零基础网络安全入门路线：从TCP/IP原理到渗透测试实战

1. 零基础入门前，先把网络安全这潭水看清

说实话，我在这个圈子里泡了快十年，每年都会遇到一批兴冲冲跑进来的人，开口就是"我要学黑客技术"，但问他想具体做什么，基本说不清楚。网络安全这个行当，外面的人看着神秘，里面的人做着琐碎，真正的"黑客技术"和影视剧里那种敲几下键盘就黑进五角大楼的画面，完全是两码事。

先给你交个底：网络安全不是一个单一技能，而是一整套围绕"信息系统安全"展开的知识体系。它既包含攻击视角——也就是常说的渗透测试、漏洞挖掘、红队攻防；也包含防御视角——安全运维、应急响应、安全开发、合规审计。绝大多数零基础入门的人，应该从防御和攻击两边的"底层公共课"开始学起，而不是一上来就抱着某个工具死磕。

这篇文章要做的，就是把网络安全技术的工作原理拆开揉碎，再给你一条从零开始、照着走就能入门的路线图。不管你是刚毕业的学生、想转行的职场人，还是纯粹好奇的爱好者，只要愿意花时间，都能顺着这条路径摸到门道。

为什么我敢这么说？因为我自己就是这么过来的。当年零基础入行，踩过的坑比谁都多：买过一堆用不上的课程、照着教程敲命令敲了半天不知道自己在干嘛、在靶场里打了一天不知道漏洞到底怎么产生的。所以这篇内容，我尽量把"为什么会这样""底层怎么运作"也一并讲清楚。知其然也知其所以然，后续进阶才不会卡壳。

2. 网络世界的底层工作原理：数据包、协议与"找门-进门-潜伏"的攻击逻辑

要理解网络安全，先得理解网络本身是怎么工作的。很多新手一上来就背攻击工具、背漏洞名字，遇到报错就懵，根源就在于网络基础不扎实。我把这部分拆成三个层面来讲。

2.1 TCP/IP协议栈：所有网络攻击的"地基"

整个互联网通信，建立在TCP/IP协议栈之上。它分成四层：应用层、传输层、网络层、链路层。每一层各司其职，上一层依赖下一层。你发一条消息给朋友，消息从应用层打包，一路向下封装，经过网络传输，再在对方机器上从下往上层层解包。这个"封装-传输-解包"的过程，就是所有网络通信的基本模型。

以最常见的HTTP协议为例：你访问一个网站，浏览器作为应用层程序发起请求，这个请求会交给TCP层进行分段和可靠传输保障，TCP层再把数据交给IP层，IP层负责寻址和路由，最后通过链路层（比如网线、Wi-Fi）把电信号发出去。

对安全从业者来说，TCP/IP要重点理解几个关键点：

• TCP三次握手：客户端发SYN，服务端回SYN+ACK，客户端再回ACK。三次握手的机制决定了连接是否建立，而很多扫描工具（如Nmap）就是利用握手过程中的异常行为来探测端口状态的。
• 端口与Socket：一台服务器上可以同时跑Web服务（80/443端口）、SSH服务（22端口）、数据库服务（3306端口）。每个端口都是一个"门"，攻击者的第一步往往是找到哪些门是开着的。
• 无状态与有状态：HTTP本身是无状态协议，所以后来才有了Cookie、Session机制来维持会话状态。而会话劫持、中间人攻击等大量Web攻击，本质上就是在利用"状态维持"环节的缺陷。

这块知识看书容易困，建议配合抓包工具一起学。我第一次真正理解TCP三次握手，是在用Wireshark一边访问网站一边看抓包结果的时候——亲眼看到SYN、SYN+ACK、ACK三个包按顺序跑出来，比背十遍概念都管用。

2.2 一次完整攻击的底层逻辑：找门、开门、潜伏、收尾

把攻击拆开看，一套标准的渗透测试流程大概是这样的：

第一步，信息收集。拿到一个目标域名或IP，先通过各种开源工具和搜索引擎搜集域名解析记录、子域名、开放的端口、服务器指纹、技术栈版本、员工邮箱等一切公开信息。这个阶段不碰系统，只是"踩点"。新手最大的误区是跳过这一步直接打，结果连对方用什么框架都不知道就瞎试漏洞。

第二步，漏洞扫描与探测。根据信息收集结果，用自动化工具（如Nmap、AWVS、Goby）扫描目标端口和已知漏洞，同时手工去探测一些逻辑漏洞。比如网站存在一个文件上传点，你尝试上传一个包含恶意代码的图片文件，看服务端是否校验了文件内容。

第三步，漏洞利用与权限提升。找到漏洞后，构造对应的攻击载荷（Payload）打进去。比如SQL注入，把一段恶意SQL语句拼接到查询参数里，让数据库执行非预期的查询；拿到WebShell后，尝试向系统内横向渗透，获取更高的权限，比如从普通用户提权到Root/管理员。

第四步，维持访问与痕迹清理。真实红队会在目标系统里留后门，方便下次进来；同时会清理日志，规避检测。但这里我必须强调：这些操作只能在拿到书面授权的测试环境中进行。个人练习请老老实实在自己搭的靶场里玩，不要碰任何未经授权的系统。

把这套逻辑类比成真实世界，你很容易理解：黑客不是"直接破门而入"的暴力分子，而是先蹲点观察（信息收集）、逐一试探门窗（端口扫描）、找到没锁好的窗户（漏洞）、悄悄翻进去（漏洞利用）、进屋后找保险柜钥匙（提权）、最后带走东西还要抹掉脚印（痕迹清理）。

2.3 防御视角的原理：防火墙、WAF、IDS到底在拦截什么

有了攻击的逻辑，防御的原理就顺理成章了。我们常说的安全防护产品，本质上是把"找门、进门、潜伏"各个阶段分别堵住。

防火墙工作在网络层和传输层，核心功能是访问控制。它根据预设规则（源IP、目的IP、端口、协议）决定允许还是拒绝数据包通过。你可以把它想象成大楼门口的门卫，只放行登记过的人。

WAF（Web应用防火墙）工作在应用层，专门拦截针对Web应用的攻击流量。SQL注入、XSS跨站脚本、文件包含等常见Web攻击，都会在HTTP请求里留下特征，WAF通过规则匹配、行为分析等方式识别并拦截。但WAF不是万能的，遇到逻辑漏洞或变种编码的攻击经常漏报。

IDS/IPS（入侵检测/防御系统）则更像大楼里的监控系统。IDS被动监听网络流量，发现可疑行为时产生告警；IPS则在检测到攻击时直接阻断。现代安全运营中心（SOC）里，这些设备的告警会汇总到SIEM（安全信息和事件管理）平台，由安全分析师统一研判。

防病毒软件和EDR（终端检测与响应）守在最后一环：主机层面。它们通过特征库匹配已知恶意程序，又通过行为监控发现异常动作——比如一个普通进程突然开始枚举密码文件，这显然不正常。

我把这一层讲透，是想让你明白：网络安全永远是"攻防双方在时间赛跑"，攻击者在找系统里最薄弱的环节，防御者在缩小攻击面、缩短发现时间。你后续学的每一门课、每一个工具，都是在这张大图里往某个具体位置填充。

3. 零基础学习路线：六阶段递进，照着走不迷路

讲完原理，上干货。下面这条学习路线是我结合自己入行经验、以及这些年带新人总结出来的，整体周期大约需要6到12个月，每天保证3小时以上有效学习时间。每个人的节奏不同，但大方向是固定的：先打基础，再学攻击，再补深度，最后练实战。

3.1 阶段一：计算机基础与网络基础（建议2~3个月）

这个阶段最枯燥，但也最不能跳过。你需要掌握：

• 计算机组成原理：CPU、内存、磁盘、进程、线程这些基本概念，不用深究到寄存器级别，但至少知道程序是怎么跑起来的。
• 操作系统基础：Windows和Linux的文件系统、用户权限机制、进程管理、服务管理等。尤其是Windows的注册表、服务、组策略，以及Linux的用户与权限模型（rwx权限位、SUID/SGID），这些是后续权限提升的关键知识点。
• 计算机网络：重点啃OSI七层模型和TCP/IP四层模型。每一个协议（HTTP、DNS、TCP、UDP、ARP、ICMP）都要搞明白它的格式、交互过程、典型应用场景。
• 网络配置实操：会自己配IP地址、搭一个小型局域网、用路由器连通两个网段、配置基本的ACL访问控制列表。没有真实设备的，用GNS3、EVE-NG、VMware Workstation搭虚拟环境也行。

推荐资源：B站搜"计算机网络 谢希仁"配合教材看；《图解HTTP》《图解TCP/IP》这两本书对零基础极其友好，建议通读一遍。

到这一阶段结束，你应该达到的状态是：看到一个IP地址，能判断它属于哪个网段，能理解Web服务、数据库服务各自通常跑在哪个端口上，能说出访问一个网站时，背后发生了哪些网络层面的动作。

3.2 阶段二：Linux系统与命令行能力（建议1~2个月）

为什么单独把Linux拎出来？因为互联网上绝大多数服务器跑的是Linux，而安全研究最常用的工具链（Nmap、Metasploit、Burp Suite、SQLMap等）要么原生支持Linux，要么在Linux上体验最佳。

这个阶段的学习重点是：

• 安装与日常使用：选一个主流发行版，推荐Kali Linux或Ubuntu。Kali内置几百款安全工具，省去安装折腾的精力；Ubuntu更通用，适合日常学习。
• 命令行操作：文件管理（ls、cd、cp、mv、rm）、文本处理（grep、sed、awk）、网络工具（curl、wget、ping、traceroute、ss）、权限管理（chmod、chown、useradd）。建议每天手敲命令，不看教程自己操作，把常用命令练成肌肉记忆。
• Shell脚本基础：会写简单的bash脚本，比如写一个循环去批量ping一批IP地址。这个能力在做信息收集时非常实用。
• 服务部署：手动部署一次LNMP环境（Linux+Nginx+MySQL+PHP），理解Web服务器配置文件的每个关键项。

资源方面，推荐《Linux就该这么学》作为入门教材，网站"LinuxCommand.org"可以交互式练习命令行。Kali Linux自带的官方文档也是一座宝库，遇到具体工具不会用，先查它的Manual。

3.3 阶段三：Web安全原理与漏洞分析（建议2~3个月）

Web安全是网络安全里最适合新手入门、也最容易出成果的方向。市面上渗透测试岗位的大量需求，都和Web安全直接相关。

这个阶段要系统学习OWASP Top 10（十大Web应用安全风险），逐个搞懂它们的原理、危害、测试方法和修复方案。我自己整理了一份建议学习顺序表：

每一个漏洞，都要亲手在靶场里复现一次，而不是只看文章。我的做法是：先看攻击原理和示例代码，然后在靶场里依据教程打一遍，最后不看教程，只凭自己的理解再打一遍，打不出来就回去补原理。

推荐资源：《Web安全深度剖析》这本书非常适合初学者，配合"代码审计"相关的案例文章理解更立体。靶场方面强烈推荐DVWA（Damn Vulnerable Web Application）和Sqli-labs，后者专门练SQL注入，从基础到进阶有几十个关卡，每一个都对应一种注入绕过姿势。

3.4 阶段四：安全工具实操与靶场练习（建议2个月）

工具是放大你能力的杠杆，但前提是你理解了原理。我不建议"不会原理先猛刷工具"，那样出了问题只会换参数，完全不知道发生了什么。

这个阶段核心工具清单如下：

• Burp Suite：Web渗透测试的核心工具，用于拦截、修改、重放HTTP请求。先学会它的代理设置、Repeater、Intruder三个模块，后面几乎所有Web测试都会用到。
• Nmap：网络扫描工具之王，端口扫描、服务识别、操作系统探测。重点理解它每种扫描方式（TCP全连接扫描、SYN半开扫描、UDP扫描）的区别和适用场景。
• SQLMap：SQL注入自动化利用工具。但强烈建议先把手工注入练熟再用它，否则SQLMap报错你都不知道问题出在哪。
• Metasploit Framework：渗透测试框架，集成了大量漏洞利用模块。用它练习"漏洞利用和提权"的标准流程。
• Wireshark：网络抓包分析工具，是理解协议底层行为的最好老师。
• hashcat/john：密码破解工具，用于练习弱口令、哈希猜测等场景。

靶场选择上，我推荐循序渐进打这三层：

1. DVWA、Sqli-labs、Upload-labs：按漏洞类型专项练习。
2. VulHub：拉取真实漏洞环境镜像，比如包含CVE-2017-12615（Tomcat PUT方法任意文件写入）的漏洞环境，体验在真实软件版本里复现漏洞的过程。
3. CTF比赛题库平台（如BUUCTF、攻防世界）：综合性的夺旗赛题目，涵盖Web、逆向、密码学、二进制等多个方向，用来检验阶段学习成果。

3.5 阶段五：渗透测试标准流程与SRC实战（建议2个月）

当你完成了前四个阶段，你已经具备"单点突破"的能力——会扫端口、会注入、会XSS。但企业真实环境里的渗透测试，是标准化的流程，需要你把这些点串成一条线。

学习这一阶段，你需要完整走一遍PTES（渗透测试执行标准）的流程：前期交互、信息收集、威胁建模、漏洞分析、漏洞利用、后渗透、报告撰写。我的建议是，拿一台自己搭的靶机（比如Vanilly或HackTheBox上的靶机），从头到尾走一遍完整流程，每一步都做记录，最后写一份规范化的渗透测试报告。

报告撰写这个技能很多新手完全忽略，但它实际非常重要。我在实际招聘时，收到大量渗透测试简历，写得像流水账：漏了哪些洞、用了什么工具，完全没有严重程度的评级、也没有修复建议。企业招人，要的是能干活、也能把活说清楚的人。

做完靶机，可以尝试进入**SRC（安全应急响应中心）**做真实漏洞挖掘。国内主流互联网厂商都有自己的SRC平台，比如腾讯安全应急响应中心（TSRC）、阿里安全应急响应中心（ASRC）、漏洞盒子、补天平台等。SRC挖掘的本质是"在授权范围内挖漏洞"，这和非法入侵的区别是：你有平台的书面授权，挖到有效漏洞按严重程度获得积分或奖金。

新手进SRC的建议是：先不要想着挖RCE、挖大招，从反射型XSS、越权、信息泄露这类中低危漏洞入手，先跑通"发现-验证-提交-响应"的完整闭环，积累信心和经验。遇到重复报告、低危忽略是常事，别气馁，这一步是每个白帽子必经的阶段。

3.6 阶段六：纵深方向选择与持续进阶（长期）

走到这一步，你已经不是零基础了。网络安全方向众多，建议结合自己的兴趣和市场需求选择一个方向深耕：

• Web安全工程师：专攻Web应用攻击与防御，是目前岗位最密集的方向。
• 安全运维/蓝队工程师：负责企业安全设备运维、告警分析、应急响应，要求广但不一定深。
• 二进制安全/逆向工程师：分析恶意软件、挖掘软件漏洞，门槛较高，需要扎实的汇编和操作系统功底，但薪资上限更高。
• 安全开发工程师：编写安全检测引擎、开发内部安全工具，要求编程能力强。
• 等保测评工程师：根据国家等级保护标准对企业系统进行合规测评，工作相对稳定，出差较多。
• 红蓝对抗/攻防演练：进入安全公司或企业安全部做专业攻防，水平和经验要求都比较高。

这个阶段没有固定的学习路线了，基本上是根据工作实践"缺什么补什么"。但我会建议保持两件事不停：一是持续打CTF和刷靶场，保持手感；二是持续关注安全社区和大会动态，比如看FreeBuf、先知社区、Seebug等平台的文章，跟进最新的漏洞情报和攻防技术。

4. 实操环节的避坑指南：我踩过的坑，你注意绕行

前面路线已经够详细了，我再单独拿出一章分享一些实操中容易踩的坑。这些都是我在学习阶段实际遇到过的，写下来供你参考，希望你能少走弯路。

4.1 别在未经授权的系统上练手

新手最容易犯的认知错误，就是把"学到的技能"直接用在真实网站上。哪怕只是用Nmap扫一下某个网站、用Burp Suite提交一个测试请求，从法律角度都可能构成未授权访问或非法入侵。哪怕你并没有"恶意破坏"的动机，"未经授权"本身就是问题所在。

我的建议很简单：练习环境只用自己搭的靶场、公开的CTF平台、有明确授权的SRC平台。把"边界意识"从一开始就刻进习惯里。等你从业了，也一定要记住：没有书面授权的渗透测试，一律不能做。

4.2 不要沉迷于"工具党"，忽视底层原理

我在带新人时，常遇到一种情况：工具用得比谁都溜，SQLMap一把梭、Nmap参数记得滚瓜烂熟，但一旦工具报错或者遇到改动过的环境，就彻底卡壳。原因就在于不理解工具背后的原理。

以SQLMap为例，它本质上是一个自动化SQL注入工具，内部逻辑包括：探测注入点、判断注入类型（字符型/数字型/联合查询/布尔盲注/时间盲注）、读取数据库信息。如果你不理解这些概念，SQLMap输出的结果对你来说就是一堆乱码。反过来，如果你手工能完成一次注入，再用SQLMap就会明白它每一步在做什么，遇到特殊场景也能手动调整参数。

所以我真心建议：工具的使用顺序应该是"先手工、后工具"。手工一次，再自动化，不仅学得深，碰到面试官问你某工具的原理时也不慌。

4.3 别只学攻击，忽略防守和业务视角

很多自学者的终极目标就是"打进某个系统"，觉得防守是无聊的格子间工作。但实际上，在企业里，"懂攻"的人需要同时"知防"。你不会做应急响应，就无法理解蓝队怎么发现你的攻击行为；你不了解业务逻辑，就挖不出真正有价值的漏洞。

尤其是SRC挖洞，真正的高危漏洞往往藏在业务逻辑里——支付流程、优惠券使用、账号找回、权限校验。这些需要你站在业务方视角去思考，而不是单纯地扫漏洞。我在SRC上挖到过几个还算有质量的漏洞，都是通过仔细分析了业务有什么功能模块、哪些模块之间可能产生逻辑冲突才找到的。

4.4 学习要"输出倒逼输入"

一个人闷头看教程、照着敲命令，很容易陷入"眼睛会了手不会"的假象。我的经验是，每学完一个知识点，写一篇笔记或博客，把"学了什么、怎么复现、原理是什么"写出来。写不出来，说明还没真懂，回去再看一遍。

博客发的平台选哪个都行，CSDN、博客园、自己的博客站都可以。内容不用很惊艳，但这是记载你成长轨迹的方式，也为将来写简历积累素材。我去面试时，面试官会翻看我发在博客里的一些踩坑记录，比起干巴巴的证书和项目列表，直观得多。

4.5 英语能力别拉下

网络安全领域的一手资料大量是英文的：漏洞公告、官网文档、CTF题解、技术论文。如果英语阅读有障碍，学习质量会明显打折。不需要专门花时间去学英语，但建议每天坚持读一两篇英文安全技术文章，比如从HackerNews、The Hacker News等站看起，慢慢积累专业词汇和表达习惯。

5. 常考证书、赛事与求职方向：网安工程师的进阶路径

学习到一定程度后，证书和赛事就是你的"能力可视化凭证"。这里把主流的认证、赛事和就业方向一并梳理一遍。

5.1 认证类怎么选

市面上网络安全相关的证书不少，选的时候要看你的阶段和求职目标。我给的建议是：

• 在校学生：先考NISP（国家信息安全水平考试）一级或二级，费用不高，作为入行敲门砖。学有余力可以冲CISP（注册信息安全专业人员），但CISP一般要求工作经验认证，在校生先考NISP打底。
• 已经工作、往安全方向转：CISP在企业招投标中用处很大，很多安全公司投标项目都要求团队持有CISP证书，是含金量比较高的国内证书。偏向攻防实战的，可以考虑CISP-PTE（渗透测试工程师方向）。
• 外企或出海业务：CISSP（国际注册信息系统安全专家）是国内最认的国际证书之一，圈子知名度高，报考需要5年工作经验，但可以先学习备考，经验够了再考。
• 厂商认证：华为安全HCIP、深信服SCSA等，适合想往安全产品与厂商生态方向发展的人。

注意，证书是锦上添花，不是雪中送炭。面试中，面试官更看重的是你动手做过的案例、对原理的理解深度和解决问题的能力。

5.2 赛事类怎么参加

网络安全赛事是一个快速提升实战能力和结识圈内同好的途径。国内影响力较大的赛事有：

• CTF类比赛：XCTF国际网络攻防联赛、强网杯、网鼎杯、数梦工场杯等。CTF题目涵盖逆向、Pwn、Web、Crypto等方向，特点是快节奏、高难度。
• 攻防演练类：国家级、省级的护网行动（通常时间在每年特定时段），由政企机构作为防守方，邀请安全队伍对业务系统展开真实攻防对抗，是检验综合实战能力的最高级别舞台。
• 泰山杯、天融信杯等特定赛事：如热搜词里提到的泰山杯，属于区域性、行业性网络安全赛事，适合入门玩家积累经验。

对新手而言，不建议一上来就冲大赛，先从高校赛事、企业在线CTF开始，拿不拿奖是一回事，重点是体验题型、检验学习进度。组队打比赛也很重要——单打独斗容易钻牛角尖，组队能互补，也能锻炼团队协作，这在实战岗位是硬技能。

5.3 就业方向与薪资参考

网络安全行业的岗位分布比较广，我按"热门程度+入门难度"简单列个参考：

• 安全运维/安全运营：入门难度较低，适合作为第一份安全工作。日常工作包括安全设备巡检、告警分析、基线检查、应急响应。一线城市应届薪资大约8K-15K/月。
• 渗透测试工程师：热门且入行门槛中等，需要扎实的Web安全基础。薪资随能力涨幅较快，1-3年经验普遍15K-25K/月。
• 安全开发工程师：要求编程能力（Go/Python/Java），负责编写安全工具和检测引擎，薪资稳定在20K左右起步。
• 安全研究/二进制安全：门槛高，需要逆向、汇编、操作系统等硬核知识。一旦入行，起薪普遍25K以上，上限也更高。
• 合规/等保测评：偏文档和流程，门槛中等，起薪一般10K-15K，出差较多。

就业渠道方面，除了各大安全公司（奇安信、深信服、绿盟、天融信等），互联网大厂的安全团队也是很大的需求方，另外金融、能源、政务等传统行业的甲方安全岗也在放出大量岗位。

我个人认为，未来两年安全性岗位的整体趋势是"通才饱和、专才稀缺"。如果你有明确的细分方向（比如云安全、工控安全、数据安全、AI安全），会比泛泛的"安全工程师"有更多溢价空间。

5.4 求职面试怎么准备

最后说一点面试相关的经验。我面过不少安全岗位，也帮团队面试过候选人，发现一个共同的短板：很多人项目经历写得很丰满，但一追问底层原理就露馅。

准备安全岗位面试，建议重点准备这几类问题：

• 工具原理类：Burp Suite工作流程、SQLMap的注入检测逻辑、Nmap的扫描原理差异。
• 漏洞原理类：SQL注入如何判断字符型和数字型、如何绕过WAF的简单规则、XSS三种类型如何区分、SSRF如何探测内网。
• 应急响应类：网站被篡改先做什么、日志分析的关键字段、如何定位攻击源、如何隔离蔓延面。
• 系统基础类：Linux权限位如何划分、SUID提权原理、Windows本地权限提升常见路径。

面试更重要的是讲清楚思路，而不是背答案。比如面试官问"如何检测一个网站是否存在SQL注入"，你应该当场说出一条可执行的判断链路：先找参数点→构造无害探测语句→观察响应差异→再构造布尔条件/时间延迟语句→确认注入类型→尝试读取数据。这种回答在面试官眼里，一眼就能看出你是真做过还是背过。

6. 写在最后的几个实在建议

说了这么多，最后再分享几点我个人的体会。

网络安全这个行业，核心驱动力其实是"好奇心+动手欲"。纯靠看教程、背理论是入不了门的，一定要动手做实验、写工具、打比赛、踩坑再爬起来。我在学习阶段，经常为了一个环境配置问题折腾到半夜，但正是那些"卡壳然后突破"的瞬间，让我真正掌握了知识点。

其次，保持持续的输入很重要。安全技术更新迭代非常快，这几年云安全、零信任、AI安全、大模型安全逐渐成为热点。如果你只停留在传统的Web安全，几年后技能红利会被明显摊薄。建议每周都花时间看看社区的高质量文章和最新漏洞通告，养成习惯，这是职业发展的护城河。

最后，心态上不要急功近利。零基础到入门，本质上是一条"6到12个月才能看到产出"的长线作战。很多人学了两周看到自己打不进靶机，就开始怀疑自己是不是不适合。我见过太多这种半途而废的例子。真实情况是：网络安全的入门曲线确实比普通软件开发陡峭，但一旦跨过那个临界点，积累的边际速度会变得非常快。

你可以今天就从装一台虚拟机开始，明天把TCP三次握手的抓包跑出来，后天在DVWA里完成第一次SQL注入。每一步都不难，难的是持续走完这条路。按照上面这条路线，沉下心来走一遍，半年后你再回头看，一定会感谢那个决定迈出第一步的自己。