一个网络安全小白的成长日记

"路漫漫其修远兮，吾将上下而求索。"

初识网络安全

第一次听说 CTF 是在大一的时候，那时候完全不知这是什么。后来了解到 CTF（Capture The Flag）是网络安全竞赛，就像黑客电影里的那种攻防对抗，瞬间就被吸引了。

但真正开始学的时候才发现，这行远比想象中难。Web、PWN、Reverse、Crypto、Misc... 每个方向都像一座大山，而我只是一个连 Linux 都用不熟练的小白。

跟着 ctfshow 私教课学 WEB

机缘巧合下报名了 ctfshow 的 WEB 私教课，这是我真正系统性学习 Web 安全的起点。

目前学到的内容

• 信息泄露：目录遍历、源码泄露、备份文件下载
• SQL 注入：联合查询、报错注入、盲注、宽字节注入
• 文件上传：前端绕过、MIME 绕过、文件头绕过、二次渲染
• XSS 跨站脚本：反射型、存储型、DOM 型
• 文件包含：本地包含、远程包含、伪协议利用
• 命令执行：管道符绕过、空格绕过、无回显利用

每节课都有靶场练习，做完一道题真的很有成就感！

遇到的困难

说实话，学习过程并不轻松：

1. 基础知识薄弱 — 很多漏洞原理需要补 HTTP 协议、PHP 语法、数据库知识
2. 环境配置头疼 — Burp Suite、Docker、Python 环境经常出问题
3. 做题没思路 — 有时候一道题卡一整天，看 Writeup 才恍然大悟
4. 容易忘 — 学过的知识如果不复习，很快就模糊了

我的学习方法

• 📚 记笔记：每节课都整理成笔记，方便复习
• 🏴☠️ 刷题巩固：ctfshow 的靶场刷完再刷 BUUCTF、攻防世界
• 📝 写博客：把学到的知识整理成文章输出（就是这个博客的由来）
• 🤝 多交流：加了一些 CTF 学习群，不懂就问

未来的目标

短期目标：

• ✅ 把 ctfshow WEB 私教课完整跟完
• ✅ 掌握常见的 Web 漏洞原理和利用方法
• ✅ 参加一次线下 CTF 比赛

长期目标：

• 🏴☠️ 拿下 OSCP 或 CISP-PTE 证书
• 🏴☠️ 找到一份渗透测试或安全研究的工作
• 🏴☠️ 成为能独立挖洞的安全研究员

给同样迷茫的你

如果你也是网络安全小白，我想对你说：

不要焦虑，不要和别人比进度。

每个人都是从 0 开始的，重要的是每天都在进步。

今天看懂了一个漏洞原理，明天独立做出了一道题，这就是成长。

坚持下去，时间会证明一切。

CTF 冲鸭！网络安全这条路，我选定定了！ 🚩

---

写于 2026 年 8 月 16 日，-L. 的学习笔记