做一名合格的网安人，就该有的一些良好习惯！！！

原创

是老A
是老A

老A搞安全

2026年10月13日 08:05
贵州

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一位深耕网络安全的老兵，目前是一家安全公司的技术分管，擅长渗透测试及安全培训方向，老A的愿望是大家没烦恼，一切顺心！

1、虚拟机快照是“后悔药”

• 每装好一个干净系统、每做完一次大配置，就拍快照
• 做危险操作（提权、漏洞复现、免杀测试）前先拍快照
• 靶场打崩了、系统中毒了，直接回滚，不用重装

2、靶场和攻击机隔离

• 攻击机（Kali/Parrot）和靶场（DVWA、SQLi-Labs、VulnHub）放在同一 NAT/仅主机网络
• 绝对不要把漏洞靶场暴露在公网或云服务器（避免成肉鸡）
• 云服务器只放自己可控的、不对外开放的测试环境

3、工具装到单独目录，路径全英文

• 避免中文、空格，否则脚本调用、命令行执行经常报错

4、Linux 一律 root 操作，但要有安全意识

• 学习阶段用 root 省权限麻烦
• 但真做安全加固、权限提升实验时，要刻意练习“普通用户 → 提权”的完整过程

5、边学边写“复现笔记”

• 每个漏洞：环境、版本、 payload、截图、结果、修复建议
• 推荐 Markdown + 本地图床，或 Typora/Obsidian
• 以后遇到同类问题，直接搜自己的笔记，比搜百度快

6、建立自己的“命令/脚本库”

• 常用 Nmap、SQLMap、MSF、Fscan、目录扫描命令，整理成 .md 或 .sh
• 常用 Python 小脚本（编码转换、请求重放、批量检测）放到固定目录
• 用 Everything 快速搜

7、善用“靶场 + 漏洞复现”闭环

• 学一个漏洞 → 本地靶场复现 → 写 payload → 写报告 → 尝试修复
• 推荐：DVWA、Pikachu、SQLi-Labs、Upload-Labs、VulnHub、HackTheBox

8、英文资料优先，但别怕中文

• 官方文档、CVE、Exploit-DB、GitHub、HackTricks、PayloadsAllTheThings 都是英文
• 中文社区（先知、FreeBuf、安全客、看雪）适合入门和找思路

9、定期复盘，整理“知识树”

• Web：SQLi、XSS、CSRF、SSRF、RCE、文件上传、反序列化、逻辑漏洞……
• 系统：提权、内网、域渗透、免杀、权限维持……
• 每学完一块，画一张思维导图，标出已掌握/待补

10、只打自己有权测试的目标

• 自己的虚拟机、靶场、公司授权项目、CTF 平台
• 未授权渗透 = 违法，不管技术多牛

11、不碰真实数据，不传播漏洞细节

• 复现漏洞用假数据、测试数据
• 发现真实漏洞走 SRC/CNVD 等正规渠道，不公开利用细节

12、攻击机不存敏感信息

• 虚拟机里不放身份证、银行卡、公司资料
• 快照和磁盘加密，避免丢失后泄露

13、用 Git 管理笔记、脚本、POC

• 本地 Git + 私有仓库，版本可回溯
• 敏感信息不要提交

14、善用浏览器多配置

• Chrome 多用户：一个日常、一个渗透测试（装代理插件、HackBar 等）
• 避免 Cookie 串号、插件冲突

15、代理和抓包工具常备

• Burp Suite / Yakit / mitmproxy
• 浏览器证书、系统代理、移动端抓包，提前配好

16、保持系统干净，定期清理

• 用 Uninstall Tool 卸载
• 用 Everything 找重复文件
• 虚拟机定期快照 + 清理

⚠️ 法律声明：以上内容仅供安全学习和授权测试使用。未经授权的漏洞利用属于违法行为，请勿对未经授权的目标进行测试