWN這些分類你不需要全都會先把Web和雜項抓起來。解題的過程會逼你學(xué)到大量平時不主動碰的知識。參加CTF的另一個好處是認識一群同行。安全圈的信息交流非常重要群里一討論你可能瞬間就想通某個卡了很久的環(huán)節(jié)。很多新人都是在CTF里從答題者變成出題人再從出題人走向崗位的。另外可以嘗試把自己練靶場的截圖、筆記、總結(jié)整理成系列文章發(fā)到社區(qū)別小看這種復(fù)盤輸出。寫下來的過程會逼你把經(jīng)驗結(jié)構(gòu)化還能收到其他學(xué)習(xí)者的反饋。我見過好幾個新人就是靠一篇篇實操筆記獲得面試官的認可因為這種持續(xù)輸出的能力在安全崗很稀缺很多崗位都要求出報告、寫方案文筆和邏輯本身就是工作能力的一部分。6.3 記錄實驗筆記積累“個人知識庫”從第一天學(xué)習(xí)開始我就建議你建一個個人知識庫用Markdown格式記錄所有實驗過程和心得。格式怎么舒服怎么來但至少包含這幾個要素實驗?zāi)繕?、環(huán)境拓撲、操作步驟、遇到的問題、解決方法和關(guān)鍵命令。這個筆記未來能幫你三次大忙復(fù)習(xí)的時候不用翻書查找直接看自己的沉淀面試的時候作為作品集展示比簡歷上干巴巴的一行文字有說服力很多細節(jié)當時記了過半年基本忘光回頭要復(fù)用就靠筆記我有一次在做應(yīng)急響應(yīng)時需要排查一個特殊服務(wù)配置問題。當時就是靠翻自己兩年前的實驗筆記三分鐘定位到問題所在。那一刻你就知道持續(xù)做筆記這件事值了。7. 學(xué)習(xí)節(jié)奏與自我調(diào)整別一口氣沖到底網(wǎng)安學(xué)習(xí)是個長跑一個人的狀態(tài)會有起伏這很正常。關(guān)鍵是要建立起一套能讓自己持續(xù)走下去的節(jié)奏感。7.1 制定可執(zhí)行的學(xué)習(xí)計劃而不是“目標宏圖”“我這月要學(xué)完Web安全”這種目標太模糊執(zhí)行三天就廢。我建議你倒過來設(shè)置一些更小、更好量化的任務(wù)比如“今天在DVWA上完成SQL注入三個關(guān)卡的復(fù)現(xiàn)筆記”又比如“這個星期讀完TCP/IP詳解前三章并畫一張流程圖”。用“完成動作”而不是“達成狀態(tài)”來驅(qū)動學(xué)習(xí)效果會好很多。因為動作是你可以直接控制的狀態(tài)則受一堆因素影響。當你把學(xué)習(xí)拆解成一個個半小時內(nèi)能完成的小任務(wù)堅持下來的概率就高很多。推薦大家用最簡單的表格來管理學(xué)習(xí)任務(wù)每日記錄幾點到幾點、做了什么、完成沒有。不用復(fù)雜的工具一個表格就行。長期下來你會積累一個真實可信的記錄復(fù)盤時非常有價值。7.2 卡住的時候怎么辦先自救再求助學(xué)習(xí)過程中一定會遇到完全看不懂、查不到的情況。這時候不要直接去群里丟一句“誰能幫我看看”而是先嘗試這幾個動作把自己遇到的問題用文字寫清楚把報錯信息全文復(fù)制把你嘗試過的三個解決路徑列出來。為什么強調(diào)寫清楚因為很多人在寫問題描述的過程中自己就想明白了這在老工程師圈里叫“橡皮鴨調(diào)試法”。如果寫完之后還是卡住再把這段整理好的描述發(fā)到技術(shù)社區(qū)求助。帶著你的嘗試過程去問更可能獲得有價值的解答也能讓幫助你的人感受到你的認真。7.3 保持持續(xù)的輸入與輸出循環(huán)最后我想強調(diào)一個觀點學(xué)習(xí)安全技術(shù)輸出是最好的輸入。每學(xué)完一個知識點嘗試做這些事——寫一篇文章、畫一張流程圖、錄一段操作視頻、或者在社區(qū)回答一個新手問題。當你能夠把復(fù)雜問題解釋得別人也聽得懂才是真的掌握牢固。我現(xiàn)在回看當年自己寫的那些幼稚實驗筆記還是能感受到當時的思路脈絡(luò)。每一個標記著“這里沒搞懂”旁邊后來補上的說明都是成長的痕跡。這種持續(xù)記錄、持續(xù)輸出的習(xí)慣幫我撐過了很多學(xué)習(xí)低谷。這些年帶新人的過程中我發(fā)現(xiàn)一個規(guī)律能堅持下來的人并沒有比自己聰明多少只是他們愿意每天比別人多敲幾十條命令、多記十幾行筆記。網(wǎng)安這個領(lǐng)域入門門檻其實不高高的是日復(fù)一日的積累。希望這篇“新手小白網(wǎng)安學(xué)習(xí)之路3”能幫你把腳下這一步踩實后面的事情等你真正動手之后自然就會越走越清晰。