小白快速上手白帽黑客学习方法｜白帽黑客入门免费学习资源合集

写在前面：别让“资源焦虑”拖垮你的学习

很多想入门白帽黑客的朋友，都会陷入一种奇怪的循环：今天看到A博主推荐一套课程，赶紧收藏；明天看到B大神分享一份书单，立刻保存；后天又发现C平台有免费靶场，迫不及待注册……结果呢？收藏夹越来越满，真正的学习进度却几乎为零。

这种“资源焦虑”的背后，其实是不知道从哪开始、怎么学、学到什么程度才算“入门”。今天这篇文章，我帮你把那些真正优质、免费、适合小白的资源梳理清楚，更重要的是，告诉你该怎么用这些资源，而不是让它们躺在收藏夹里吃灰。

第一步：先搞清楚“学什么”——白帽黑客的知识地图

在开始找资源之前，你得先知道自己要学什么。白帽黑客的知识体系大致可以分为四个层级，从下往上，层层递进：

第一层：基础通识（约1-2个月）

- 计算机网络基础：TCP/IP协议、HTTP/HTTPS、DNS解析、端口与套接字

- 操作系统基础：Windows和Linux的基本操作、文件权限、进程管理、命令行

- 编程基础：Python（必学）、Bash脚本、HTML/JavaScript（Web方向需要）

第二层：安全原理（约2-3个月）

- 常见漏洞原理：OWASP Top 10（SQL注入、XSS、CSRF、文件上传等）

- 加密与认证：对称/非对称加密、数字证书、身份认证机制

- 安全工具基础：Nmap、Burp Suite、Wireshark、Metasploit

第三层：实战训练（持续进行）

- 靶场练习：DVWA、Hack The Box、TryHackMe、攻防世界

- CTF竞赛：从新手赛开始，逐步参与正式比赛

- 漏洞复现：学习CVE漏洞公告，在实验环境复现

第四层：方向深耕（长期）

- Web安全、二进制安全、移动安全、云安全、物联网安全……

对于小白来说，前两个层级是重中之重。不要跳过基础直接去挖漏洞，那只会让你变成“脚本小子”。

第二步：这些免费资源，足够你学半年

一、系统学习类平台（推荐指数：⭐⭐⭐⭐⭐）

1. Cybrary（cybrary.it）

全球最大的免费网络安全学习平台之一，课程覆盖从入门到认证的全链路。它的最大优势是“路径化”——比如选择“渗透测试工程师路径”，系统会自动给你排好28门课，从网络基础到漏洞利用，按顺序学就行。

适合人群：想要系统学习、目标明确（比如考CEH认证、找工作）的小白

使用技巧：注册后先做“技能测评”，系统会根据你的水平推荐课程，避免从太简单或太难的内容入手

2. PortSwigger Web Security Academy（portswigger.net/web-security）

这是Burp Suite官方推出的免费Web安全学习平台，强烈推荐！它不仅有详细的图文教程，还有在线交互式实验室，你可以在浏览器里直接动手操作，不用搭建任何环境。

适合人群：想深入学习Web安全的小白

必学内容：SQL注入、XSS、CSRF、SSRF、文件上传等所有OWASP Top 10漏洞，每个漏洞都有配套的实战练习

3. B站（bilibili.com）

别小看B站，上面有大量优质的网络安全入门视频。搜索“网络安全入门”“渗透测试基础”“Kali Linux教程”等关键词，能找到很多UP主制作的系列课程。

推荐搜索关键词：

- “零基础学网络安全”

- “Kali Linux从入门到精通”

- “Burp Suite实战教程”

- “CTF入门教程”

避坑提醒：注意甄别内容时效性，尽量选择近一年内发布的视频，因为安全工具和漏洞环境更新很快。

二、实战训练类平台（推荐指数：⭐⭐⭐⭐⭐）

1. Hack This Site（hackthissite.org）

全球最经典的“白帽黑客训练场”，2003年运营至今，专为新手设计。它把挑战分成不同难度等级，从“Basic基础关”到“Realistic实战关”，每关都有明确目标。

适合人群：完全零基础，想先体验“黑客技术到底学什么”的萌新

使用技巧：先从“Basic 1-10关”入手，重点练习“信息收集→漏洞分析→利用验证”的完整流程，每关吃透原理比刷数量重要

2. TryHackMe（tryhackme.com）

新手友好度最高的实战平台，没有之一。它把每个实验都设计成“房间”（Room），从最基础的“Linux基础命令”到复杂的“内网渗透”，都有详细的引导。

适合人群：刚学完基础理论，想动手练习的小白

推荐房间：

- “Linux Fundamentals”：Linux基础操作

- “Web Fundamentals”：Web安全基础

- “OWASP Top 10”：十大漏洞实战

- “Vulnversity”：综合渗透测试

3. 攻防世界（adworld.xctf.org.cn）

国内最知名的CTF竞赛平台之一，由XCTF联赛运营。它有专门的“新手村”板块，题目难度从易到难，非常适合国内新手。

适合人群：想参加CTF比赛、但不知道从哪开始的小白

使用技巧：先做“新手练习区”的题目，遇到不会的可以看题解，但一定要自己动手复现一遍

三、工具学习类资源（推荐指数：⭐⭐⭐⭐）

1. Metasploit官方文档（metasploit.com）

Metasploit是全球最流行的渗透测试框架，它的官方文档比任何第三方教程都权威。从安装配置到基础命令（search、use、set、exploit），每一步都有详细示例。

适合人群：已经学过基础工具，想深入练习漏洞利用的进阶者

隐藏福利：注册账号可免费下载“Metasploit工具包”，包含常用漏洞利用脚本和字典文件

2. Wireshark官方示例（wireshark.org）

Wireshark是网络分析的神器，官方提供了大量抓包示例文件，你可以下载后自己分析HTTP请求、TCP三次握手、DNS解析等过程。

适合人群：想理解网络协议、学习流量分析的小白

推荐练习：下载“HTTP.cap”文件，分析一个完整的HTTP请求-响应过程

四、书籍与社区（推荐指数：⭐⭐⭐⭐）

1. 必读书籍（PDF版可免费获取）

- 《白帽子讲Web安全》：吴翰清（道哥）著，国内Web安全经典，入门必读，前8章必须精读

- 《图解HTTP》：用图解的方式讲解HTTP协议，非常适合零基础

- 《Web安全深度剖析》：漏洞原理讲解深入，建议配合实战练习

2. 技术社区

- Freebuf（freebuf.com）：国内最大的网络安全媒体，有大量技术文章、漏洞分析、行业资讯

- 安全客（anquanke.com）：高质量的安全技术博客平台，适合进阶学习

- 看雪论坛（kanxue.com）：老牌安全技术社区，有很多深度技术讨论

- GitHub Awesome Hacking列表：开源项目宝库，搜索“awesome hacking”即可找到

第三步：制定你的“90天入门计划”

光有资源还不够，你得知道怎么用。下面是一份适合小白的90天学习计划，每天投入2-3小时即可：

第1-30天：基础通识阶段

目标：掌握计算机网络、操作系统、编程基础

- 第1-7天：学习计算机网络基础，重点理解TCP/IP协议栈、HTTP/HTTPS、DNS解析。推荐看《图解HTTP》前5章，配合B站视频

- 第8-14天：安装Kali Linux虚拟机，学习Linux基本命令（ls、cd、cp、mv、rm、chmod、ps、netstat等）

- 第15-21天：学习Python基础，重点掌握字符串操作、文件读写、网络请求（requests库）、正则表达式

- 第22-30天：学习Windows系统基础，理解注册表、服务、进程、事件查看器，练习用Process Explorer分析进程

第31-60天：安全原理阶段

目标：理解常见漏洞原理，掌握基础工具

- 第31-40天：学习OWASP Top 10漏洞，重点掌握SQL注入、XSS、CSRF。配合PortSwigger Academy的交互式实验室

- 第41-50天：学习Nmap和Burp Suite的基本使用。用Nmap扫描局域网设备，用Burp Suite拦截和修改HTTP请求

- 第51-60天：学习Metasploit框架，在Kali Linux上练习基础命令，尝试对Metasploitable靶机进行渗透

第61-90天：实战训练阶段

目标：在靶场中完成至少10个挑战

- 第61-70天：在TryHackMe上完成“Linux Fundamentals”“Web Fundamentals”“OWASP Top 10”三个房间

- 第71-80天：在Hack This Site上完成“Basic 1-10关”，重点练习信息收集和漏洞分析

- 第81-90天：在攻防世界的新手练习区完成5-10道题目，尝试写解题报告

写在最后：三个必须牢记的原则

1. 合法是底线

所有学习操作都必须在你自己搭建的实验环境、或者获得明确授权的平台上进行。未经授权的测试，哪怕只是扫描一个IP，都可能违法。未满18岁的朋友，必须在具备专业资质的成年人指导下学习。

2. 动手比收藏重要

收藏100个资源，不如动手完成一个实验。每学一个新知识点，都要在虚拟机里亲自操作一遍。遇到问题不要怕，这正是学习的机会。

3. 保持长期主义

网络安全领域的技术更新极快，今天学的工具，明天可能就过时了。但基础原理永远不会变——TCP/IP协议、操作系统内核、加密算法……这些才是你真正的核心竞争力。设定阶段性目标，比如“3个月掌握Linux命令”“半年复现1个靶场漏洞”，用小成就对抗枯燥。

从今天开始，关掉那些“7天速成黑客”的广告，打开Cybrary或者PortSwigger Academy，从第一节课开始学起。你会发现，那个曾经遥不可及的白帽黑客世界，正在一步步向你走来。