总体原则#
Tip
针对方向：Web 安全、渗透测试。
四条原则：
- 第一性原理（把基础、底层、原理掌握清楚）
- 深度优先，兼顾广度
- 实践驱动，产出闭环（多实践，实践完必须有产出，产出要反过来服务下一次实践（具体参考这篇笔记））
- 持续跟进新技术
练什么？#
| 层级 | 能力 | 练习方式 |
|---|---|---|
| 基础层 | 写代码 | 具体见这篇笔记 |
| 基础层 | 计算机基础 | 看书（推荐配合 AI 与 Gemini Notebook）；抓包分析 |
| 核心层 | Web 漏洞 | PortSwigger Web Security Academy |
| 核心层 | 代码审计 | 具体见这篇笔记 |
| 综合层 | 完整渗透测试 | HackTheBox：Academy 学方法，Machines 练全流程 |
| 综合层 | CVE 复现 | 选开源项目的公开 CVE |
| 模拟实战 | CTF / 靶场 | HackTheBox、PentesterLab、CTF 比赛 |
| 实战 | SRC / 护网行动 | 企业或公共 SRC 平台；护网行动 |
学习方法#
| 方法 | 适用 | 描述 |
|---|---|---|
| Learn by doing | 输入 | 通过实践来掌握知识或技能，而不是只靠看、听或阅读理论。 |
| 费曼学习法 | 输出 | 把学到的知识用自己的话、尽量简单清晰地讲给别人听（或假装讲给别人听），从而发现自己没真正理解的地方并不断补漏、深化理解。 |
| 影子学习 | 输入 + 输出 | 新员工像“影子”一样跟在一位有经验的老员工身边，看他怎么工作、怎么思考、怎么解决问题，从而吸收他的经验。（这里不是真的要“面对面”，通过博客、视频也可以做到） |