企业官网建设流程全解析

🔒免责声明：本文仅用于授权应急演练、网络安全学习，未经过企业书面授权，禁止对生产域环境执行任何排查、测试操作，未授权操作属于违法行为。文中所有 PowerShell 命令、日志分析方法仅用于安全事件处置参考，生产环境操作前务必做好日志备份与快照。

摘要
当攻击者拿到域管理员权限之后，会进行凭据导出、哈希传递、票据伪造、部署各类域持久化后门。很多企业安全人员遇到域被入侵之后不知道从何下手，只查杀病毒，却忽略 AD 域层面的后门，清理完没过几天攻击者又重新拿到域控权限。

黄金票据、白银票据、哈希传递、DCSync 这类攻击最大特点：很多操作不会落地恶意文件，全部在内存完成，杀毒软件很难查杀，只能依靠 Windows 安全日志、AD 对象审计去发现痕迹。本文完整讲解域沦陷之后应急响应全流程：证据保全、范围评估、日志分析、重点攻击痕迹排查（黄金票据、白银票据、Pass‑the‑Hash 哈希传递、DCSync）、域持久化后门全面巡检、隔离处置、清理根除、恢复加固；附带大量可直接复制使用的 PowerShell 排查脚本、关键事件 ID、排查坑点，同时区分单机主机痕迹与 AD 域对象后门，帮应急人员完整梳理入侵链条，避免清理不干净导致反复沦陷。

MITRE‑ATT&CK 映射：TA0040 影响，TA0003 持久化，TA0006 凭据访问，TA0008 横向移动，T1558 Kerberos 票据伪造，T1003 凭据转储，T1550.002 哈希传递，T1003.002 DCSync。

1. 前言：域被攻陷之后常见误区

很多运维、安全人员遇到域入侵事件，会犯下面致命错误：

1. 直接重启域控服务器：内存中的日志、lsass 痕迹全部丢失，大量攻击证据被销毁，无法追溯入侵链路。
2. 只杀毒，不做 AD 域审计：杀掉木马，但是攻击者已经拿到 krbtgt 哈希、写入 AD 后门，重启之后攻击者依旧可以伪造票据重新接管域。
3. 仅仅修改域管理员账号密码：攻击者持有 krbtgt 哈希的黄金票据，普通域账号密码修改完全无效。
4. 只排查一台域控，忽略多域控 AD 复制：GPO、AdminSDHolder 这类对象会自动同步所有域控制器，单台清理没用。
5. 直接删除可疑账号：删除账号会丢失账号属性、登录日志证据，正确做法是先禁用账号，保留全部日志，取证完成之后再删除。

核心认知：域环境被攻陷分为两个层面：①主机层面：木马、内存 dump、计划任务；②AD 活动目录层面：窃取 krbtgt 密钥、ACL 篡改、各类域后门。两个层面必须全部排查清理，否则事件处置不完整，会发生二次沦陷。

当确认域控已经被攻击者接管，代表所有域账号凭据存在泄露风险，不能简单修复表面问题，需要完整评估受影响范围。

2. 域应急响应标准处置流程

2.1 阶段一：证据保全（优先做，不要先杀毒重启）

1. 保护现场，不要重启域控和受感染业务服务器；重启会丢失内存证据。
2. 完整导出所有域控制器安全日志、系统日志；导出 evtx 原始文件，不要只复制文本，防止日志篡改。
3. 导出 NTDS 相关配置、AD 对象信息，做取证快照。
4. 隔离已经确认被攻陷的终端 / 服务器，阻断攻击者 C2 通道；域控制器谨慎断网，避免业务大面积瘫痪，可以通过防火墙限制外部来源 IP 访问域控高危端口。

2.2 阶段二：评估沦陷范围

需要回答几个关键问题：

1. 攻击者最早什么时间进入内网？第一条高权限登录发生在什么时候？
2. 攻击者是否执行 DCSync，是否导出 NTDS.dit（是否拿到 krbtgt 哈希）？
3. 是否部署域持久化后门（黄金票据、DSRM、GPO、AdminSDHolder 等）？
4. 哪些账号被攻陷：域管理员、服务账号、机器账号？
5. 受影响主机列表：哪些服务器、终端出现异常登录。

只要攻击者成功执行 DCSync，代表域内全部账号哈希已经泄露，这是最高等级的沦陷。

2.3 阶段三：痕迹排查

• 横向移动痕迹：哈希传递、WMI、SMB、RDP 登录记录
• 凭据窃取痕迹：LSASS 转储、DCSync 操作
• Kerberos 攻击痕迹：黄金票据、白银票据异常票据
• AD 域后门：GPO、AdminSDHolder、SIDHistory、DSRM 注册表、异常权限

2.4 阶段四：威胁根除

清除全部后门，轮换泄露凭据，KRBTGT 账号修改两次，清理异常 ACL，删除恶意计划任务、恶意脚本。

2.5 阶段五：恢复与加固

上线完整审计策略，补齐安全基线，完善 SIEM 告警，复盘整个入侵事件。

3. 证据保全：日志导出、禁止盲目重启域控

3.1 导出 evtx 原始事件日志（所有域控都执行）

PowerShell 导出原始日志，保留完整取证信息：

#导出安全日志 wevtutil epl Security C:\forensic\Security.evtx #导出系统日志 wevtutil epl System C:\forensic\System.evtx #导出应用程序日志 wevtutil epl Application C:\forensic\Application.evtx #导出DNS日志（域控） wevtutil epl "Microsoft‑Windows‑DNS‑Server/Admin" C:\forensic\DNS.evtx

重要：复制 evtx 原文件，不要用 “另存为文本”，文本导出会丢失很多字段，无法分析 Kerberos 票据参数。

3.2 检查日志是否被清除

事件 ID1102：安全日志被清除；事件 ID104：系统日志被清除。
如果发现 1102 事件，代表攻击者已经手动清理日志，很多痕迹会缺失，需要依靠 EDR、SIEM 留存的历史日志进行回溯。

Get‑WinEvent ‑FilterHashtable @{LogName='Security';Id=1102} ‑ErrorAction SilentlyContinue

3.3 内存证据

条件允许的情况下，对域控 lsass 进程做内存转储，用于事后取证分析；生产环境注意 dump 文件体积很大。

注意：不要直接在生产域控运行 mimikatz 等工具，会触发 EDR 告警。

4. 关键 Windows 安全事件 ID 汇总（排查黄金票据、哈希传递、DCSync 必备）

重点记忆：

1. 黄金票据本地伪造 TGT，不访问 KDC，不会产生 4768 事件，只有后续换取 TGS 的时候才产生 4769；
2. 白银票据完全不跟 KDC 交互，域控不会产生 4768、4769 日志，只在目标服务器产生 4624 登录日志，隐蔽性极强。

5. 重点攻击痕迹深度排查

5.1 哈希传递 Pass‑the‑Hash 痕迹怎么排查

哈希传递（PtH），攻击者拿到 NTLM 哈希，不需要明文密码，直接完成 NTLM 网络认证，横向移动。
哈希传递不会产生 Kerberos 票据，认证包为 NTLM。

特征现象：

1. 事件 ID 4624，登录类型 = 3（网络登录）；
2. AuthenticationPackageName: NTLM；代表本次登录使用 NTLM 认证；
3. 源 IP 来自工作站，登录账号为域管理员；但是该时间段该管理员没有真实用户登录行为；
4. 目标机器没有对应的交互式登录日志。

注意：正常业务也会有 NTLM 登录，不能看到 NTLM 就判定攻击，需要结合时间线、账号身份、源 IP 综合判断。

PowerShell 批量筛选 NTLM 网络登录日志：

Get‑WinEvent ‑FilterHashtable @{LogName='Security';Id=4624} | Where‑Object{ $_.Properties[8].Value ‑eq 3 ‑and $_.Properties[10].Value ‑eq "NTLM" } | select TimeCreated,@{n='账号';e={$_.Properties[5].Value}},@{n='源IP';e={$_.Properties[18].Value}}

PtH 排查要点：

1. 关注域管理员账号、高权限服务账号，从普通办公终端 IP 发起的 4624 登录；正常情况下域管理员不应该从员工办公电脑登录服务器。
2. 大量不同主机短时间内出现同一个账号 NTLM 登录，高度怀疑哈希传递横向移动。
3. PtH 攻击全程内存操作，不会留下恶意文件，日志是唯一证据。

5.2 黄金票据 Golden Ticket 日志特征、排查脚本

黄金票据：攻击者窃取 krbtgt 账号哈希，本地离线伪造 TGT 票据，内存导入完成认证。

黄金票据攻击关键特征：

1. 不会产生 4768（TGT 请求）事件，因为 TGT 是本地伪造，没有向域控 KDC 发送 TGT 请求；
2. 后续访问资源换取 TGS 票据，产生事件 4769，但是这条 4769 找不到前置对应的 4768 TGT 请求；
3. 票据生命周期异常：正常域 TGT 有效期默认 10 小时；攻击者生成黄金票据经常设置几天、数月甚至 10 年超长有效期；
4. 登录成功产生 4624，伴随 4672 特殊权限分配事件。

⚠️坑：如果攻击者修改伪造票据有效期为正常 10 小时，时间特征就会消失，增加排查难度。

PowerShell 排查：筛选只有 4769 但是没有对应 4768 的事件，代表可疑黄金票据行为。

#导出全部4768、4769日志，人工比对 Get‑WinEvent ‑FilterHashtable @{LogName='Security';Id=4768} | export‑csv C:\forensic\4768.csv ‑Encoding UTF8 Get‑WinEvent ‑FilterHashtable @{LogName='Security';Id=4769} | export‑csv C:\forensic\4769.csv ‑Encoding UTF8

SIEM 日志分析逻辑：将 4769 事件左连接 4768 事件，查询找不到对应 4768 记录的 4769 事件，作为黄金票据告警线索。

业务现象：管理员已经修改域管理员密码，攻击者依旧可以使用该账号访问域资源，就要高度怀疑黄金票据。

清理黄金票据关键点：修改 krbtgt 账号密码两次，AD 保存 krbtgt 两轮历史密钥，修改一次只能作废一部分伪造票据Microsoft。

5.3 白银票据 Silver Ticket 隐蔽攻击排查难点

白银票据伪造 TGS 服务票据，全程不和域控 KDC 进行通信。

最容易被忽略：域控制器 KDC 服务器不会产生任何 4768、4769Kerberos 日志！！！所有认证日志只出现在被访问的目标服务器上面（例如访问 DC01 的 CIFS 共享，则日志出现在 DC01 本机安全日志）。

白银票据攻击特征：

1. 域控 KDC 无 Kerberos 请求日志；
2. 在目标服务器看到事件 ID4624，登录类型 3，认证包为 Kerberos；
3. 使用高权限账号登录，但是没有在 KDC 留下票据申请记录；
4. 只能访问指定 SPN 服务（CIFS、LDAP 等）。

排查思路：不能只看域控日志，需要采集域内所有关键服务器安全日志，查找异常 Kerberos 网络登录，账号无真实业务登录场景。

白银票据清理方式：修改被滥用服务账号（机器账号、业务服务账号）密码。

5.4 DCSync 复制攻击痕迹检测

DCSync 利用 AD 目录复制接口，远程导出全部域账号哈希，攻击者不需要登录域控主机。
事件 ID：4662，对象访问，操作 ID 为目录复制。

当账号执行 DCSync，会对域命名上下文执行复制操作，产生 4662 日志，属性包含 Replication‑Get‑Changes GUID。

PowerShell 筛选 DCSync 相关日志：

Get‑WinEvent ‑FilterHashtable @{LogName='Security';Id=4662} | Where‑Object { $_.Message ‑match "Replication‑Get‑Changes" } | select TimeCreated,Message

看到 4662 复制事件代表攻击者已经执行 DCSync，域内所有账号凭据已经泄露。
需要确认是哪个账号发起复制操作：

1. 如果是普通域账号发起 DCSync，说明该账号被授予危险 ACL 权限Replicating Directory Changes All；
2. 如果是域管理员账号，则代表域管理员凭据已经被窃取。

应急处置：立即隔离发起 DCSync 的源主机；禁用该账号；后续清理异常 AD 对象 ACL 权限。

6. 域持久化后门全面巡检清单（DSRM、GPO、AdminSDHolder、SIDHistory、计划任务）

当域已经沦陷，不能只排查攻击痕迹，必须把全部域持久化后门逐个审计，否则处置完成攻击者依旧留有后门。下面命令可以直接在域控 PowerShell 执行，需要 AD 模块。

6.1 DSRM 账号后门检查（每一台域控单独检查，不会 AD 复制同步）

DSRM 注册表后门特征键值DsrmAdminLogonBehavior =2，代表允许正常模式网络登录 DSRM 本地管理员账号。

#单台DC检查 Get‑ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\" ‑Name DsrmAdminLogonBehavior ‑ErrorAction SilentlyContinue

• 不存在该键 / 值 = 0：正常；
• 值 = 2：确认 DSRM 后门。

注意：多域控，每一台域控都要执行这条命令，DSRM 属于本机配置，不会跨 DC 同步。
清理命令：

Set‑ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\" ‑Name DsrmAdminLogonBehavior ‑Value 0

同时重置每台域控 DSRM 管理员密码。

6.2 GPO 组策略后门审计

1. 查看所有 GPO，排查近期新建、修改的未知 GPO

Get‑GPO ‑All | Select DisplayName,CreationTime,ModificationTime,Owner | sort‑object ModificationTime ‑Descending

2. 重点检查 GPO 的开机脚本、登录脚本，查看 SYSVOL 共享目录下 Startup/Shutdown 脚本目录是否存在陌生恶意脚本。
   路径示例：\\domain.local\SYSVOL\domain.local\Policies\{GPO‑GUID}\Machine\Scripts\Startup\
3. 审计事件 5137（GPO 新建），5138（GPO 修改）。

6.3 AdminSDHolder 后门检查

AdminSDHolder 是受保护组权限模板，攻击者修改它 ACL，普通账号自动继承域管理员权限。

#读取AdminSDHolder对象ACL Get‑Acl "AD:\CN=AdminSDHolder,CN=System,$((Get‑ADDomain).DefaultPartition)" | Format‑List

检查 ACL 是否存在陌生账号拥有 GenericAll 全部权限。

日志特征：修改 AdminSDHolder 会产生 4662 对象修改事件。

6.4 SIDHistory 注入后门排查

攻击者把域管理员 SID 写入普通账号 SIDHistory 属性，普通账号获得高权限，账号表面不在域管理员组。

#查询所有SIDHistory不为空的域用户 Get‑ADUser ‑Filter {sidhistory‑ne "$null"} ‑Properties sidhistory | select name,sidhistory

正常环境除域迁移场景，普通用户 SIDHistory 为空；查询出结果需要逐个确认合法性。

6.5 检查异常高权限账号

1. 查看 Domain Admins 域管理员组成员，检查陌生后门账号

Get‑ADGroupMember "Domain Admins"

2. 检查域内新建账号，统计近 7 天新建域用户

Get‑ADUser ‑Filter {WhenCreated ‑ge (Get‑Date).AddDays(‑7)} | select name,whencreated

6.6 计算机账号异常巡检

检查大量异常新建机器账号，RBCD 攻击会创建伪造机器账号作为后门。

Get‑ADComputer ‑Filter {WhenCreated ‑ge (Get‑Date).AddDays(‑7)} | select name,whencreated

7. 主机层面排查：LSASS 内存 dump、恶意 SSP、计划任务、异常账号

域控属于 Windows 服务器，除 AD 对象后门，主机本地也会留下后门，每一台域控都要执行主机巡检。

7.1 排查 LSASS 转储痕迹

攻击者导出 lsass 内存，目的抓取账号哈希。常见 dump 文件名：lsass.dmp、comsvcs.dll miniDump。

• 搜索域控磁盘，全盘检索.dmp后缀文件；
• 查看进程调用 comsvcs.dll 的日志；
• EDR 检索 procdump、rundll32 comsvcs.dll 行为。

7.2 SSP 安全支持提供程序注册表后门

攻击者在注册表注册恶意 SSP dll，lsass 启动加载，持久化抓取明文密码。
注册表路径：HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages

Get‑ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\" ‑Name "Security Packages"

检查列表里面是否存在未知 dll 名称。

7.3 域控计划任务、系统服务后门

#列出全部计划任务，看开机触发任务 Get‑ScheduledTask | Where‑Object {$_.Settings.BootTrigger} #查询未知自动启动服务 Get‑Service | Where‑Object {$_.StartType‑eq 'Automatic'}

重点关注名称伪装成 Windows 系统更新、安全代理的陌生任务与服务，查看执行的程序路径。

7.4 本地账号审计

检查域控本机 SAM 里面本地账号，排查新建本地管理员后门账号。

Get‑LocalUser Get‑LocalGroupMember Administrators

8. 多域控环境特殊注意事项

很多企业部署两台及以上域控制器，应急响应有很多坑点：

1. DSRM 注册表、计划任务、本地账号、SSP 注册表只存在单台域控，不会 AD 复制同步，每一台 DC 都要完整巡检，不能只排查一台。
2. GPO、AdminSDHolder、SIDHistory、域用户属性，属于 AD 对象，会自动复制到所有域控制器，修改一台全部同步，清理需要修改 AD 对象本身。
3. KRBTGT 账号是域级别账号，整域共用一套；修改 KRBTGT 密码，会同步到全部域控。
4. 日志采集：全部域控制器都要导出安全日志，攻击行为可能发生在任意一台 DC。
5. 处置验证：清理后门完成之后，等待 AD 复制间隔，登录其他域控确认后门没有再次出现。

9. 事件根除与清理操作（KRBTGT 修改两次、密码轮换、后门清除）

重要前提：确认已经完成取证，日志全部备份，再执行清理操作。

9.1 黄金票据根除：修改 krbtgt 账号密码两次

微软官方标准处置：**KRBTGT 账号密码必须连续修改两次，两次修改之间等待 AD 复制完成（默认 15 分钟）**Microsoft。
AD 会保存 krbtgt 最近两轮历史密钥；修改一次只能作废旧密钥，攻击者还可以使用上一代密钥生成黄金票据。

不要直接删除 krbtgt 账号！krbtgt 是域内置系统账号，删除会导致域 Kerberos 完全瘫痪。

9.2 受泄露账号密码分级轮换

1. Tier‑0 账号优先：域管理员、企业管理员、域控服务账号全部重置密码；
2. 业务服务账号、应用账号全部重置；
3. 如果确认发生 DCSync，代表域内全部账号哈希泄露，需要评估批量密码轮换方案；
4. 被攻击者创建的恶意后门账号：先禁用，取证完毕后删除。

9.3 各类后门清理汇总

1. DSRM 后门：设置 DsrmAdminLogonBehavior=0，重置每台 DC 的 DSRM 密码；
2. GPO 后门：删除恶意 GPO 链接，删除 SYSVOL 恶意脚本，移除恶意 GPO 对象；
3. AdminSDHolder：还原 AdminSDHolder 容器默认 ACL 权限；
4. SIDHistory 后门：清除异常账号 sidhistory 属性；
5. 计划任务、恶意服务：删除恶意任务与服务；
6. SSP 后门：注册表删除第三方恶意 Security Packages 项目。

9.4 主机处置选择

• 域控如果后门数量极多，怀疑内核级恶意软件、skeleton key 骨架钥匙后门，最稳妥方案：从干净备份介质还原域控系统状态；
• 业务服务器、终端主机：被攻陷终端建议重装系统，单纯杀毒无法保证彻底清除内存与驻留恶意程序。

10. 实战踩坑：应急经常犯的错误

1. 上来重启域控：内存证据全部丢失，无法定位攻击来源；
2. 只修改域管理员密码，忘记轮换 KRBTGT 账号，黄金票据依旧有效；
3. 多域控只排查一台 DC，DSRM、本地后门在其他域控继续存活；
4. 删除可疑账号而不是先禁用，丢失审计证据；
5. 只看域控制器日志，忽略业务服务器日志，导致白银票据攻击完全漏掉；
6. 仅仅删除攻击者后门账号，不去修复被篡改的 AD ACL 权限，攻击者可以再次构造权限；
7. 处置完成之后没有持续监控，没有复查日志，无法确认威胁是否彻底清除。

11. 事后加固与日志审计建设

事件处置完成之后，需要补齐基线，防止再次被入侵：

1. 集中 SIEM 日志收集，全部域控制器安全日志统一上传，长期留存至少 90 天；配置告警规则：
   • 4662 AD 对象异常修改；
   • 5137/5138 GPO 新增修改；
   • 1102 日志清空事件；
   • 域管理员账号从办公终端发起登录；
2. 部署 Microsoft Defender for Identity，专门检测黄金票据、DCSync、异常 ACL 篡改等 AD 攻击行为；
3. 开启 Credential Guard 保护 LSASS 进程，防护本地哈希导出；
4. 域管理员账号遵循 Tier0 隔离原则，域管理员禁止日常登录普通办公终端；
5. 定期审计：AdminSDHolder 权限、GPO 脚本、SIDHistory 属性、DSRM 注册表配置；
6. 定期演练域应急响应流程，不要等真实入侵才学习处置。

12. 面试高频考点整理

1. 黄金票据攻击在域控会产生哪些日志？白银票据会产生哪些日志？
   答：黄金票据本地伪造 TGT，不会产生 4768（TGT 请求），换取 TGS 票据产生 4769 事件；白银票据全程不访问 KDC，域控不会产生 4768/4769，日志只会出现在被访问目标服务器的 4624 登录事件。
2. 域被入侵发生 DCSync 代表什么后果？应急做什么？
   答：DCSync 代表攻击者拿到复制权限，导出 NTDS，域内全部账号哈希泄露；应急需要隔离攻击源主机，审计 4662 日志，清理异常 AD 复制 ACL，轮换全部高权限账号密码，评估是否修改 krbtgt 两次。
3. 清除黄金票据，为什么 krbtgt 账号要修改两次？能不能直接删除 krbtgt 账号？
   答：AD 保存 krbtgt 最近两轮历史密钥；修改一次旧密钥依旧有效，需要两次修改全部作废旧密钥；krbtgt 是系统内置账号，不能删除，删除会导致域 Kerberos 认证全部瘫痪。
4. DSRM 后门为什么多域控需要每台机器单独检查？
   DSRM 属于域控本机本地账号与注册表配置，存储在本机 SAM 和注册表，不属于 AD 域对象，不会 AD 复制同步，每台域控独立一套 DSRM 配置。
5. 哈希传递 PtH 攻击日志特征？
   事件 ID4624，登录类型 3 网络登录，认证包为 NTLM；结合源 IP、账号身份做综合判断，不能单凭一条日志判定攻击。
6. 域应急响应为什么不建议第一时间重启域控？
   重启会丢失 lsass 内存证据，内存中票据、进程痕迹全部消失，失去追溯攻击者入侵链路的关键线索；优先导出全部日志，保全证据。

13. 全文总结

域环境入侵应急响应和普通单机应急最大区别：威胁不仅仅存在主机木马文件，大量攻击、后门发生在 Active Directory 层面，内存中的票据攻击没有落地文件，杀毒软件无法发现，只能依靠 Windows 安全日志、AD 对象审计发现痕迹。

处置域沦陷事件完整顺序：保全证据→评估沦陷范围→日志审计排查哈希传递、黄金票据、DCSync 痕迹→完整巡检所有域控主机后门 + AD 域对象后门→清除全部持久化后门→分级轮换泄露凭据（重点 KRBTGT 两次修改）→复查验证威胁清除→事后加固建设日志审计。

很多企业安全事件反复中招，根源就是处置只杀掉表面木马，忽略 AD 域后门，攻击者留有黄金票据、DSRM、AdminSDHolder 等权限维持手段，清理完成之后再次接管整个域。掌握各类攻击对应的事件 ID，区分黄金票据、白银票据日志差异，理解多域控同步机制，是域应急响应人员必备的核心能力。

再次提醒，本文所有命令仅限授权安全事件处置、演练使用，禁止未授权操作生产环境。

了解网络安全，首先要搞清楚下面这些前提

• 网络安全到底包含哪些技术？是否需要会编程？
• 网络安全行业有哪些职业方向？“我”该如何选择？
• 网络安全的职业发展和成长路线是什么？

如果你是准备学习网络安全（黑客）或者正在学习，下面这些你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】