企业官网建设流程全解析

程序员转行网络安全：90天的路，我替你走了一遍

先交代背景：我自己就是个半路出家的程序员，写了几年业务代码，后来在 2021 年下定决心转行做安全，走的是渗透测试方向。转行这事，我在网上翻过大量帖子，也问过不少圈内朋友，跌跌撞撞折腾了差不多三个月，才拿到第一份安全岗 offer。

看标题你也知道，这篇就是写给那些有编程底子、正在纠结要不要转行安全的朋友。程序员转网络安全到底可不可行？90 天够不够？具体每天该学什么？有哪些坑是网上没人告诉你的？我今天一次性把这些讲清楚。文章不灌鸡汤，不抄培训班课表，完全按我实际走过一遍的经验来写，希望能给想入行的你一份真正能落地的参考。

先说结论：程序员转网络安全，可行性非常强，因为你的代码功底、工程习惯、调试思维在安全领域特别值钱。但“90 天速成”是有前提的——你必须每天能抽出少说 3 到 4 个小时，方向清晰，练得多，而不是光看视频。如果你能做到，三个月后达到初级渗透测试工程师的入行水平，完全有戏。

1. 转行前的认知准备：先搞清楚这个行业要什么样的人

1.1 网络安全岗位到底有哪些方向，别一上来就报培训班

很多人一提“黑客”就想到电影里那种黑西装、三秒敲一串代码、能黑进任何系统的神秘人。真实的安全行业不是这样的。入行之前，你得先知道这个行业的大致岗位分布，否则学了三个月发现方向不对，那才叫白费。

安全行业粗略分几大类：渗透测试（也叫攻击队）、安全运维（蓝队）、安全开发（写安全工具和检测引擎）、合规审计（偏文档，适合有法规背景的人）、安全研究（通常是漏洞挖掘和二进制逆向，门槛最高）。这几个方向里，最适合程序员转岗的是渗透测试和安全开发，因为这两类岗位对代码能力的要求高，程序员学起来最顺手。

再细分一下，渗透测试又分“外包驻场型”“甲方自建型”“乙方项目型”。外包驻场通常是去银行、政企单位做安全评估，流程标准，但薪资天花板一般；甲方自建型是在一家公司内部做安全测试、建安全体系，工作稳定，薪资看公司；乙方项目型是在安全公司做项目交付，项目多、出差多、成长快，适合年轻人积累经历。

我个人的建议是：如果你刚转行，优先投乙方安全公司的渗透测试岗，因为乙方面试更看重实际技术，对学历和背景卡得没那么死，你的程序员履历反倒是个加分项。等攒了项目经验，再跳甲方或者顶级乙方都不迟。

1.2 程序员的哪些已有技能可以迁移，哪些必须从零补

搞清楚岗位方向之后，得做一次自我盘点。程序员转行安全，有几个优势几乎是天然的：

第一，代码阅读能力。安全测试有很大一部分工作是读代码——读目标系统的源码、读漏洞利用代码、读公开的 PoC。会写代码的人看到$_GET['id']拼进 SQL 查询里，会本能地想到注入，这就是思维方式差异。没有编程基础的人看到满屏代码会直接崩溃，而你能快速定位可疑位置，这个优势特别明显。

第二，调试和排查能力。你写业务代码时一定用过断点、日志、抓包这些手段。渗透测试本质上也是一种“调试”——只不过对象不是自己的代码，而是目标系统。你会用调试器就会用 Burp Suite 的断点去改请求，会用日志就可能记得去翻 Web 服务器的 access log 找攻击痕迹，这些技能可以无缝迁移。

第三，对系统架构的理解。写过后端就知道常见框架的路由规则、鉴权逻辑、数据库交互方式，攻击面基本都藏在业务逻辑里。不懂业务的人测接口只会无脑跑扫描器，你一眼能看出这个接口的参数是从哪里来的、有没有可能绕过权限校验，这个认知差距面试时一问便知。

那么，哪些东西必须从零补？网络协议细节、HTTP 请求的完整结构、Linux 系统的命令行操作、常见的 Web 漏洞原理，以及最重要的——渗透测试的思维模式。这不是“能不能看懂”的问题，而是“看完能不能想到攻击路径”的问题。这部分没有捷径，只能靠反复练。

1.3 90天目标怎么定：别想当“黑客”，先想着上班干活

我见过不少人定目标就喊“我要成为黑客”，然后从二进制逆向开始学，三个月之后连 shell 都没弹过就放弃了。转行学习的核心原则是：目标一定要能落地，90 天只够你达到“能入职干活”的水平，而不是“顶级黑客”。

具体一点，90 天结束时你应该能做到这些事情：

• 在自己的虚拟机里独立搭建一个包含 Web 应用的靶场环境；
• 能手动复现 OWASP Top 10 里至少 8 类漏洞的原理，并写出对应攻击 payload；
• 能熟练使用 Burp Suite、nmap、dirsearch、sqlmap 等常规工具完成一次授权范围内的完整渗透测试；
• 在至少一个 SRC 漏洞平台（比如补天、漏洞盒子、教育 SRC）上提交过一个确认有效的漏洞；
• 能把一次渗透测试过程写成标准的漏洞报告，包含危害评级、复现步骤、修复建议。

注意，这个清单里没有“开发 0day”“破解复杂系统”“拿下某大厂核心服务器”之类的项目。那不是 90 天该想的事，那是入行三五年之后该想的事。先达到“被人带着能干活”的水平，你就已经比一大半投简历的候选人强了。

2. 第一阶段（第1-30天）：打地基，网络协议、Linux和Web基础一个都不能少

2.1 网络协议怎么学：不用死磕OSI七层，重点抓住TCP和HTTP

很多初学者一上来就啃《计算机网络》教材，把七层模型背得滚瓜烂熟，结果到了实操环节连一个 HTTP 请求长什么样都想不起来。作为转行的人，你要抓重点学：搞懂 TCP/IP 的核心机制和 HTTP 协议的请求响应结构，就够应付 80% 的入门场景了。

TCP 部分重点理解三次握手和四次挥手的过程，要知道 SYN、ACK、FIN 这些标志位的含义，因为后面学端口扫描时，nmap 输出里的open、filtered状态判断全靠这些基础。你不需要手写协议栈，但看到 Wireshark 抓包里那些标志位要能说出个大概。

HTTP 部分更加重要，这是 Web 安全的地基。你必须能随手写出一个 HTTP 请求的完整结构：请求行、请求头、请求体，以及状态码、响应头的每一部分含义。UserId 这个 Cookie 是从哪来的、Referer 有没有校验、Content-Type 有没有做白名单，攻击点全藏在这些字段里。我当时的学习方法是：开一个浏览器开发者工具，随便刷一个网站，把每一个请求的 Headers 从上到下逐个查一遍意思，两天下来就熟练了。

学习资源上，不用买大部头教材，推荐去看 B 站上搜索“网络协议 入门”“HTTP 协议详解”之类的视频。把速成视频过一遍，再用 Wireshark 抓包对照着看一遍，理解得会非常快。

2.2 Linux命令行：不用成为运维专家，但必须做到“不害怕操作”

安全测试的目标系统大部分是 Linux 服务器，你本地搭建的测试环境也基本是 Linux 虚拟机，所以基本操作必须过关。注意，我用的词是“基本”，不是让你去考 RHCE 认证。你需要熟练掌握的内容，清单如下：

• 文件和目录操作：ls、cd、cp、mv、rm、mkdir、chmod、chown；
• 查看文件内容：cat、tail、less、grep、sed、awk；
• 网络相关：ifconfig/ip addr、ss、netstat、curl、wget；
• 进程管理：ps、top、kill；
• 权限与用户：su、sudo、useradd，理解 root 权限和普通用户的区别；
• 简单的服务部署：会用systemctl启停 Nginx 或 Apache，会在虚拟机上搭建一个 Web 环境。

为什么服务部署也要求？因为你后面搭靶场、起环境全靠它。连apt install nginx都敲不利索，靶场环境都进不去，还谈什么练手。

推荐一个比较快的 Linux 上手方法：在虚拟机里装一个 Ubuntu 或 Kali Linux，给自己布置几个任务——搭一个 LAMP 环境、通过命令行上传下载文件、用find和grep排查某个文件在哪出现过。一周下来，基本的命令行操作就能顺畅起来。

2.3 Web前端基础和安全的关系：不要求会写页面，但必须看得懂代码

做渗透测试，你面对的目标 90% 都是 Web 应用，所以你至少要能看懂前端代码。这个阶段的核心目标是：看到一个网页，能快速判断它背后的技术栈、入口参数和可能存在的攻击面。

HTML 和 JavaScript 是必须看的。比如 Burp Suite 里抓到一段 JS 文件，你能从里面找到接口地址、敏感关键词（api、token、secret、admin），这在渗透测试里叫“前端信息收集”，往往是突破口。别一看到 JS 压缩成一整行就头大，复制到在线格式化工具里整理一下，很快就能理出头绪。

后端语言方面，至少要能看懂 PHP 和 Java 的常见代码结构。为什么是这两个？因为互联网上大量遗留系统是 PHP 写的，国内企业系统则很多是 Java 技术栈。你不用会写，但看到mysqli_query($conn, $_GET["id"])要知道这可能存在 SQL 注入，看到Runtime.getRuntime().exec(cmd)要知道这可能是命令执行漏洞。看得懂就能测，而程序员的底子恰恰就体现在这里。

我当时花了一周时间专门做了一件事：去 GitHub 上随便找几个开源 CMS 的源码，从前端页面开始，顺着参数追踪到后端处理函数，把“用户输入从哪进、在哪个环节被拼接进 SQL、最终怎么执行”整条链路捋清楚。这一步打通之后，再看漏洞原理就通透多了。

2.4 第一阶段要完成的几个小目标（打卡清单）

30 天结束时，你应该能轻松完成以下任务：

• 用 Wireshark 抓一次完整的三次握手，并指出报文里的 SYM（此处理解即可，实际字段是 SYN）和 ACK 标志位；
• 用curl -v发一次带 Cookie、带 POST 请求体的完整 HTTP 请求，并能解释每个参数的含义；
• 在 Linux 上搭好一个 LAMP 或 LNMP 环境，并部署一个简单的 PHP 应用；
• 看懂一份 HTML 表单到后端处理的完整数据流。

这一个月的关键词是“熟练度”，不要追求高难度。地基打不好，后面学漏洞利用时会漏成筛子。

3. 第二阶段（第31-60天）：核心技能突进，漏洞原理、工具链和靶场实战

3.1 漏洞原理怎么学：以OWASP Top 10为主线，逐个吃透

进入第二个月，核心任务从“会用”转成“能打”。我把常见漏洞分成三批，你按顺序啃，不要跳。

第一批是最基础也最高频的：SQL 注入、XSS（跨站脚本）、CSRF（跨站请求伪造）。这三类都是 Web 漏洞里的“常青树”，老系统里有，一些写得不严谨的新系统里照样有。SQL 注入的重点是理解闭合、注释、联合查询、报错注入这些利用方式；XSS 的重点是理解输出点和浏览器解析机制；CSRF 的重点是理解“借刀杀人”的攻击逻辑。

第二批是逻辑和配置类漏洞：文件上传、越权访问、命令执行、SSRF（服务端请求伪造）。文件上传要关注绕过思路——改 Content-Type、双写后缀、图片马、配合解析漏洞；越权访问要关注水平越权和垂直越权的区别；SSRF 则要会利用服务端发起内网请求，是打进内网的重要跳板。

第三批是相对进阶的：反序列化、模板注入、内存马、提权。这些先不用深挖，了解攻击思路即可，等工作之后再逐步深入。

学习每个漏洞时，我强烈建议你按“原理→案例→动手复现→记录总结”这个流程走。光看视频只会产生“我懂了”的错觉，当场动手打一遍靶场，踩过各种坑之后，才是真的会。

3.2 靶场推荐：从DVWA到sqli-labs，每个靶场解决一类问题

靶场就是用来练手的“合法攻击目标”，你在自己电脑上搭好，随便折腾，没有任何风险。这是新手最重要的实战环境。

先装 DVWA（Damn Vulnerable Web Application），这是一款专门用来练习 Web 漏洞的 PHP 应用，自带 Brute Force、SQL Injection、XSS、File Upload 等模块，每个漏洞分成 low、medium、high 三个难度等级。它的好处是难度递进，让你完整理解同一类漏洞在不同防御措施下的绕过方式。我第一次在 low 难度下成功拼接出' OR 1=1 -- -这个 payload 时，那种成就感至今记得。

然后是 sqli-labs，这是一个专注 SQL 注入的靶场，从最基础的数字型、字符型注入到时间盲注、堆叠注入全都有，总共 70 多关。建议至少打到第 30 关，把联合注入、布尔盲注、报错注入都过一遍。

之后可以打 upload-labs，专门练文件上传绕过，一共 20 关，每关设计一种防御方式：黑名单、白名单、MIME 校验、二次渲染等等，练下来就能理解上传漏洞的攻防全貌。

其他值得玩的还有：Pikachu（综合靶场，包含 RCE、XXE、越权等）、WebGoat（Java 写的漏洞应用，配合 OWASP 课程）、Vulhub（一套基于 Docker 的漏洞环境集合，适合复现真实历史漏洞）。

初学阶段不用追求靶场数量，把 DVWA 高低中三档全打完、sqli-labs 刷完前 30 关，你的实战手感就基本建立起来了。

3.3 工具链掌握：别做“只会跑工具的脚本小子”

渗透工具这块，网上教程多如牛毛，很多人下载了一堆工具，结果每个都只会点两下，输出一堆看不懂的报告，这不行。你要学会“精用”而不是“多用”。

柯 BP（Burp Suite）必须重点掌握。它是 Web 渗透测试的“瑞士军刀”，核心功能包括：拦截并修改 HTTP 请求、Repeater 手动重放、Intruder 暴力枚举、Scanner 漏洞扫描、Decoder 编码解码。我给你的练习建议是：未来一个月内，你的所有测试都强制自己挂上 Burp 代理去操作，断点改请求、添加自定义 Header、写简单的 Intruder payload 列表，用到肌肉记忆为止。

nmap 错错错，nmap 要会。主机发现、端口扫描、服务版本识别、操作系统指纹识别、脚本扫描，这些是最核心的参数。注意谨慎用-A这种激进扫描，新手容易直接在公网上乱扫，那是很危险的行为，一定只能在自己靶场环境里练。

sqlmap 是自动化 SQL 注入检测工具，很多人喜欢一把梭。我的建议是：先用它跑通流程，再手动尝试完成同一个注入点，深入理解 payload 的原理以后，最后再回到工具来提高效率。这样遇到自助式 sqlmap 跑不出来的复杂注入，你才能靠手动改 payload 解决。

目录扫描用 dirsearch，抓包协议层扫描用 Wireshark，密码破解相关知识了解一下 hashcat 和 hydra 的用法即可。工具不在多，每类精通一个就够用。

注意：不管你用什么工具，都只能在有明确授权的目标上测试。想练手就在靶场、自己搭的虚拟环境，或者 SRC 平台明确定义的资产范围内操作，这个红线绝对不能碰。

3.4 写一个自动化的漏洞探测脚本，把编程功底发挥出来

既然你是程序员，这辈子别做只会点鼠标的“工具人”。进入第二个月后半段，我强烈建议你独立写一个小工具，比如一个简单的端口扫描器，或者一个 SQL 注入检测脚本。写这个不是为了拿去实战，而是为了锻炼“编程＋安全”的交叉思维。

我当时写了一个 Python 版的批量 URL 存活检测脚本，用来帮自己在 SRC 项目里快速筛出状态码为 200 的资产，再到这批资产里集中测试常见漏洞。代码量没多少，但这个过程让我把 requests 库、正则表达式、多线程处理这些技能重新捡了回来，也让我意识到：安全领域最高效的姿势，永远是用代码去解决重复劳动。

工具选什么无所谓，Python 首选，因为安全圈生态最丰富。学习时可以看看 requests、BeautifulSoup、Scapy 这些库的用法。你在 3.2 节做完靶场之后，完全可以给自己定个任务：写一个针对 DVWA SQL 注入模块的检测脚本，发送 payload 后检查页面返回特征，判断是否注入成功。这个项目做完，你对漏洞原理和脚本能力的理解会上一个新台阶。

3.5 第二阶段告一段落时的自测标准

第 60 天结束时，你应该能做到：

• 在 DVWA 上独立完成所有模块的 low 和 medium 难度利用；
• 在 sqli-labs 上独立完成前 30 关，并能解释每一关的注入类型和关键 payload；
• 用 Burp Suite 完整演示一次“目标侦察→漏洞发现→漏洞验证”的流程；
• 大致了解 SQL 注入、XSS、CSRF、文件上传、SSRF 这五类漏洞的攻击原理和防御思路；
• 有一个自己能讲清楚的小工具脚本放在 GitHub 上。

如果这些你都做到了，恭喜你，你已经超越了报名培训班但只刷完第一集视频的人。

4. 第三阶段（第61-90天）：从模拟到实战，SRC挖洞、报告输出和求职材料

4.1 为什么要上SRC平台，它解决“实战经验从哪来”的问题

靶场终究是模拟环境，跟真实系统差距很大。真实系统有 WAF、有鉴权、有各种奇奇怪怪的业务限制，你光会打靶场，去面试还是会心虚。所以第二阶段结束之后，你必须接触真实目标。

SRC（Security Response Center，安全应急响应中心）是企业自己建立的漏洞收集平台，专门接收外部白帽子提交的漏洞。你在授权范围内寻找并提交漏洞，企业确认后给你现金奖励或积分。国内比较主流的有：补天漏洞响应平台、漏洞盒子、教育行业 SRC（针对高校，比较适合新手难度适中）、各互联网大厂自己的 SRC 平台。

对新手来说，我特别推荐先从教育 SRC 开始测。高校网站通常建设时间较早，防御水平参差不齐，漏洞多但大多不涉及太敏感的资产，就算踩到边缘也不会出大事。等你在教育 SRC 上挖到几个有效漏洞、熟悉了真实目标的工作流，再上补天或企业 SRC。

这里要特别提醒你：SRC 平台上每个项目都有明确的授权范围，你只能测白名单里写了的内容。千万不要越权去测范围之外的资产，也不要进行批量扫描、拖库、篡改数据等破坏性操作，这不仅是道德问题，更是法律问题。做安全的人，最先学会的事应该是“边界感”。

4.2 从漏洞发现到报告输出，完整的流程长什么样

很多人会挖漏洞但写不出报告，这是面试和实际工作中的硬伤。在 SRC 平台上，一份高质量的漏洞报告通常包含这些要素：

• 漏洞名称和类型，比如“某管理系统存在 SQL 注入漏洞”；
• 漏洞等级评估，参考 CVSS 评分标准，例如高危、中危；
• 漏洞所在 URL 和参数；
• 攻击步骤说明，最好一步步写清楚，附上请求包和响应包；
• 实际危害证明，比如通过 SQL 注入拿到了数据库版本号、通过越权访问到了其他用户数据，注意这里要点到为止，能证明危害即可，禁止深挖；
• 修复建议，比如“对参数进行预编译处理”“对上传文件做白名单校验”等。

你在 SRC 平台提交漏洞时，厂商可能会回消息让你补充细节，也可能直接忽略。被忽略很正常，别灰心，你要做的就是从每一次提交反馈里复盘：是漏洞类型太小众？还是报告表述不清楚？还是目标本身不受重视？

同时我建议你把挖到的漏洞整理成自己的“作品集”，脱敏处理后写成文章发到博客或公众号。注意脱敏就是不能暴露目标单位的具体名称和真实数据，只讲技术过程就好。这既是沉淀知识，也是给未来面试官看的实证材料，比简历上写“熟悉渗透测试”有说服力得多。

4.3 简历和作品集怎么准备：用项目说话，而不是用形容词说话

转行求职，简历是第一个拦路虎。没有正式安全工作经验，这是事实，但你要学会“曲线救国”——用安全相关的实战经历证明你的能力。

简历里不要写“精通渗透测试”“熟练掌握各种安全工具”这种没有任何信息量的大白话。要写具体做了什么、解决了什么问题、产生了什么效果。举个例子，同样写 SQL 注入，一种是“熟悉 SQL 注入漏洞原理”，另一种是“在 SRC 平台某项目中独立发现一处时间盲注漏洞，编写自动化脚本完成数据提取，提交后被厂商评级为中危，已修复”，孰高孰低，一目了然。

作品集方面，建议包含三个部分：

• GitHub 账号：放你写的安全工具脚本、靶场 writeup、漏洞分析笔记；
• 个人博客或语雀：放 5 篇以上自己写的技术文章，内容可以是某个漏洞从原理到利用再到修复的完整分析，也可以是某次 SRC 挖掘的过程复盘；
• 漏洞列表页面：把你在 SRC 平台的提交记录截图（敏感信息打码），作为实战能力证明。

很多程序员不重视文档能力，但安全恰恰是特别看重报告和表达的行当，因为你的产出最终要交付给客户或内部团队，讲不清楚等于没做。

4.4 面试常见问题和应对思路

90 天结束后，你就可以开始投简历了。安全岗面试一般分技术面、代码面、HR 面三个环节，技术面里频率很高的几类问题，提前给你打个预防针：

• 问基础：TCP 三次握手过程、常见的 HTTP 状态码含义、GET和POST的区别。这一块你在第一天打的基础，现在派上用场了；
• 问漏洞：讲一下 SQL 注入的原理和防御方案、XSS 有哪些类型怎么区分、文件上传绕过有哪些思路。每一类漏洞希望你能背出一个真实的利用过程和修复方法；
• 问实战：你在 SRC 上挖过什么漏洞、当时怎么发现的、做了哪些测试步骤。如果没有真实经历，这一步就会露馅，这也是我让你第二阶段结束就赶紧上 SRC 的原因；
• 问编程：现场写一个脚本，比如“写一个函数判断一个字符串是否为有效的 IP 地址”。程序员出身的人不要在这一环节掉链子，把基础语法和逻辑练扎实；
• 问场景：给你一个目标系统，你会如何规划一次渗透测试。这类题答法一般是从信息收集开始，按“侦察→扫描→利用→后渗透→报告”的顺序展开，重点体现你的思路条理。

另外特别提醒一点：面试时如果被问到“会不会绕过 WAF”这类问题，你可以给出研究思路，但一定要强调所有测试都在授权环境下进行。安全圈最忌讳“没授权却到处动手”的候选人，HR 和面试官会从你的回答里判断你的职业底线，这一点务必注意。

4.5 第61-90天打卡清单

第三个月的产出比较难量化，但你可以给自己定这些硬性指标：

• 在至少一个 SRC 平台完成注册，并提交至少 10 个漏洞报告，不管通不通过，报告必须认真写；
• 获得 1 个及以上确认有效（已被厂商确认）的漏洞；
• 完成 5 篇以上技术笔记或博文，输出是最好的学习；
• 更新好简历和 GitHub，开始每天投 3 到 5 家企业；
• 每周做一次模拟面试，可以找朋友或安全群的群友帮你练。

到了这一步，你就不再是“转行学习者”，而是一个手握实战案例的准安全工程师。

5. 那些没人告诉你的坑：时间管理、就业现实和心态问题

5.1 90 天每天要投入多少时间，上班族怎么挤时间

如果你是脱产学习，每天 6 小时以上是最低配置，8 到 10 小时比较理想。如果是上班族在职转行，事情会麻烦很多，但也不是不可能。我自己的做法是：工作日晚上保证 2 到 3 小时，周末全天 6 到 8 小时，一周维持在 20 到 25 小时左右，三个月下来大约 280 小时。

时间管理上有个重要的技巧：刻意练习比什么都重要。很多人晚上坐在电脑前，打开视频网站看教程，看着看着就刷起推荐内容了，三个小时过去啥也没学。我的方法是每天晚上学习前先列一张“今晚要完成的三件事”清单，比如“在 sqli-labs 上打到第 18 关”“复现一个 XSS payload 并写成笔记”“读完某博客的一篇越权漏洞分析”，不完成不睡觉。清单驱动，能有效对抗拖延。

对在职转行的人，我的诚实的建议是：不要裸辞。辞职在家反而容易焦虑，压力一大学习效率会更低。先骑驴找马，把该学的技术在晚上和周末补齐，等到简历能拿得出手、面试有底气再考虑换工作。裸辞转行不是不行，但它会大幅拉高你的心理成本，对大多数人来说不是最优解。

5.2 证书到底有没有用，要不要花钱考

关于证书，网上争论很多。我的看法是分情况：如果你学历一般、又没有内推渠道，证书可以作为简历筛选阶段的“敲门砖”；如果你已经有了 SRC 战绩和项目作品，证书的边际价值就没那么高。

入门阶段可以考虑的证书：NISP（国家信息安全水平考试）一级二级，费用相对低，适合在校生；CISP-PTE（注册信息安全专业人员-渗透测试），这是国内渗透测试领域认可度比较高的证书，但考试费用不便宜，且部分证书需要培训学时；OSCP（Offensive Security Certified Professional），国际认可度最高的实战型渗透测试认证之一，考试是 24 小时真实环境的实战训练，含金量很高但备考成本大，更适合有半年以上基础或从事安全一年左右的人去考。

我的建议很明确：90 天转行阶段，不用先急着考证，把技术和实战经历搞扎实是第一优先级。等你入职安全岗位一年左右，再根据职业规划决定要考什么证书，那时候你对证书的性价比会有更清楚的认识。

5.3 就业行情：转行安全能拿多少薪资，哪些城市机会多

这个问题很现实，我直接说数据：2023 到 2024 年，一线城市初级渗透测试工程师的月薪普遍在 8K 到 15K 之间，中级 15K 到 25K，高级或攻防专家 25K 以上。二线城市的初级岗大概 6K 到 10K，但生活成本也低。安全开发和安全研究岗薪资相对更高。具体数字会波动，但总体上看，安全岗的薪资下限和上限都比同级别的普通开发岗要高出一点，这也是吸引很多人转行的原因。

机会最多的一定是北京、深圳、上海、杭州、广州，其次就是成都、武汉、南京、西安这些有网络安全产业聚集的城市。如果你在非一线城市，投简历时要做好远程或线上面试的准备。另外，乙方安全公司和大型甲方安全团队是入职的两个主流渠道，乙方招聘量大、门槛相对低，建议优先投递。

也要说句清醒的话：90 天转行成功不代表你从此高枕无忧。安全行业技术迭代快，攻击手法和防御产品都在不断更新，这是一个需要持续学习的行业。你入职第一年起，要保持每年 20% 以上的时间去学习新技术、跟踪新漏洞，否则很快就会被后来者超越。

5.4 学习资源避坑：视频、培训班和自学怎么选

市面上的安全培训班五花八门，价格从几千到几万不等。我不否认有些培训班课程质量还行，但绝大多数机构的宣传都夸大了“包就业”“零基础速成”的效果。学习的核心永远是自学能力，培训班顶多帮你搭建一个学习框架、提供一个练习环境。

一个比较理性的做法是：先自己学一段时间，把视频和靶场的基础都打起来，再去判断自己是否需要报班。如果自制力强、有编程基础，其实完全可以通过免费或低价资源完成入门，比如 B 站上很多安全入门系列视频、菜鸟教程、Kali Linux 自带的文档和实验环境。值得注意的是，学会主动搜索英文资料的能力，安全圈的很多优质内容首先是英语写的，这个能力越早锻炼越好。

另外一个很有价值的学习方式是找圈子。加几个安全的微信群、QQ 群、论坛，比如安全客、先知社区、看雪论坛等。圈子能帮你拿到第一手信息，比如哪个 SRC 正在双倍积分、哪个厂商最近在招人、哪些漏洞又被爆出来了。最关键的是，认识几个靠谱的前辈，遇到学习瓶颈时有人能指点一下，比你看十篇帖子都有用。

6. 写在最后：从“能学到什么”到“能做成什么”

如果把我这一路走来的经验浓缩成三句话，大概是：第一，程序员转安全最大的障碍不是技术，而是“学了没有输出”；第二，90 天能不能成，不取决于你看了多少教程，取决于你打了多少靶场、提交了多少漏洞；第三，安全行业特别认作品、认实战、认报告，你用这三个东西说话，比任何证书都有底气。

最后再分享一个小技巧：把“每日打卡”变成一个公开行为，比如在朋友圈或技术社区更新学习进度，写“今天是转行第 40 天，完成了 sqli-labs 第 27 关，学到了一种新的盲注绕过方式”。公开立 Flag 会带来正向压力，几周之后就会有人开始和你讨论技术问题，这种反馈会变成你坚持下去的重要动力。

如果你正站在程序员和网络安全这个十字路口，希望这篇分享能帮你少走一点弯路。借用圈里常说的一句话：安全这条路，入门不难，深入不易，但一直走下去的人，都会感谢当初做出的选择。转行这件事，最怕的不是底子差，而是连第一步都不迈出去。