JWT 攻击实战汇总：签名绕过、弱密钥、jwt 伪造、常见坑点-酒店常州论坛

🔒免责声明：本文仅供授权渗透测试、红蓝对抗、网络安全学习研究，全部实验操作务必在自建隔离靶场完成。未经授权对互联网业务实施 JWT 攻击属于违法行为，请严格遵守网络安全相关法律法规。

前言

JWT（JSON Web Token）现在几乎是前后端分离、OAuth2、单点登录系统最主流的鉴权方案。很多开发误以为 JWT 自带加密、自带安全，直接拿来就用，忽略大量业务逻辑、密码学实现漏洞。红队实战中经常遇到：算法配置错误、弱密钥泄露、签名校验逻辑缺失、密钥混淆攻击、kid/jku 头部注入，最终导致身份伪造、越权接管管理员账号。

很多初学者只会简单使用 jwt.io 修改 payload，一旦遇到真实业务就无从下手。本文万字完整梳理 JWT 全套攻击面：基础原理、none 算法绕过、弱密钥爆破、RS256‑HS256 密钥混淆攻击、kid 路径遍历、jku 注入、payload 声明篡改；实战工具（Burp‑JWT‑Editor、jwt‑cracker、hashcat）；大量真实业务踩坑案例；代码审计危险特征，以及生产环境完整加固方案。适合 Web 渗透、SRC 挖洞、后端开发安全学习。

ATT&CK 映射：T1550.004 伪造 Web 令牌，T1078 有效账号。
涉及库：PyJWT、node‑jsonwebtoken、java‑jjwt、nimbus‑jose‑jwt。

一、JWT 基础结构与基础概念

JWT 格式：Header.Payload.Signature，三部分使用.分割，全部为 Base64URL 编码，注意：Base64URL 只是编码，不是加密，任何人拿到 Token 都可以直接解码查看内容腾讯云。

1.1 Header 头部（算法与元数据）

{ "alg":"HS256", "typ":"JWT" }

alg：签名算法。HS256 对称 HMAC‑SHA256；RS256 非对称 RSA‑SHA256；none代表不签名。
typ：固定 JWT 标识。
扩展头部：kid密钥 ID、jkuJWKS 公钥集地址、x5u证书地址，高级攻击点集中在这里。

1.2 Payload 载荷（业务声明 claims）

存储业务数据，同样 Base64URL 公开可见，千万不要存放密码、身份证等敏感数据。
标准声明：

sub：用户 subject，用户 ID
iss：签发者
iat：签发时间
exp：过期时间戳（Unix 时间）
nbf：not before，在此之前不可用
自定义字段：role角色、is_admin管理员标记等

1.3 Signature 签名（完整性校验核心）

HS256 对称签名：HMAC‑SHA256(base64(header)+"."+base64(payload), secret_key)
RS256 非对称签名：私钥签名，公钥验证。

核心安全逻辑：服务端拿到 JWT，解码 Header 和 Payload，使用密钥重新计算签名，和 Token 第三段比对，如果不一致说明内容被篡改。
漏洞根源：库配置错误、开发校验逻辑缺失，攻击者可以篡改 Header、Payload，绕过签名校验，伪造任意身份 Token。

算法	签名密钥	校验密钥	风险点
HS256	同一个 Secret 密钥签名 + 校验	Secret 密钥	密钥泄露直接伪造全部 Token；弱密钥可离线爆破
RS256	私钥 (private key) 签名	公钥 (public key) 校验	私钥泄露才危险；存在 RS‑>HS 密钥混淆攻击

很多业务错误使用 RS256，却把私钥和公钥同时暴露，直接造成账号接管风险。

1.5 红队测试 JWT 基础流程

抓包拿到业务 JWT Token；
jwt.io/Burp JWT‑Editor 解码，观察 alg 算法、kid/jku 头部、payload 字段；
基础测试：none 算法绕过；
HS256 场景：弱密钥爆破；
RS256 场景：密钥混淆攻击 RS256→HS256；
高级头部：kid 路径遍历、SQL 注入；jku 注入远程 JWKS；
篡改业务声明：role、sub、exp 过期时间；
测试刷新 Token 逻辑漏洞；
复现验证，整理漏洞报告。

二、基础高危攻击：none 算法签名绕过

2.1 漏洞原理

JWT RFC 规范定义alg:"none"，代表该 JWT 不携带签名，服务端直接信任内容，不需要校验 Signature 签名段IETF。
早期版本 JWT 库存在缺陷：攻击者修改 Header 中alg值为none，删除第三段签名数据，服务器直接跳过签名校验，接受攻击者完全篡改的 Payload，直接身份接管。

Payload 可以随意修改：用户 ID、管理员权限，不需要密钥。

Payload 示例，把普通用户修改为管理员：

{ "sub":"1001", "role":"admin" }

2.2 Payload 构造细节

原始 Token 三段：header.payload.signature
攻击后 Token 格式：eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.payload.

重点：末尾保留.，第三段留空。
Header：

{"alg":"none","typ":"JWT"}

部分库存在大小写绕过："alg":"None"/"alg":"NONE"/"alg":"nOnE"，WAF 黑名单拦截小写 none 的时候尝试变形绕过。

2.3 实战复现步骤

Burp 抓包获取业务正常 JWT；
使用 JWT‑Editor 插件修改 Header，alg 改为 none；
修改 payload，提升权限，修改 sub 用户 ID；
删除签名部分，token 末尾保留点号；
替换请求头 Authorization Bearer 字段发送请求；
如果业务正常返回管理员数据，漏洞成立。

2.4 坑点说明

现代新版本 JWT 库默认拒绝none算法，但是大量老项目、老旧依赖库、二次封装代码依然存在该漏洞。很多开发手动写校验逻辑，没有拒绝 none 算法，产生高危漏洞。

常见误区：很多人以为 none 算法已经彻底淘汰，SRC 中仍然持续挖到该类漏洞。

三、HS256 弱密钥爆破攻击（红队高频）

3.1 漏洞原理

HS256 对称算法，签名和校验使用同一个 Secret 密钥。如果密钥强度弱：secret、123456、项目名称、开发默认密钥。攻击者只需要捕获一份合法 JWT 样本，离线字典爆破密钥，不需要和服务器交互。拿到密钥之后，就可以随意伪造任意身份 JWT Token。

高危特性：离线爆破，没有请求速率限制，不会产生大量日志，很难被 WAF 发现。密钥一旦破解，整个系统鉴权体系彻底沦陷。

密钥泄露场景：

密钥硬编码写在源码，上传 git 仓库泄露；
配置文件可下载泄露；
密钥使用简单字符串，默认 demo 密钥直接上线生产环境。

3.2 爆破工具实战

工具 1：jwt‑cracker

python3 jwt‑cracker.py --token "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9......" --wordlist wordlist.txt

工具 2：hashcat（GPU 高速爆破，模式 16500）

hashcat -m 16500 jwt_token.txt rockyou.txt

hashcat 速度极快，弱密钥短密钥几秒即可跑出。

拿到密钥后，jwt.io 填入 secret 密钥，修改 payload，重新生成合法 JWT，直接越权访问接口。

3.3 实战踩坑

密钥长度足够长、随机强度高，爆破失败；
RS256 非对称算法不能爆破，RS256 校验使用公钥，爆破无意义；
很多业务密钥是随机 32 位以上字符串，弱密钥爆破成功率下降；但是中小型企业、外包项目大量使用弱密钥。

真实 SRC 案例：大量项目密钥直接写mysecretkey、jwt123456，直接离线爆破拿到密钥接管账号。

四、高级密码学攻击：RS256 → HS256 密钥混淆攻击（Key Confusion）

4.1 漏洞原理（红队高频高级考点）

业务使用 RS256 非对称算法：私钥签名 Token，公钥校验签名。
攻击者修改 Header 里面 alg 字段，把RS256修改为HS256（对称算法）。
存在缺陷的库，会把RSA 公钥文件当做 HS256 的 HMAC Secret 密钥进行签名校验。
攻击者拿到业务公开 RSA 公钥，使用公钥作为 HS256 密钥，签名篡改后的 payload，服务器校验直接通过，实现 Token 伪造接管账号。

攻击必要条件：攻击者可以获取服务端 RSA 公钥（/.well‑known/jwks.json，或者配置泄露）；目标 JWT 库存在密钥混淆缺陷。

4.2 完整攻击步骤

获取业务 RSA 公钥 public.key；
捕获正常 RS256 的 JWT；
修改 Headeralg:"RS256"→alg:"HS256"；
修改 Payload：修改 sub、role 提升管理员权限；
使用 RSA 公钥文本作为 HS256 的 secret，HMAC‑SHA256 生成新签名；
组装完整 JWT，发送给服务端；
缺陷库拿公钥字符串作为 HMAC 密钥校验，校验通过，伪造成功。

4.3 实战坑点

新版本主流库已经修复密钥混淆漏洞，但是大量旧版本 jjwt、nimbus‑jose 存在该漏洞；
公钥格式必须完全一致，换行、空格字符差异会导致签名校验失败；
很多开发代码写死校验 alg 必须为 RS256，可以直接防御该攻击。

五、JWT 头部高级注入漏洞 kid /jku

Header 中的kid、jku字段，用于服务器定位校验签名使用的密钥。如果没有过滤攻击者可控的头部参数，产生路径遍历、SQL 注入、远程密钥注入漏洞，属于实战中难度高、危害极大的攻击链。

5.1 kid 参数攻击（Key‑ID）

kid是密钥标识符，服务器根据 kid 值去读取密钥文件、数据库查询密钥记录。
Header 示例：

{ "alg":"RS256", "kid":"key‑001", "typ":"JWT" }

场景 1：kid 路径遍历（文件读取）

服务器直接拼接 kid 为文件路径读取密钥：
伪代码：

String keyPath = "/keys/"+header.getKid()+".pem"; readFile(keyPath);

攻击者修改 kid 为../../../../etc/passwd，路径遍历漏洞。
更进一步，如果可以控制读取的 pem 密钥文件，攻击者上传自己公钥，服务器加载攻击者公钥来校验 JWT，直接实现签名伪造接管账号PortSwigge…。

场景 2：kid 参数 SQL 注入

服务器 SQL 查询密钥记录：

SELECT secret_key FROM jwt_keys WHERE kid = '$kid'

kid 可控，直接 SQL 注入，控制查询返回的密钥字符串，伪造任意 JWT。Payload：' or '1'='1，构造查询返回攻击者自定义密钥字符串，服务器使用该密钥校验 JWT，攻击者使用对应密钥签名 Token 完成绕过。

5.2 jku 参数 JWKS 远程密钥注入攻击

jku字段：指定一个 HTTP 地址，服务器访问这个 URL 拉取 JWKS 公钥集合，用来校验 JWT 签名。
Header 示例：

{ "alg":"RS256", "jku":"https://attacker‑server/jwks.json", "typ":"JWT" }

漏洞条件：服务端信任 JWT 头部传入的 jku 地址，直接访问攻击者可控的外网地址拉取 JWKS 密钥集。
攻击完整流程：

攻击者自己生成 RSA 公私钥对；
在攻击者公网服务器部署 jwks.json，写入攻击者生成公钥；
JWT 头部设置 jku 指向攻击者服务器地址；
修改 payload，提升管理员权限，使用攻击者私钥对 JWT 签名；
业务服务器收到 Token，读取 jku，发起 HTTP 请求访问攻击者服务器下载攻击者公钥；
使用攻击者公钥校验 JWT 签名，校验成功，攻击者伪造 Token 生效，接管账号PortSwigge…。

高危：jku 注入相当于 SSRF + 身份伪造组合攻击。很多业务没有禁用 jku 头部，直接信任 token 内提供的密钥地址。

注意：jku 攻击需要服务器可以出网访问外网。内网隔离业务该攻击无法生效。

六、Payload 声明 Claim 篡改实战攻击

就算签名校验本身没有漏洞，业务对 payload 声明字段校验不严，同样会产生鉴权绕过。

6.1 exp 过期时间篡改

exp是 JWT 过期 Unix 时间戳。
开发常见错误：

代码只判断 exp 字段是否存在，不校验时间大小；
直接删除 exp 字段；
将 exp 修改为未来几十年超大时间戳，Token 永久不会过期。

漏洞现象：JWT 泄露之后永久有效，无法退出登录。
防御：强制校验 exp、iat，禁止缺失 exp 的 Token。

6.2 nbf、iat 时间声明绕过

nbf：Not Before，在此时间前 token 无效；iat签发时间。
部分业务库配置宽松，nbf 设置过去时间、负数，绕过时间校验。

6.3 业务自定义字段篡改（最常见业务漏洞）

payload 中业务字段：is_admin:false、role:user、user_id:1002。

前提条件：签名校验失效（none 算法、密钥泄露、密钥混淆、kid/jku 注入），攻击者修改is_admin:true、role:admin，越权访问管理员接口。

坑点：很多业务接口不是读取 JWT 里面 role 做鉴权，而是从数据库实时查询权限。这种场景就算修改 payload 的 role 字段也不会生效，这点挖洞的时候需要区分，不要误报漏洞。

6.4 Payload 存放敏感信息信息泄露

JWT 的 Payload 只是 Base64URL 编码，不是加密。如果 Payload 存储手机号、身份证、密码、session 密钥，Token 一旦泄露，全部明文泄露。

很多新手误以为 JWT 加密业务数据，这是巨大误区，JWT 签名保障完整性，不保障保密性。

七、实战工具完整使用指南

7.1 Burp Suite JWT‑Editor 插件（红队首选）

Burp 插件市场安装 JWT‑Editor。功能：解码 JWT，一键修改 header/payload，支持 none 算法，HS256/RS256 签名，测试 kid、jku 头部。
实战工作流：抓包请求，选中 JWT，右键 JWT‑Editor 编辑，修改参数，生成 Token，直接替换数据包放包，不用复制粘贴 jwt.io 来回切换。

坑：在线 jwt.io 工具，不要粘贴生产真实业务 Token 到公网网站，会造成 token 泄露。本地优先使用 Burp 插件。

7.2 jwt‑cracker /hashcat 爆破弱密钥

离线爆破 HS256 密钥，上面已经给出命令。字典推荐 rockyou、常用 web 弱密钥字典。

7.3 Python PyJWT 手工生成 POC 脚本示例

import jwt # HS256，已知secret密钥，伪造token secret = "myweaksecret123" payload = { "sub":"1001", "role":"admin", "exp":9999999999 } token = jwt.encode(payload,secret,algorithm="HS256") print(token)

RS256 伪造，需要传入私钥文件。

八、实战高频踩坑汇总（真实 SRC / 护网踩坑）

坑 1：修改 Payload 的 role，但是访问接口没有管理员权限

原因：业务接口不读取 JWT 内 role，每次请求查询数据库权限；JWT 只携带用户 ID，权限由数据库控制。此时就算签名绕过成功，修改 payload 角色无效，不能上报漏洞。

区分漏洞：只有服务端直接信任 JWT payload 中的权限字段，篡改之后生效，才是有效越权漏洞。

坑 2：none 算法 Payload 修改完毕，服务器直接拒绝 token

新版本库默认拒绝 alg:none；部分 WAF 拦截alg":"none"字符串；尝试大小写变形None，仍然无效说明该目标不存在该漏洞。

坑 3：RS256‑>HS256 密钥混淆攻击失败

代码写死校验 alg 算法必须等于 RS256；
RSA 公钥换行、空格格式不一致，HMAC 签名计算结果不一致；
JWT 库版本已经修复密钥混淆漏洞。

坑 4：jku 注入 Payload 构造成功，但是服务器不会访问攻击者 jwks 地址

业务服务器内网环境，无外网出网权限；中间件防火墙拦截对外 http 请求；库默认禁用 jku、x5u 外部加载功能。

坑 5：爆破 HS256 密钥跑不出来

密钥不是弱口令，密钥足够长、高熵随机字符串，爆破没有可行性。不要浪费时间暴力爆破高强度密钥。

坑 6：JWT 签名校验逻辑完全缺失（高危业务漏洞）

部分后端手动封装代码：只做 base64 解码读取 payload，完全不校验第三段签名 Signature。
伪代码危险示例：

// 严重漏洞！只解码，不校验签名 let decode_result = jwt.decode(token); if(decode_result.userId){ req.user = decode_result; }

攻击者可以随意篡改 payload 任意字段，不需要任何密钥。该漏洞在很多二次封装、新手开发项目中高频出现。

测试方法：直接修改 payload 任意字段，保持签名不变，如果请求仍然鉴权通过，说明完全没有校验签名，高危。

坑 7：JWT 无法注销、无法主动失效经典业务坑

JWT 本身无服务端状态，一旦签发，有效期内就算用户退出登录，Token 仍然有效。很多业务只依靠 exp 过期，没有黑名单机制。
攻击场景：用户账号被盗，攻击者拿到 JWT，就算修改密码，被盗 JWT 依然可以使用直到 exp 过期。
解决方案：短有效期 access_token + refresh_token，服务端维护 refresh_token 黑名单。

坑 8：token 存储在 localStorage 带来 XSS 窃取风险

前端把 JWT 存 localStorage，一旦发生 XSS 漏洞，攻击者 JS 直接读取 localStorage 拿到全部 JWT。
最佳实践：AccessToken 放入 HttpOnly Cookie，抵御 XSS 窃取风险。

坑 9：混淆 JWE 和 JWT

JWE 是加密 Token；普通 JWT 只是签名。很多开发误以为 JWT 等于加密，Payload 明文可见。

九、代码审计危险特征 & 蓝队完整加固修复方案

9.1 代码审计危险特征

没有指定允许的 alg 算法集合，直接信任 JWT 头部传入 alg 字段；
允许alg:none算法；
完全不校验 Signature 签名，直接 decode 读取 payload 业务数据；
HS256 密钥硬编码、密钥放在配置文件可下载泄露；
直接使用 JWT 头部 kid 拼接文件路径、SQL 查询；
不限制 jku/x5u 外部 URL 加载 JWKS 公钥；
不校验 exp、iat 时间声明，允许删除 exp 字段；
长有效期 access_token，没有 refresh_token 黑名单，token 无法注销；
Payload 存储手机号、密码等敏感明文信息；
RS256 场景公钥私钥文件全部对外泄露。

9.2 OWASP 官方 JWT 分层加固方案

1、强制白名单校验签名算法（最重要）

代码必须写死允许的 alg 算法列表，绝对不要信任 JWT Header 传入 alg 值。
例如业务使用 RS256，则校验 alg 必须等于 RS256，拒绝 HS256、none 等其他全部算法，从根源防御 none 算法、密钥混淆攻击IETF。

2、密钥管理

HS256 密钥使用高熵随机字符串，至少 32 字节；禁止弱密钥，禁止硬编码密钥；密钥不要提交 git 仓库；
RS256 私钥严格保护，永远不能对外暴露；公钥可以公开；
定期轮换密钥。

3、禁止危险头部参数

生产环境禁用jku、x5u外部加载公钥，不允许从 JWT 头部读取远程密钥地址；
kid参数做严格白名单，禁止路径遍历、SQL 注入；禁止直接把 kid 当做文件路径、SQL 参数拼接。

4、严格校验全部 Claims 声明

强制校验exp过期时间，禁止缺失 exp 的 Token；合理设置短有效期 access_token（5‑15 分钟）；
校验iat签发时间，校验 iss 签发者；
业务鉴权权限，优先从数据库实时查询，不要完全信任 JWT payload 中的 role 权限字段。

5、解决 JWT 无法注销的问题

access_token 短时效；refresh_token 存数据库，实现黑名单，登出时拉黑 refresh_token。

6、前端存储安全

AccessToken 尽量存放 HttpOnly Cookie，防止 XSS 窃取；避免 localStorage 存储 JWT。全站 HTTPS，防止中间人劫持窃取 Token。

7、库版本安全

升级 JWT 依赖库到最新版本，修复历史密码学漏洞，不要使用老旧版本 jjwt、nimbus‑jose。

多层防御：算法白名单 + 强密钥 + claims 严格校验 + 禁止危险头部 + refresh_token 黑名单，单一防护容易被绕过。

十、红队 JWT 标准化测试清单（挖洞直接照着测）

拿到业务 JWT，按下面顺序逐项测试：

修改 Header alg 为none，修改 payload 权限，测试是否绕过签名校验；测试大小写变形绕过 WAF；
HS256 算法：收集 token 样本，离线弱密钥爆破；
RS256 算法：尝试修改 alg 为 HS256，使用公钥作为密钥测试密钥混淆攻击；
修改 payload，删除 exp、设置超大 exp 时间，测试时间校验绕过；
修改 payload 业务 role/sub，观察鉴权是否生效；
测试 kid 头部：路径遍历、SQL 注入；
测试 jku 头部，填入攻击者 JWKS 地址，观察服务器是否会访问远程密钥；
修改 payload 任意字段，保持原始签名不变，看服务端是否跳过签名校验；
业务逻辑测试：登出之后旧 JWT 是否仍然可用，是否缺少黑名单机制；
检查 Payload 是否存放手机号身份证敏感明文数据；
确认前端存储位置：localStorage 是否存在 XSS 窃取风险。

总结

JWT 漏洞本质大多不是 JWT 协议本身的缺陷，而是开发配置错误、库老旧、校验逻辑缺失、密钥管理不当。

红队实战攻击面：none 算法绕过签名；HS256 弱密钥离线爆破；RS256‑HS256 密钥混淆攻击；kid 路径遍历 / SQL 注入；jku 远程 JWKS 密钥注入；payload 声明篡改；签名校验完全缺失业务漏洞。

很多新手误区：JWT 是加密令牌。真实情况 Payload 只是 Base64URL 编码，任何人拿到都可读；签名只保证完整性，不保证保密性。Payload 不要存放敏感信息。

防御层面，最重要措施：写死白名单校验 alg 算法，不信任 token 头部 alg 字段；禁止 none；禁用 jku/x5u 远程加载密钥；严格校验 exp 等声明；access_token 设置短有效期，refresh_token 做黑名单；密钥严格保管。

SRC 挖洞注意区分误报：修改 payload 中 role 但是接口从数据库读取权限，篡改无效，不属于漏洞；必须篡改 payload 之后业务鉴权直接生效，才是有效高危漏洞。

本文全部内容来自公开安全研究，仅用于授权安全测试，严禁未授权实际环境利用。

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。

网络安全工程师企业级学习路线

视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些我自己买的、其他平台白嫖不到的视频教程：

要学习网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】

企业官网建设流程全解析

前言