免责声明本文仅用于企业 AD 域安全排查、红蓝对抗、应急响应学习所有 PowerShell 命令请优先在测试环境验证发生真实入侵事件优先做好快照备份禁止对未授权的域环境执行检测操作。前言当攻击者拿下域管理员权限之后第一件事情不是修改密码而是部署各类AD 持久化后门。即便后续运维人员修改全部域账号密码、清理可疑账号攻击者依旧可以依靠域后门继续控制整个活动目录环境。很多企业发生入侵之后只删除可疑账号就认为完成处置但是攻击者埋下的隐蔽后门没有清除没过多久攻击者再次重新接管域环境导致安全事件反复爆发。域后门分为很多种类DSRM 目录恢复模式后门、恶意修改的组策略 GPO、伪造异常 SPN 服务主体名称、AD CS 证书服务异常证书 / 不安全证书模板还有 AdminSDHolder 权限篡改、krbtgt 黄金票据后门等。这类后门隐蔽性极强普通用户管理控制台很难直观发现大部分后门不创建新账号只是修改现有对象属性日常运维极易被忽略。本文面向应急响应工程师、等保测评人员、内网安全运维人员围绕四大高频域后门DSRM 后门、异常组策略、异常 SPN、异常证书完整讲解攻击原理、现象特征、PowerShell 排查命令、日志审计方法、清除修复方案同时补充应急处置完整流程读完可以直接落地开展域环境后门排查。一、域持久化后门基础认知1.1 什么是 AD 域持久化后门AD 持久化就是攻击者获取域权限之后建立长期可控的访问通道不受域账号密码重置影响。就算所有域用户全部改密攻击者依旧能够获取域控制器权限。常见域后门分类DSRM 账号后门域控制器本地管理员后门组策略 GPO 后门下发脚本、计划任务全域执行恶意代码异常恶意 SPN白银票据后门伪造服务 SPNAD‑CS 异常证书、不安全证书模板证书后门证书有效期可达数年AdminSDHolder 权限篡改普通账号获得高权限继承KRBTGT 哈希窃取黄金票据持久化权限委派篡改RBCD、非约束委派恶意配置很多后门不会新建账号只是修改对象属性所以单纯查看域用户列表完全发现不了必须读取对象属性、ACL 权限、注册表、审计日志进行深度排查。1.2 应急排查前置准备工作在域控制器上安装 RSAT‑AD PowerShell 模块全部检测命令依赖 AD 模块开启完整高级安全审计没有审计日志很多后门无迹可寻排查前对 AD 数据库做系统状态备份防止误操作破坏域环境日志转发 SIEM优先留存日志证据不要直接清理尽量使用离线快照比对对比正常环境基线基线对比是发现异常后门最高效手段。重点提醒应急响应中只删除可疑账号无法根除域后门必须完成本文四类对象的完整审计。二、DSRM目录服务恢复模式后门检测与处置2.1 DSRM 后门原理每一台域控制器都存在一个本地管理员账号叫做 DSRM 账号Directory Services Restore Mode该账号不属于域账号属于域控本机本地账号。默认情况下 DSRM 账号仅在域控进入目录恢复安全模式时登录使用AD 正常运行的时候该账号无法网络登录域控机器。攻击者拿到域管理员权限后可以做两件事完成后门部署修改 DSRM 管理员账号密码设置攻击者可控密码修改注册表键值DsrmAdminLogonBehavior设置为 2允许 DSRM 账号在 AD 正常运行状态下进行网络登录RDP、SMB 均可登录域控本机。完成之后攻击者可以使用 DSRM 账号 RDP 登录域控制器。即便域内所有域账号全部重置密码DSRM 账号密码不受任何影响后门依旧有效。注册表键说明域控注册表路径HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehavior0默认仅 DSRM 恢复模式登录1AD 停止服务的时候允许登录2高危AD 正常运行时允许 DSRM 账号网络登录这就是 DSRM 后门标记。很多运维完全不知道这个注册表项日常不会查看后门非常隐蔽。2.2 DSRM 后门完整排查手段方式 1检查注册表每一台域控都要执行多域控每台单独检测# 在每台域控执行查看DsrmAdminLogonBehavior键值 Get‑ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\ -Name DsrmAdminLogonBehavior -ErrorAction SilentlyContinue如果返回值等于 2确认存在 DSRM 后门。正常干净域控该注册表键默认不存在或者值等于 0。注意多域控环境攻击者可能只修改其中一台域控的注册表必须遍历全部域控制器逐个检查不能只查一台。方式 2审计日志事件 ID 4794事件 ID4794代表 DSRM 管理员账号密码被修改只要攻击者重置 DSRM 密码就会生成该安全事件属于高危告警信号。排查域控制器安全日志检索 4794 事件查看事件发生时间、操作账号、来源工作站。正常业务场景极少修改 DSRM 密码如果出现陌生时间点 4794 事件高度怀疑 DSRM 后门部署行为。方式 3检查 DSRM 账号登录事件DSRM 账号登录域控登录账号名是Administrator登录类型 10RDP但是该账号 SID 是本地 SAM SIDS‑1‑5‑32‑500不是域管理员 SID。检索安全日志中登录 SID 为 S‑1‑5‑32‑500 的 RDP 登录记录确认是否出现 DSRM 账号远程登录行为。2.3 DSRM 后门清除修复步骤注册表清除后门标记# 将值修改为0或者直接删除这个注册表项 Set‑ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\ -Name DsrmAdminLogonBehavior -Value 0 -Type DWord修改所有域控制器 DSRM 账号密码每台域控 DSRM 密码建议设置不同高强度密码。修改 DSRM 密码命令域控执行ntdsutil set dsrm password reset password on server null审计所有域控确认注册表键不存在或者等于 0保存 4794 相关全部日志作为入侵证据记录每台域控 DSRM 密码做好密码文档保管。业务背景DSRM 密码是提升域控时候设置的绝大多数企业部署完域控十几年从来没有修改过 DSRM 密码这是巨大安全隐患。建议企业定期轮换全部域控制器 DSRM 管理员密码。2.4 DSRM 后门常见误区误区 1DSRM 是域账号改域管理员密码就能清除后门。错误。DSRM 是域控制器本机本地账号独立于 AD 域库修改域账号密码完全不会影响 DSRM 密码。误区 2只检查一台域控就完事。多域控环境攻击者只修改单台域控注册表其他域控不受影响需要全部域控逐个校验。三、异常组策略 GPO 后门检测与清理3.1 组策略 GPO 后门攻击原理组策略 GPO 是 AD 域批量下发配置的核心组件GPO 存储在 SYSVOL 共享文件夹当中。攻击者拿到域管理员权限利用组策略实现持久化后门有多种手段新建恶意 GPO配置登录脚本、开机脚本、计划任务链接到域根或者域控 OU域内全部主机开机自动执行恶意脚本篡改现有正常 GPO不新建 GPO修改原有业务组策略追加恶意脚本不容易被发现篡改 GPO 对象 ACL 权限给普通低权限账号授予 GPO 编辑权限后续普通账号直接修改组策略执行代码在 GPO 首选项groups.xml写入账号密码遗留明文凭证通过组策略给所有机器添加本地管理员账号后门。GPO 后门危害极大只要 GPO 生效域内成千上百台主机自动执行恶意载荷。很多应急事件中运维删除后门账号但是恶意 GPO 没有清理机器重启之后自动重新创建后门账号。3.2 GPO 后门排查清单与 PowerShell 脚本3.2.1 第一步枚举全部 GPO筛选异常陌生 GPO 名称Import‑Module GroupPolicy Get‑GPO -All | Select‑Object DisplayName,Id,GpcFileSysPath,CreationTime,ModificationTime | Sort‑Object ModificationTime重点观察创建时间、修改时间与入侵时间吻合的 GPO名字随机、无业务含义、名字空白的 GPO 对象很久没有修改的业务 GPO在入侵时间点发生修改。3.2.2 第二步审计所有 GPO 的 ACL 权限高危普通账号拥有编辑权限攻击者经常修改 GPO 的访问控制列表给普通域用户赋予Edit编辑权限。Get‑GPO -All | ForEach‑Object { $gpoGuid $_.Id Get‑GPPermission -Guid $gpoGuid -All | Where‑Object {$_.Permission -match Edit} }正常情况只有 Domain Admins、Enterprise Admins、System 账号具备 GPO 编辑权限。如果普通域用户、域用户组、Authenticated Users 拥有编辑权限属于恶意异常配置。3.2.3 第三步扫描 SYSVOL 共享查找恶意脚本、groups.xmlSYSVOL 路径\\你的域名\SYSVOL\域名\Policies\检索 SYSVOL 下面所有 groups.xml 文件经典遗留密码文件Get‑ChildItem -Path \\contoso.com\SYSVOL\contoso.com\Policies\ -Recurse -Filter groups.xml -ErrorAction SilentlyContinue只要检索到 groups.xml代表曾经通过组策略首选项保存账号密码需要立刻处置。扫描 SYSVOL 下面存在的 bat、ps1、vbs 脚本排查陌生恶意脚本Get‑ChildItem -Path \\contoso.com\SYSVOL\contoso.com\Policies\ -Recurse -Include *.ps1,*.bat,*.vbs,*.cmd -ErrorAction SilentlyContinue检查脚本修改时间比对入侵时间点打开查看脚本内容是否存在后门、下载执行、添加账号等恶意逻辑。3.2.4 第四步检查 GPO 脚本配置开机脚本、登录脚本、计划任务GPO 分为计算机配置脚本开机脚本用户配置脚本登录脚本。每个 GPO 的脚本存储目录\\domain\SYSVOL\domain\Policies\{GPO‑GUID}\Machine\Scripts\Startup\\domain\SYSVOL\domain\Policies\{GPO‑GUID}\User\Scripts\Logon遍历目录查看是否存在陌生脚本文件。3.2.5 审计日志事件 ID监控 GPO 对象修改事件 ID含义5136目录对象修改GPO 对象属性修改5137新建组策略对象 GPO5138删除 GPO 对象5139GPO 链接变更把 GPO 链接到域、OU。检索入侵时间附近 5136、5137、5139 事件查看哪个账号操作 GPO对应的 GPO GUID定位恶意组策略。3.3 GPO 后门清理修复流程如果是攻击者新建陌生恶意 GPO直接备份后删除 GPO如果是篡改原有正常业务 GPO恢复 GPO 备份版本删除里面恶意脚本、恶意计划任务配置修复 GPO 的 ACL 权限删除普通用户的 Edit 编辑权限只保留管理员和 System 权限删除 SYSVOL 当中的恶意脚本、groups.xml执行命令gpupdate /force在域控强制组策略更新跟踪终端机器日志确认不再下发恶意配置废弃不用的 GPO 及时删除减少攻击面。重要提醒很多企业没有 GPO 备份发生篡改后无法回滚强烈建议定期备份全部组策略对象。四、异常 SPN服务主体名称后门排查4.1 SPN 异常后门原理SPN ServicePrincipalName 服务主体名称Kerberos 协议用于标识域内服务MSSQL、HTTP、CIFS 服务都需要注册 SPN。攻击者利用 SPN 实现后门两种场景白银票据Silver Ticket持久化后门攻击者给普通域账号手动注册伪造 SPN例如CIFS/DC01.contoso.com。攻击者拿到该账号 NTLM 哈希就可以制作白银票据访问域控 CIFS 服务不需要域管理员账号。这个账号本身权限很低只是注册异常 SPN肉眼看账号完全正常极具隐蔽性。业务账号被错误注册大量无关 SPN引发 Kerberoasting 风险普通域成员即可请求 TGS 票据离线爆破哈希。关键点普通域用户默认权限就可以给自己账号写入 SPN 属性不需要管理员权限所以该后门非常容易部署。很多运维完全不会去检查用户对象的 ServicePrincipalName 属性。正常业务MSSQL 服务账号注册 MSSQL SPN机器账号自动注册 HTTP、CIFS 等机器 SPN。普通员工用户账号默认不应该存在 SPN 属性。4.2 SPN 完整排查方法4.2.1 导出域内全部对象 SPN 清单用户对象 计算机对象Import‑Module ActiveDirectory # 查询所有带有SPN属性的域对象区分用户和计算机 Get‑ADObject -Filter {ServicePrincipalName -ne $null} -Properties ServicePrincipalName,ObjectClass | Select‑Object Name,ObjectClass,ServicePrincipalName | Sort‑Object ObjectClass输出结果区分 ObjectClassuser域用户 /computer计算机机器账号。重点审计user 类型普通域用户身上绑定的 SPN。绝大多数普通业务员工账号不应该携带任何 SPN。如果普通用户账号存在大量 SPN高度可疑。4.2.2 筛选危险 SPN白银票据后门特征重点关注用户对象上出现下面 SPNCIFS/shturl.cc/hX域控 CIFS 共享服务HTTP/shturl.cc/hX域控 HTTP 服务LDAP/shturl.cc/hXLDAP 服务普通域用户身上绑定域控 CIFS、LDAP、HTTP 的 SPN几乎可以判定是白银票据后门。机器账号拥有这类 SPN 属于正常现象。4.2.3 审计 SPN 属性修改日志AD 目录服务审计开启后事件 ID 4662代表目录对象属性写入操作。监控属性ServicePrincipalName的修改事件可以发现攻击者新增、修改 SPN 行为。日志可以看到哪个账号、什么时间给某个对象写入 SPN 属性。4.3 异常 SPN 后门清除修复定位可疑域用户对象清除异常 SPN 属性。#清除指定账号全部SPN Set‑ADUser testuser -Clear ServicePrincipalName注意业务服务账号MSSQL 等不要盲目全部清除 SPN会导致业务 Kerberos 认证故障要区分业务正常 SPN 和伪造后门 SPN。建立基线整理业务合法 SPN 资产清单定期对比出现新增 SPN 及时告警。限制普通用户随意写入自身 SPN 属性修改 AD 对象 ACL高安全环境下做限制。开启 4662 目录对象审计监控 SPN 属性变更行为。4.4 SPN 排查踩坑点机器账号computer 对象自带大量 SPN 属于正常不要误删机器账号 SPN会导致域机器 Kerberos 业务异常。只需要重点审计 user 用户对象上面异常 SPN。五、AD‑CS 异常证书、不安全证书模板后门检测5.1 证书后门原理AD‑CS 活动目录证书服务企业用于颁发域内数字证书。证书后门是现在红队非常偏好的持久化手段证书有效期通常 1‑5 年就算账号密码全部重置证书依旧有效可以通过 PKINIT Kerberos 证书认证登录域控。攻击者两种攻击路径利用不安全证书模板 ESC1‑ESC8 漏洞低权限用户申请证书指定 SAN 为域管理员账号拿到证书冒充域管理员登录攻击者拿到域管理员权限申请用户认证证书作为后门持久化证书保存在本地长期有效篡改证书模板 ACL 权限普通用户可以修改模板配置把正常模板改成 ESC1 高危模板。很多企业部署 AD‑CA 证书服务之后几乎不维护证书模板大量高危配置常年存在。就算没有被入侵本身就存在漏洞。证书后门隐蔽点证书文件保存在攻击者本地AD 服务器不一定留存恶意证书文件但是证书模板配置错误会永久保留风险。5.2 AD‑CS 证书服务完整排查清单需要 RSAT AD‑CS 管理组件Certipy 工具也可以做批量检测。5.2.1 枚举全部证书模板排查 ESC1 高危模板ESC1 模板条件模板 EKU 扩展密钥用法包含Client Authentication(1.3.6.1.5.5.7.3.2)或者智能卡登录模板开启标志CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT申请者可以提供主题 SAN普通域用户拥有 Enroll 注册该模板的权限。PowerShell 查询证书模板Get‑ADObject -Filter {objectClass -eq pKICertificateTemplate} -Properties * | Select‑Object Name,flags,pKIExtendedKeyUsage检查 flags 属性如果包含ENROLLEE_SUPPLIES_SUBJECT标记同时 EKU 包含客户端认证就是 ESC1 风险模板。5.2.2 审计证书模板 ACL 权限检查是否普通域用户、域用户组拥有Enroll注册权限、WriteDacl、WriteProperty写权限。普通账号具备写权限对应 ESC4 漏洞攻击者可以篡改模板属性开启 ESC1 风险。5.2.3 审计 CA 证书服务器本身 ACL 权限 ESC7如果普通用户拥有 CA 服务器的ManageCA、ManageCertificates权限对应 ESC7 高危漏洞攻击者可以完全控制证书颁发机构下发任意证书。5.2.4 审计证书颁发事件日志证书服务事件 ID4886证书注册请求提交4887证书请求批准成功颁发证书4888证书请求拒绝。检索入侵时间附近 4887 事件查看颁发证书的申请人、证书主题 SAN排查是否申请冒充域管理员的异常证书。日志存放位置应用程序和服务日志‑Microsoft‑Windows‑CertificateServices‑CertificationAuthority‑Operational。5.2.5 检索已经颁发的证书CA 服务器可以查看已经颁发证书列表检查是否存在异常证书主题 SAN 填写域管理员账号。如果发现攻击者已经申请恶意证书需要立刻吊销该证书。5.3 证书后门修复处置ESC1 模板关闭ENROLLEE_SUPPLIES_SUBJECT申请者提供主题标记除非业务硬性需要收紧模板 Enroll 注册权限不要给 Authenticated Users、Domain Users 通用注册权限修复模板 ACL普通用户移除 WriteProperty、WriteDacl 写权限ESC7 漏洞普通账号移除 CA 服务器 ManageCA、ManageCertificates 管理权限ESC8 加固证书 Web 注册站点启用 EPA 扩展保护关闭 HTTP NTLM 中继风险如果确认发生证书后门攻击吊销攻击者申请的全部恶意证书发布 CRL 证书吊销列表业务上尽量缩短证书有效期不要设置数年超长有效期。重要仅仅删除 CA 服务器记录没用攻击者本地如果导出证书 pfx必须执行证书吊销操作否则证书依旧可以使用。六、其他关联域后门简要补充除了上面四类重点后门应急排查还需要关注AdminSDHolder 权限篡改攻击者修改 AdminSDHolder 对象 ACL普通账号获得高权限组继承权限不会新建账号隐蔽后门审计事件 ID5136 AdminSDHolder 对象修改KRBTGT 账号黄金票据后门攻击者窃取 krbtgt 哈希制作黄金票据。安全事件发生后必须连续两次重置 krbtgt 账号密码作废历史票据密钥异常 RBCD 资源约束委派、非约束委派对象定期审计所有对象 TrustedForDelegation 属性可疑的受信任域、外部信任关系攻击者添加恶意域信任实现横向。七、完整应急排查操作流程真实入侵事件执行顺序证据优先域控制器导出完整安全日志、证书服务日志远端 SIEM 留存不要先清理对象做 AD 系统状态备份快照备份域控排查 DSRM 后门遍历所有域控检查 DsrmAdminLogonBehavior 注册表检索 4794 事件组策略 GPO 审计导出全部 GPO 清单审计 ACL扫描 SYSVOL 脚本和 groups.xml查看 5136‑5139 事件SPN 审计导出全部对象 SPN重点排查普通 user 对象上异常 CIFS/LDAP/HTTP 的 SPNAD‑CS 证书审计检查证书模板 ESC 风险审计 4887 证书颁发事件检查已颁发证书必要时吊销恶意证书额外审计 AdminSDHolder、委派、krbtgt 账号状态清除各类后门配置连续两次重置 krbtgt 账号密码修改 DSRM 所有域控密码高风险域账号全部重置密码全域机器查杀恶意持久化计划任务、服务、LSASS 后门建立 AD 安全基线后续定期巡检。八、常用完整 PowerShell 汇总可直接复制执行测试环境优先#1 检查DSRM注册表单台域控 Get‑ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\ -Name DsrmAdminLogonBehavior -ErrorAction SilentlyContinue #2 导出全部GPO清单 Import‑Module GroupPolicy Get‑GPO -All | Select‑Object DisplayName,Id,GpcFileSysPath,CreationTime,ModificationTime #3 查找SYSVOL下groups.xml Get‑ChildItem -Path \\contoso.com\SYSVOL\contoso.com\Policies\ -Recurse -Filter groups.xml -ErrorAction SilentlyContinue #4 导出全部SPN对象 Import‑Module ActiveDirectory Get‑ADObject -Filter {ServicePrincipalName -ne $null} -Properties ServicePrincipalName,ObjectClass | Select‑Object Name,ObjectClass,ServicePrincipalName #5 导出全部证书模板 Get‑ADObject -Filter {objectClass -eq pKICertificateTemplate} -Properties * | Select‑Object Name,flags,pKIExtendedKeyUsage九、常见排查误区总结误区 1删除可疑域账号就等于清除全部后门极大错误。DSRM、异常 SPN、GPO 篡改、证书后门完全不需要新建账号。删掉账号后门依旧存在攻击者可以继续控制域。误区 2只检查一台域控制器多域控环境后门可能只配置在其中一台域控DSRM 注册表、本地配置每台域控独立必须逐个遍历全部域控制器检测。误区 3忽略 AD‑CS 证书服务很多运维完全不了解 AD‑CS 证书漏洞。证书后门现在是红队高频持久化手段证书有效期长达数年就算全部改密码依旧生效。误区 4只看 AD 用户和计算机控制台不去看对象属性绝大多数后门修改对象隐藏属性图形界面默认不展示 SPN、AdminSDHolder、委派属性必须读取对象属性才能发现。误区 5发现恶意证书只删除 CA 服务器记录不做证书吊销攻击者本地保存 pfx 证书文件服务器删除记录不会阻止证书认证必须执行证书吊销更新 CRL 吊销列表。误区 6入侵之后只重置域管理员密码忘记重置 krbtgt、DSRM 密码黄金票据依赖 krbtgt 哈希DSRM 账号是域控本地账号不受域账号密码重置影响。安全事件处置必须处理这两类凭证。十、日常巡检建议建议企业每月执行一次域后门基线巡检自动化脚本输出报告监控下面指标告警出现 4794 DSRM 密码修改事件普通域用户账号新增 SPN尤其是 CIFS/LDAP/HTTP 类 SPNGPO 对象发生新建、删除、ACL 权限变更证书服务大量 4887 证书颁发事件证书模板配置变更出现 ESC1‑ESC8 高危模板AdminSDHolder 对象属性修改新增非约束委派、RBCD 委派配置。域后门的核心特征大多不创建新账号修改现有对象隐藏属性。AD 域安全事件处置如果只清理账号不去排查 DSRM、GPO、SPN、证书后门会潜伏在环境中攻击者会反复入侵。总结本文重点解析四大类隐蔽域后门DSRM 目录恢复模式后门、异常组策略 GPO 后门、异常 SPN 服务主体名称后门、AD‑CS 异常证书与高危证书模板。DSRM 后门依靠域控制器本地账号不受域账号改密影响重点检测注册表DsrmAdminLogonBehavior和 4794 日志事件组策略后门通过 SYSVOL 下发恶意脚本要审计 GPO ACL 权限扫描 SYSVOL 目录监控 5136‑5139 目录修改事件异常 SPN 后门多用于白银票据持久化普通用户账号绑定域控服务 SPN 属于高危导出全部 SPN 清单做基线比对证书后门有效期极长重点排查 ESC 系列证书模板漏洞审计证书颁发事件恶意证书必须执行吊销操作。发生入侵应急响应的时候需要按照完整流程逐项排查不能只清理可疑账号。日常运维建立 AD 对象基线定期自动化巡检尽早发现域内持久化后门避免安全事件反复复发。最后关于网络安全技术储备网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣黑客都是未来职业选择中上上之选为了保护自己的网络安全学习网络安全知识是必不可少的。如果你是准备学习网络安全黑客或者正在学习下面这些你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】