零基础自学网络安全每天学习计划
没问题！零基础自学网络安全，最怕的就是“三天打鱼两天晒网”或者“只看不练”。为了帮你把碎片时间变成实打实的技术，我为你设计了一份每天2-3小时的高效学习计划。这份计划特别强调动手实操，能帮你避开“理论派”的坑，快速建立实战能力：
️ 每日时间分配建议（2-3小时）
- 理论学习（45-60分钟）： 看视频/读文档，理解核心概念。
- 动手实操（60-90分钟）： 在靶场或虚拟机中复现漏洞，这是最重要的环节。
- 复盘总结（15-30分钟）： 整理笔记，记录遇到的报错和解决方法（构建自己的知识库）。
第一阶段：夯实地基（第1-4周）
目标： 理解网络通信原理，熟练使用Linux，搭建好实验环境。
第1周：网络协议与Web基础
- 周一： HTTP协议详解。理解请求头、响应头、状态码（200, 301, 404, 500）、Cookie与Session的区别。
- 周二： TCP/IP模型。了解IP地址、端口、三次握手（理解为什么会有SYN Flood攻击）。
- 周三： DNS解析过程。理解域名如何解析为IP，什么是A记录、CNAME记录。
- 周四： Web架构基础。了解什么是Web服务器（Apache/Nginx）、数据库（MySQL）、后端语言（PHP/Python/Java）的关系。
- 周五： 浏览器开发者工具。学会用F12查看网络请求、控制台报错、元素结构。
- 周六： 实操日。用Wireshark抓包，分析一次访问百度时的HTTP请求全过程。
- 周日： 复习与总结。画思维导图，梳理本周知识点。
第2周：Linux操作系统（Kali Linux）
- 周一： 安装Kali Linux。在虚拟机（VMware/VirtualBox）中安装Kali，配置网络。
- 周二： 文件目录操作。熟练掌握 ls, cd, pwd, mkdir, rm, cp, mv。
- 周三： 文件内容查看。掌握 cat, less, head, tail，特别是 grep（搜索关键字）的用法。
- 周四： 权限管理。理解 chmod, chown，了解 sudo 的作用，理解 root 权限的危险性。
- 周五： 进程与网络命令。学会 ps -aux 查看进程，netstat -tuln 查看开放端口。
- 周六： 实操日。尝试在Kali中安装一个Apache服务，并修改首页内容。
- 周日： 复习与总结。尝试不看文档，用命令行完成文件查找和权限修改任务。
第3周：数据库与SQL基础
- 周一： 数据库概念。理解什么是关系型数据库，表、行、列的概念。
- 周二： SQL语法基础（查询）。学习 SELECT * FROM users WHERE id=1。
- 周三： SQL语法基础（增删改）。学习 INSERT, UPDATE, DELETE。
- 周四： MySQL基础操作。学习如何登录MySQL，查看库，查看表。
- 周五： SQL注入原理（理论）。理解单引号闭合、注释符（-- 或 #）、逻辑运算（or 1=1）。
- 周六： 实操日。在本地搭建MySQL，手动执行SQL语句增删改查。
- 周日： 复习与总结。
第4周：环境搭建与工具初探
- 周一： 搭建靶场（DVWA）。在虚拟机中安装DVWA（Damn Vulnerable Web App）或 Pikachu 靶场。这是你未来的“练兵场”。
- 周二： Burp Suite安装与配置。配置代理，让浏览器流量经过Burp。
- 周三： Burp Suite抓包。拦截HTTP请求，观察数据包结构。
- 周四： Burp Suite改包。修改参数，观察服务器响应变化。
- 周五： Burp Suite重放。使用Repeater模块，反复发送同一个请求进行测试。
- 周六： 实操日。完全打通DVWA的安装流程，并用Burp抓到DVWA的登录包。
- 周日： 月度复盘。总结第一个月的收获，确保环境可用。
️ 第二阶段：Web漏洞攻防（第5-12周）
目标： 掌握OWASP Top 10常见漏洞的原理、利用与防御。
第5-6周：SQL注入（SQL Injection）
- 重点： 理解数据库的“回显”逻辑。
- 内容：
- 数字型注入与字符型注入的区别。
- 联合查询注入（UNION SELECT）。
- 报错注入与盲注（布尔盲注、时间盲注）的概念。
- 使用SQLMap进行自动化注入（了解原理，但不要依赖）。
- 实操： 通关 DVWA 的 SQL Injection 模块（Low -> Medium -> High）。
第7周：跨站脚本攻击（XSS）
- 重点： 理解JavaScript在浏览器端的执行。
- 内容：
- 反射型XSS（诱骗点击）。
- 存储型XSS（留言板、评论区）。
- DOM型XSS（前端JS逻辑漏洞）。
- 利用XSS窃取Cookie。
- 实操： 在靶场中弹窗 alert(document.cookie)。
第8周：文件上传与包含
- 重点： 绕过服务器的检查机制。
- 内容：
- 文件上传漏洞原理（上传WebShell）。
- 绕过前端JS检查、MIME类型检查、后缀名黑名单。
- 文件包含漏洞（本地包含、远程包含）。
- 实操： 上传一个PHP木马文件，并连接执行命令。
第9周：命令执行与代码执行
- 重点： 服务器端的“遥控器”。
- 内容：
- 代码执行（eval() 函数）。
- 命令执行（system(), exec() 函数）。
- 管道符拼接命令（|, &, ;）。
- 实操： 在靶场中通过ping命令测试，尝试执行 whoami。
第10周：逻辑漏洞与认证
- 重点： 程序员脑子没转过来留下的漏洞。
- 内容：
- 暴力破解（Burp Suite Intruder模块）。
- 验证码绕过（删除验证码参数、验证码不刷新）。
- 越权访问（水平越权：看别人的订单；垂直越权：管理员删帖）。
- 密码找回逻辑漏洞。
- 实操： 使用Burp Suite 对 DVWA 的 Brute Force 模块进行字典攻击。
第11-12周：综合实战与工具进阶
- 内容：
- 信息收集进阶： 子域名挖掘、端口扫描（Nmap）、目录扫描（Dirsearch）。
- CMS识别： 识别网站是用WordPress还是Discuz搭建的。
- 漏洞扫描器： 了解 AWVS、Xray 的使用（但要坚持手动验证）。
- 实操： 在 CTFHub 或 Bugku 上刷10道Web入门题。
️ 第三阶段：编程与进阶（第13周起）
目标： 摆脱“脚本小子”称号，具备自动化和深入分析能力。
- Python编程：
- 学习 requests 库（发送HTTP请求）。
- 编写一个简单的端口扫描器。
- 编写一个简单的目录爆破脚本。
- PHP代码审计（基础）：
- 学习PHP常见危险函数。
- 能够看懂简单的PHP代码逻辑，找出漏洞点。
- 内网渗透（入门）：
- 了解什么是域（Active Directory）。
- 了解内网横向移动的基本概念。
避坑指南（关键！）
- 不要只看不练： 视频看懂了不代表你会了。不动手复现的教程等于没看。
- 不要沉迷工具： 工具（如SQLMap）只是辅助，面试和工作时更看重你是否理解原理。如果工具报错，你要知道为什么。
- 不要碰红线： 严禁对政府网站、教育机构、未授权的企业网站进行扫描或攻击。所有操作必须在本地靶场或授权的SRC平台进行。
- 善用搜索引擎： 遇到报错（Error），直接把错误代码复制到 Google/百度 搜索，99%的问题前人已经解决过。
- 坚持写笔记： 推荐使用 Obsidian 或 Notion，建立自己的“漏洞知识库”。
推荐资源
- 靶场： DVWA, Pikachu, PortSwigger Academy (Burp官方靶场，非常推荐)。
- 刷题平台： CTFHub, Bugku, 攻防世界。
- 视频教程： Bilibili（搜索“网络安全入门”、“Web安全”），推荐找播放量高的成套教程。
- 书籍： 《白帽子讲Web安全》（经典入门）、《Web安全深度剖析》。
这份计划涵盖了从环境搭建到实战攻防的全过程，你觉得目前的节奏（每天2-3小时）符合你的实际情况吗？
为了帮你更好地落地，我还可以提供以下支持：
1. 资源推荐：需要我为你整理一份“零基础必备工具包”（含Kali配置、常用软件）的下载清单吗？
2. 难点拆解：如果你对SQL注入或代码审计等具体技术点感到抽象，需要我用更通俗的案例单独讲解吗？
3. 时间调整：如果你平时比较忙，需要我把计划调整为“周末突击版”（每天4-5小时）吗？
