對(duì)新知識(shí)的學(xué)習(xí)，應(yīng)該明確三點(diǎn)：學(xué)些什么？怎樣去學(xué)？三是及時(shí)復(fù)習(xí)。本文以這三點(diǎn)為基礎(chǔ)，圍繞信息安全學(xué)習(xí)過(guò)程展開(kāi)論述。大型目標(biāo)點(diǎn)，在新知識(shí)的學(xué)習(xí)中，明確學(xué)習(xí)目標(biāo)是第一件要做的事，有目標(biāo)才知道自己該往哪里走。但是對(duì)新人來(lái)說(shuō)，在無(wú)人指導(dǎo)的情況下，明確目標(biāo)這一步會(huì)比較迷茫，所以個(gè)人建議如下：

根據(jù)OWASPTOP10文件中所總結(jié)的漏洞類型來(lái)設(shè)定目標(biāo)。但其中一些項(xiàng)目還比較雜糅需要在這一點(diǎn)上繼續(xù)分化下去，分化的問(wèn)題放在下一部分來(lái)解釋,二是培訓(xùn)機(jī)構(gòu)的白嫖課程大綱。這一點(diǎn)，我也是在看別人分享學(xué)習(xí)經(jīng)驗(yàn)的時(shí)候得到的，原則上，我不推薦培訓(xùn)機(jī)構(gòu)的教學(xué)大綱對(duì)于幫助快速確定學(xué)習(xí)目標(biāo)，無(wú)論是在線還是線下的培訓(xùn)機(jī)構(gòu)在詢問(wèn)有什么課程時(shí)，都毫不忌諱。三是網(wǎng)上導(dǎo)讀文章學(xué)習(xí)。網(wǎng)上的大部分入門(mén)文章都是因?yàn)橥扑]書(shū)中有細(xì)分知識(shí)點(diǎn)，所以文章中沒(méi)有明確的要學(xué)習(xí)的點(diǎn)。所以這篇文章對(duì)于目標(biāo)的初步確立并不重要，但一定要參考文章里面推薦的書(shū)籍來(lái)幫助自己建立目標(biāo)。

小小的知識(shí)點(diǎn)

了解了應(yīng)該學(xué)的知識(shí)點(diǎn)后，那么針對(duì)這些知識(shí)點(diǎn)又應(yīng)該從哪個(gè)方面入手呢？這些經(jīng)驗(yàn)都是我在良哥學(xué)習(xí)時(shí)總結(jié)下來(lái)的。共有三個(gè)要點(diǎn)：一、造成漏洞的原因？如何利用這些漏洞呢？三、如何防范這些漏洞？在原則上——利用——補(bǔ)習(xí)這三個(gè)方面進(jìn)行學(xué)習(xí)。

如何學(xué)習(xí)?老問(wèn)題了，標(biāo)準(zhǔn)答案當(dāng)然是對(duì)搜索引擎的好。搜索漏洞的原理、利用方式、如何防御以獲取詳細(xì)的知識(shí)內(nèi)容，優(yōu)秀的社區(qū)如T00ls、先知又或freebuf、安全客等門(mén)戶網(wǎng)站都有很好的文章。問(wèn)題解決后，知識(shí)內(nèi)容就成為實(shí)踐的東西，但是對(duì)于初學(xué)者來(lái)說(shuō)，環(huán)境總是最難解決的問(wèn)題。有人建議，可以首先在Windows虛擬機(jī)上利用phpstudy，然后結(jié)合綜合的基礎(chǔ)漏洞平臺(tái)dvwa來(lái)學(xué)習(xí)。一方面是因?yàn)榄h(huán)境搭建簡(jiǎn)單，不容易在環(huán)境搭建這方面碰壁，另一方面是因?yàn)榄h(huán)境搭建的漏洞非常基礎(chǔ)，所以能有效的看出成功，進(jìn)而保持學(xué)習(xí)的興趣。但隨后一定要再次手工搭建linux系統(tǒng)下的環(huán)境，以加深自己對(duì)網(wǎng)站架構(gòu)的理解，知道組成Web應(yīng)用程序的那些部分。這可以幫助自己了解出各種漏洞出現(xiàn)問(wèn)題的地方。當(dāng)綜合漏洞學(xué)習(xí)完成后就是專項(xiàng)漏洞的學(xué)習(xí)，綜合漏洞畢竟還是比較基礎(chǔ)的，要對(duì)所學(xué)知識(shí)點(diǎn)進(jìn)行更深入的練習(xí)需要更具體的環(huán)境，靶場(chǎng)推薦.

而在這些漏洞的學(xué)習(xí)中，則需要相應(yīng)地加強(qiáng)基礎(chǔ)知識(shí)，比如編程語(yǔ)言的學(xué)習(xí)，各種協(xié)議的學(xué)習(xí)等等。基本知識(shí)和完成漏洞的學(xué)習(xí)后，就可以考慮嘗試在實(shí)際場(chǎng)景中測(cè)試或在CTF中鍛煉自己。由于自身也在這個(gè)階段，所以不能為這些內(nèi)容提供有效的幫助。真實(shí)的漏洞挖掘在學(xué)習(xí)CTF中的同時(shí)，關(guān)注一些最新的漏洞動(dòng)態(tài)或者大佬們關(guān)于漏洞的研究文章，積極動(dòng)手，重新學(xué)習(xí)相關(guān)的漏洞。這個(gè)學(xué)習(xí)的東西會(huì)很雜，所以我們要把學(xué)習(xí)的內(nèi)容分類，這樣才能對(duì)自己的知識(shí)有一個(gè)結(jié)構(gòu)化的了解，知道自己的不足之處，方便自己查漏補(bǔ)缺。

其實(shí)在這個(gè)方面沒(méi)有什么特別的辦法，只有靠自己堅(jiān)持。但是如果看了自己的文章覺(jué)得比較慚愧，或者不能靜心的話，可以記下自己每次查閱資料的地址，對(duì)這些資料的內(nèi)容再學(xué)習(xí)。也希望在安定了生活狀態(tài)后，自己可以多花點(diǎn)時(shí)間來(lái)總結(jié)和分享。如果想要對(duì)自己網(wǎng)站或APP進(jìn)行滲透測(cè)試的話可以去看看SINESAFE,鷹盾安全，啟明星辰，綠盟等等這些安全公司來(lái)處理。