网络安全在线资源推荐：适合自学的 10 个平台
一、引言
网络安全自学依赖优质的在线资源，选择合适的平台能帮你高效获取知识、练习实战技能，避免在零散信息中浪费时间。本文精选 10 个适合自学的网络安全平台，涵盖基础理论、实战靶场、认证备考、社区交流等多个方向，兼顾大学生和转行人群的学习需求，每个平台均标注特点、适合人群和使用建议，帮你构建系统的自学资源体系。
二、基础理论与入门学习平台
1. TryHackMe（https://tryhackme.com/）
特点：
新手友好：以 “房间（Room）” 为单位组织内容，每个房间聚焦一个知识点（如 Nmap 扫描、SQL 注入），包含图文教程和在线虚拟环境，无需本地搭建；
场景丰富：涵盖基础入门（Pre Security 路径）、Web 渗透、内网渗透、恶意代码分析等方向；
互动性强：完成房间任务后可获得徽章，支持组队学习和进度跟踪。
适合人群：零基础入门者（大学生、转行新手），想系统学习网络安全基础的人群；
使用建议：
从 “Pre Security” 路径开始，完成 “Introduction to Networking”“Linux Fundamentals” 等基础房间；
进阶选择 “Complete Beginner” 路径，学习 Web 渗透和漏洞利用基础；
每周固定学习 2-3 个房间，结合房间中的虚拟环境反复实操。
2. Hack The Box（HTB，https://www.hackthebox.com/）
特点：
实战导向：提供大量虚拟靶机（Machine）和挑战（Challenge），模拟真实企业网络环境，需独立完成信息收集、漏洞利用、权限提升；
分级明确：靶机按难度分为 Easy、Medium、Hard、Insane，适合不同基础人群；
社区活跃：用户可发布 Writeup（解题报告），学习他人思路，同时支持排名系统（Hack The Box Rank）。
适合人群：有一定基础（掌握 Kali Linux 工具使用），想提升实战能力的学习者；
使用建议：
入门选择 Easy 级靶机（如 Starting Point 中的 Tier 0 靶机），熟悉渗透测试流程；
完成靶机后阅读官方或社区 Writeup，对比自己的解题思路，补充知识点；
每月挑战 2-3 个靶机，逐步提升难度（从 Easy 到 Medium）。
3. 极客时间《网络安全实战 30 讲》（https://time.geekbang.org/column/intro/100103901）
特点：
体系化强：由资深安全专家（如阿里云安全专家）授课，涵盖 Web 安全、网络攻击、防御体系等核心知识点，每讲 10-15 分钟，适合碎片化学习；
结合案例：每个知识点配套真实企业案例（如日志分析、应急响应），避免纯理论；
配套资料：提供课件、工具清单和实战作业，便于巩固学习。
适合人群：零基础想系统学习网络安全理论的大学生，或想了解企业安全实践的转行人群；
使用建议：
按顺序学习，每讲后完成配套作业（如用 Wireshark 分析数据包）；
整理笔记，将知识点与工具操作（如 Nmap、Burp Suite）结合，形成知识体系；
学完后回顾重点章节（如 Web 漏洞原理、应急响应流程），准备实战练习。
三、实战靶场与技能练习平台
4. 攻防世界（https://adworld.xctf.org.cn/）
特点：
国内顶尖：由 XCTF 联赛打造，包含 CTF 竞赛题目、实战靶场和培训课程，适合国内学习者；
题目分类清晰：按题型分为 Web、Crypto、Forensics、Reverse、Pwn，支持按难度筛选（新手、入门、进阶）；
资源免费：所有题目和靶场免费开放，提供官方题解和社区讨论，适合自学。
适合人群：想通过 CTF 竞赛入门网络安全的大学生，或提升实战技能的新手；
使用建议：
从 “新手区” 题目入手，优先练习 Web 和 Crypto 方向（相对容易）；
遇到不会的题目，先独立思考 1-2 小时，再查看官方题解，复现解题过程；
定期参加平台举办的线上比赛（如 “新人赛”），积累竞赛经验。
5. DVWA（Damn Vulnerable Web Application，https://dvwa.co.uk/）
特点：
Web 漏洞专注：专注 Web 安全漏洞练习，包含 SQL 注入、XSS、CSRF、文件上传等常见漏洞；
多安全级别：每个漏洞支持 Low/Medium/High/Impossible 四个安全级别，从易到难学习漏洞利用和防御；
开源免费：可本地搭建（支持 LAMP/WAMP 环境），便于离线练习和代码审计。
适合人群：零基础学习 Web 漏洞的初学者，想掌握手动漏洞利用的大学生；
使用建议：
按安全级别从 Low 到 High 练习，分析每个级别对应的防御措施（如 Medium 级别的输入过滤）；
结合 Burp Suite、SQLMap 等工具，对比手动利用和工具利用的差异；
审计 DVWA 源代码，找到漏洞对应的代码位置，理解漏洞产生原因。
6. VulnHub（https://www.vulnhub.com/）
特点：
开源靶机库：提供大量免费开源的虚拟靶机（OVA 格式），涵盖 Web 渗透、内网渗透、系统漏洞等场景；
多样化场景：靶机来自全球安全爱好者贡献，场景包括企业内网、工控系统、物联网设备等；
无官方题解：多数靶机无官方题解，需独立探索，适合锻炼解决问题的能力。
适合人群：有一定 Kali Linux 基础，想提升综合渗透能力的学习者；
使用建议：
入门选择新手友好的靶机（如 Metasploitable 3、DC-1 至 DC-5）；
下载靶机后导入 VMware，按 “信息收集→漏洞发现→利用→提权” 流程实战；
完成后在社区（如 FreeBuf）搜索他人 Writeup，补充自己未考虑到的思路。
四、认证备考与技能提升平台
7. EC-Council 官方学习平台（https://www.eccouncil.org/）
特点：
认证专注：CEH（道德黑客）、CHFI（计算机取证）等认证的官方学习平台，提供教材、视频课程和模拟题库；
实战导向：课程包含大量虚拟实验（如漏洞利用模拟、社会工程学演练），贴合考试内容；
国际认可：学习完成后可直接报名参加认证考试，证书全球通用。
适合人群：想考取 CEH 等国际认证，计划进入外企或国际安全厂商的学习者；
使用建议：
选择 “CEH v12” 课程，按教材章节学习，完成每章后的实验；
使用官方模拟题库（ECC Exam Prep）练习，熟悉考试题型（单选题、情景题）；
备考周期控制在 1-2 个月，结合 Kali Linux 实操巩固知识点。
8. 中国信息安全测评中心（CNITSEC，https://www.itsec.gov.cn/）
特点：
国内权威：负责 CISP 系列认证（CISP-PTE、CISP-CTA）的官方平台，提供认证培训、考试报名和证书查询；
贴合国内需求：课程内容结合《网络安全法》《数据安全法》，适合国内政企单位就业；
培训规范：需参加官方授权机构的培训（线上 / 线下），确保学习质量。
适合人群：想考取 CISP-PTE 等国内认证，计划进入国企、事业单位或国内安全厂商的学习者；
使用建议：
查看官方授权培训机构名单，选择口碑好的机构（如奇安信、启明星辰培训中心）；
培训期间重点学习实操内容（如渗透测试流程、漏洞验证），备考时多做模拟实验；
考试前整理常见漏洞的利用方法（如 SQL 注入、文件上传），确保实操部分顺利完成。
五、社区交流与资源共享平台
9. FreeBuf（https://www.freebuf.com/）
特点：
国内领先：国内最大的网络安全社区之一，涵盖资讯、漏洞分析、技术文章、工具分享等内容；
内容多样：文章类型包括入门教程（如 “Kali Linux 基础”）、实战案例（如 “某网站渗透测试报告”）、行业动态（如 “新漏洞 CVE-2024-XXXX 分析”）；
互动性强：支持用户投稿、评论和讨论，可与安全行业从业者交流学习。
适合人群：所有网络安全自学人群，尤其是想了解国内行业动态和实战案例的学习者；
使用建议：
关注 “入门学习” 栏目，每天阅读 1-2 篇技术文章（如漏洞分析、工具教程）；
参与 “问答” 板块，提问遇到的技术问题，或回答他人问题，巩固知识点；
定期查看 “漏洞情报” 栏目，了解最新漏洞（如 Log4j、Spring 漏洞）的利用和防御方法。
10. GitHub（https://github.com/）
特点：
开源资源库：全球最大的开源代码托管平台，包含大量网络安全工具、靶场、学习笔记和漏洞利用脚本；
工具丰富：热门安全仓库如 metasploit-framework（Metasploit 框架）、payloadsallthethings（漏洞利用 Payload 集合）、secLists（字典集合）；
学习笔记：许多安全从业者分享自己的学习笔记（如 “网络安全自学路线”），可直接参考。
适合人群：所有网络安全学习者，尤其是想获取工具、脚本和学习资料的人群；
使用建议：
关注热门安全仓库（如 OWASP/OWASP-ZAP、aircrack-ng/aircrack-ng），star 并定期更新；
搜索关键词 “cybersecurity learning path”“web security notes”，获取优质学习笔记；
上传自己的实战项目（如靶场 Writeup、工具脚本），建立个人技术品牌。
六、资源使用技巧与自学建议
1. 资源组合使用
基础学习：TryHackMe（入门）+ 极客时间（理论）；
实战练习：攻防世界（CTF）+ VulnHub（靶机）+ DVWA（Web 漏洞）；
认证备考：EC-Council（CEH）+ CNITSEC（CISP-PTE）；
社区交流：FreeBuf（资讯）+ GitHub（资源）。
2. 高效自学方法
制定计划：每月确定 1-2 个学习主题（如 “本月学习 Web 漏洞”），选择对应平台资源；
实操优先：每个知识点学习后，立即通过靶场（如 DVWA、TryHackMe）实操验证，避免 “只看不动”；
记录总结：建立学习笔记（如 Notion、语雀），记录知识点、工具命令和实战思路，定期复盘。
七、总结
网络安全自学的核心是 “选对资源 + 持续实操”，上述 10 个平台涵盖从基础到进阶的全流程学习需求，大学生和转行人群可根据自身基础选择：零基础从 TryHackMe、攻防世界入手，有基础后挑战 HTB、VulnHub，备考认证则专注 EC-Council、CNITSEC。建议结合自身目标（如就业、竞赛）制定学习计划，每周保证 15-20 小时学习时间，通过 “理论 - 实操 - 总结” 的循环，逐步提升网络安全技能，为就业或竞赛打下坚实基础。
网络安全学习路线&学习资源![]()
网络安全的知识多而杂，怎么科学合理安排？
下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！
初级网工
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k
到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？
【“脚本小子”成长进阶资源领取】
7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.
零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。
8、超级网工
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。
网络安全工程师企业级学习路线
如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。
一些我自己买的、其他平台白嫖不到的视频教程：
需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。
网络安全学习路线&学习资源![]()
结语
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失！！！
)