Python_0011的博客

去年我甚至有些羡慕被裁的同学，因为他们可以领个大礼包，并且都找到了新工作，而留下的人工作量都在增加，大家都变得更卷了，但更卷也没有改变现状，终于还是轮到了我，被约谈那天，我心中是愤怒的，人生能有几个。内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…这两年java前端已经卷的不行，能转行的尽量转行吧，网络安全，测试，嵌入式，运维，大数据都比做研发的强。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…《黑客攻击艺术》：本书由Jon Erickson编写，是一本实用的计算机安全指南，介绍了黑客和渗透测试人员在设计和执行攻击时所需的知识和技术，包括汇编语言、程序设计和网络协议等。《RTFM：红队作战手册》：本书由Ben Clark编写，是一本面向红队攻击者的指南，提供了有关操作系统、网络协议和加密等方面的实践性知识。

网络空间安全部队成立，网安牛回速归，对信息对抗感兴趣的小伙伴和还在校的大学生，你们的机会来啦。试想，大家以后可以报名参军，参加网络空间安全部队的选拔。所以，我觉得现在大家有必要提前学习和了解一下，美国的网络空间部队的培养计划和网络部队兵种的分类。

子域，敏感目录，敏感信息，这些玩意早被卷完了，你能挖掘到的信息点，别人都日透了。其次说个东西，很多机构都说包就业，包工作，其实大多数都是把学员外包，完成kpi就行了，包就业，但是我又没说包多久，包一个月也是包，到时候不需要人就找个理由给你开了，再说了，现在网安这么卷，你一个机构出来的和高校比？、360、阿里这些，赏金猎人也有大佬，众测人家一个晚上就可以赚几千块，确实比较累，通宵挖，但是钱也不少，还有就是src，特别是挖大厂src，一个也是上千上万，再一个就是护网，日入3-4k的护网，也是卷死了很多人。

作为网安人员，我认为需要。PS：为了便于理解，此篇涉及知识点为入门知识。①可以先简单了解一下自己喜欢的方向，网安细分还有web，re(逆向)，(二进制)，杂项，密码学等等。你可以接触一些题目来感受自己适合走什么方向。②想买书的话 ，推荐你买一本《反》0难度，可以当故事看，了解一下的魅力。如果对当ctf赛棍有兴趣可以买《》(虽然我买了没看多少)③电脑记得买内存大的，网安工具很多，盘爆了的痛苦不希望你经历，性能也要好，别买的开都费劲(°ー°〃)

大一的话，如果学校还不错，那就优先建议打好基础，包括C语言、Python一类。建议把CTF各个方向的东西都浅浅的学一点，诸如RE、PWN、WEB、MISC、REVERSE、MOBILE等等各类方向都学一点，大一新生视野要比技术更重要，都学过一点之后，再综合来看自己选择的方向。大一主要方向是做好编程语言基础，所有方向挨个尝试。如果校资源不是特别好的话，也可以去尝试加入一些CTF联合战队。大二就可以针对自己喜欢的、擅长的技术方向发力了，尽可能快的成为主力队员，疯狂的刷奖，比如ISCC、CISCN等各大竞赛。

在知乎上看到一个有意思的问题，是劝退计算机的。主要观点：计算机从业人员众多加班，甚至需要99635岁危机猝死、秃头综上所属，计算机不仅卷，而且还是一个高危职业呀，可别来干了。

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

最近，相信大家都被这股铺天盖地的“裁员”寒意冷到了。各种社交平台上，越来越多打工人曝出自己被迫裁员、就业困难的无奈现状。从一开始的工厂工人无工失业返乡，到中台等中小企业精减优化，现在就连阿里、字节跳动等大厂也“搁浅了”，纷纷加入了裁员行业。而令人焦虑的是，“裁员潮”还在继续……计算机专业本科生就业情况。

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。提醒大家一个点：网安的私活不是一次性的，很多以前合作过的甲方都会在后面有事的时候有偿来找我，所以人脉这一块也很重要。攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去接私活完全没有问题。

如果你读过 Kali Linux 点评，你就知道为什么它被认为是最好的黑客渗透测试的 Linux 发行版之一，而且名副其实。它带有许多工具，使你可以更轻松地测试、破解以及进行与数字取证相关的任何其他工作。它是道德黑客ethical hacker最推荐的 Linux 发行版之一。即使你不是黑客而是网站管理员 —— 你仍然可以利用其中某些工具轻松地扫描你的网络服务器或网页。在任何一种情况下，无论你的目的是什么 —— 让我们来看看你应该使用的一些最好的 Kali Linux 工具。

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

Display Filter(显示过滤器)， 用于过滤Packet List Pane(封包列表)， 显示捕获到的封包， 有源地址和目标地址，端口号。颜色不同，代表信息不同Packet Details Pane(封包详细信息), 显示封包中的字段Dissector Pane(16进制数据)Miscellanous(地址栏，杂项)显示过滤器（Display Filter）

只能说比很多其他行业好很多，没有发展到内卷的程度。但是如果你抱着好混的心态进入某个行业的话，不管这个行业好不好混，我觉得你在这个行业肯定是走不远的。先说说网络安全行业现在的情况吧，目前行业发展比较快，网络安全也已经被大众所看见。市场的需求加上政策的要求，导致了现在市场对网络安全的需求量飙升，同时以前不重视网络安全人才的培养，所以现在企业想要招人就比较困难。要想找到符合要求的人才，就会降低标准，比如学历、年龄、经验，也会提高相应的薪资福利待遇。

这里给出一些我的建议：1. 多看书阅读永远是最有效的方法，尽管书籍并不一定是最好的入门方式，但书籍的理解需要一定的基础；例如《黑客攻防—web安全实战详解》《Web前端黑客技术揭秘》《安全之路：Web渗透技术及实战案例解析（第2版）》现在Web安全书籍比较多，因此大家在学习的过程中可以少走了不少的弯路。而基础的学习需要把握一个度，当你选择花很多时间完全掌握这些知识，再学习Web安全时，你的学习兴趣或多或少会失去一些。当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

当然，成熟的cms已经内置了管理后台和编辑器，如果是自己写的cms，后台往往是https//www.baidu.com/admin/，而常见的编辑器有FCKeditor，UEditor，CKEditor，eWebEditor等。手工使用一句话很麻烦，并且由于php魔术引号的影响，自己构造能绕过魔术引号的payload也比较麻烦，所以通常我们使用一些客户端来连接一句话，最常用的就是菜刀（chopper.exe），菜刀的用法非常简单，填入一句话地址和密码即可，菜刀会自动判断脚本语言和编码，也可以自行修改。

而端口被定义为filtered 状态的原因是是报文被防火墙设备，路由器规则，或者防火墙软件拦截，无法送达到端口，这通常表现为发送NMAP的主机收到ICMP报错报文，或者主机通过多次重复发送没有收到任何回应）。这种状态只会出现在open端口对报文不做回应的扫描类型中，如：udp，ip protocol ，TCP null，fin，和xmas扫描类型。当测试目标是一个网络时，在线的主机才是我们的用主机发现的目标，nmap中提供了许多主机发现的方法，大多与TCP/IP协议簇中的协议有关。

Kali Linux是一个基于Debian的安全发行版，最初设计用于渗透测试和网络分析。该操作系统是完全免费的，我们可以通过PC、手机、手表、树莓派等设备进行安装。目前支持500多个渗透测试和网络安全相关应用程序。它是一个开源操作系统，因此其代码可在线免费获得，这意味着您可以根据需要查看并对其进行调整。它还支持多种语言，并包括许多自定义功能。也许你会问，玩kali会被喝茶吗？它只是一个单纯的操作系统，至于如何使用就看你是什么目的了。最后表哥告诫渗透不规范 亲人泪两行。

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。具有保密性、完整性、可用性、可控性、可审查性的特性。

最近也有很多人联系我想要学习网络安全相关的知识，而且很多都是零基础的，说实话，你们可以当业余兴趣爱好去学习，关于这方面的东西，我之前就有介绍。kali上的web相关工具，有几百种，而你要熟练使用的，起码得要有十几种，才能算入门了。还要学习后端各种语言，php、py、node、go、java等等，虽然我们通常所攻击的网站，大部分都是php构建，但是时代在变化，像现在比较流行的go，大部分的公司，其实都把网站构建转go了，前后端开发人员要与时俱进的防护攻击，攻击人员也得与时俱进的变换攻击。这还是在一二线城市。

经过一段时间的使用，我认为这款工具确实是不错的！比如说我要搞点 linux 的小试验，通过 Multipass 几分钟就能搭起系统来测试。要测试小型数据库集群，也可以通过 Multipass 在本地快速搭建虚拟机集群，很不错！唯一美中不足的是 Multipass 只能使用 Ubuntu 镜像，因为这款工具是由 Ubuntu 背后的 Canonical 公司开发开源的。

如果找学计算机的女朋友 ，还是要看这个男生本来的性格，如果是典型的大男子主义，那我觉得你最好找有点艺术细菌和学文学类的女生，一般她们比较感性，所以需要人去保护。应该这样说，学理工科的女生通常做事儿都非常地理性（相比于学文学类的），基本上出去都能独挡一面，女人能做的她能做，男人能做的她也能做，有时候表现得比男人还男人，这是我认识的学计算机的女生。我知道上大学之后要努力，但我做的远远不够，所以大一混得很惨。我后悔的，那就是没好好把握时间，没有对自己学习路线的规划，一直跟着学校的培养计划走，但显然是不够的。

AWVS的左侧功能模块主要为六个：1、Dashboard:仪表盘模块，你扫描过的网站的一些漏洞信息这里会显示2、Targets:目标模块，就是你要扫描的目标网站3、:漏洞模块，显示扫描的漏洞详情4、Scans:扫描模块，从 Target里面选择目标站点进行扫描5、Reports:报告模块，漏洞扫描完之后的报告6、Settings:设置模块，就是软件的一些设置，包括软件更新，代理设置等等。

攻击机：kali装有hydra工具靶机：192.168.154.131安装ssh服务，正常运行复制代码为了测试方便，我们创建两个简单的字典文件，如下：​。

俗话说得好，最好的防守就是进攻，而这句话同样适用于信息安全领域。接下来，给大家介绍七个最新的网络安全网站。无论你是开发人员、安全专家、审计人员、或者是渗透测试人员，你都可以利用这些网站来提升你的黑客技术。熟能生巧，请你时刻牢记这一点！bWAPP，即Buggy Web Application，这是一个免费开源的Web应用。该网站的开发者Malik Messelem（@MME_IT）在搭建这个站点时故意留下了大量的安全漏洞，其中还包含有OWASP Top10中的100多个常见安全问题。

网络安全意识培训的重要性已经无需多言，但是很多企业在实践中面临两难境地，力度小了员工敷衍了事，而力度大了，如果方式不对，有时候也会起到反作用，甚至会让安全意识培训在企业内部落下“不讲武德”的坏名声。例如，在今年早些时候，报业巨头Tribune Publishing向员工发送了网络钓鱼模拟测试邮件，“恭喜”员工获得5000-10000美元的年终奖，需要登录查看。结果点击链接的员工立刻收到了参加计算机安全培训计划的通知。