2017 年 9 月，我拖着行李箱走进大学校园，读的是 “信息管理与信息系统” 专业 —— 一个听起来和代码沾边，却连《C 语言》都是选修课的专业。那时的我，对 “网络安全” 的认知仅限于 “装个 360 杀毒”，更别说 “挖漏洞赚钱” 了。
改变发生在大一寒假。我在学校论坛刷到一篇《大学生如何靠挖漏洞赚零花钱？》的文章，作者是个同校学长，分享了他靠提交 SRC 漏洞半年赚 8000 元的经历。文章里的一句话让我心跳加速：“在大学里，有人靠兼职发传单赚生活费，有人靠挖漏洞实现经济独立 —— 关键在于，你愿不愿意花时间啃技术。”
那天晚上，我对着电脑屏幕，第一次搜索 “什么是 SQL 注入”“怎么装 Kali Linux”。当看到 “用一行代码就能获取数据库信息” 的演示时，我突然觉得：“原来技术还能这么赚钱？”
只是那时的我还不知道，这条 “挖漏洞赚钱” 的路，一开始会难到让我想放弃。
大一：踩遍入门坑，连靶场都跑不通
大一第二学期，我正式开始学挖漏洞。可刚起步，就被现实泼了冷水 —— 我连 “最基础的 DVWA 靶场” 都跑不明白，更别说找真实漏洞了。
1. 第一个坑：装 Kali Linux，花了 3 天还没成功
我跟着教程在 VMware 里装 Kali，结果要么 “卡在开机界面”，要么 “没网连不上虚拟机”。查了无数论坛，试了 “换镜像、改 BIOS 设置、重装 VMware”，直到第三天凌晨，才终于看到黑色的终端界面弹出 “root@kali:~#”。
那天我激动地截图发朋友圈 “终于入门了！”，却不知道这只是 “万里长征第一步”。
2. 第二个坑：学工具，只会点按钮，不懂原理
我花了 1 个月学 Nmap、Burp、SQLMap，以为 “会用工具就是会挖漏洞”。可当我打开 DVWA，想试试 SQL 注入时，却连 “怎么用 Burp 抓包改参数” 都不会 —— 教程里说 “把 id=1 改成 id=1’”，我改了之后，页面只显示 “报错”，根本看不到数据库信息。
我对着屏幕发呆了一下午，直到在 CSDN 上看到学长的另一篇文章：“新手别只学‘怎么点按钮’，要懂‘为什么这么点’—— 比如 SQL 注入改 id=1’，是为了触发 SQL 语句语法错误，暴露数据库结构。”
我重新看 SQL 注入原理，画了张 “SQL 语句拼接图”：当输入 id=1’ 时，后台 SQL 变成SELECT * FROM user WHERE id='1''，多出来的单引号导致语法错误，从而暴露数据库信息。想通的那一刻，我再去改参数，果然看到了报错里的表名 —— 原来 “懂原理” 比 “会点工具” 重要 10 倍。
3. 大一总结：0 收入，但攒下了 “踩坑笔记”
整个大一，我没挖到任何漏洞，收入为 0。但我记满了 3 本 “踩坑笔记”：里面有 “Kali 装不上的 5 种解决方法”“Burp 抓包失败的排查步骤”“SQL 注入报错分析”。现在回头看，正是这些 “踩坑经验”，让我后来少走了很多弯路。
大二：第一次挖到漏洞，拿到 500 元奖金
大二开学，我加入了学校的 “网络安全社团”，跟着学长做靶场、学写漏洞报告。也是在这一年，我挖到了人生中第一个 “能赚钱的漏洞”。
1. 第一次提交 SRC：漏洞被拒，理由是 “描述不清晰”
社团学长推荐我去 “补天平台” 提交漏洞，我选了个 “校园周边的小电商网站” 测试。用 Xray 扫描时，发现网站的 “商品评论区” 有反射型 XSS 漏洞 —— 输入<script>alert('test')</script>，页面会弹出警告框。
我激动地写了漏洞报告，却很快收到 “无效漏洞” 的回复：“未说明漏洞危害，无利用证明截图，无法验证。”
学长帮我分析报告，说：“你只写了‘有 XSS 漏洞’，却没说‘这个漏洞能干嘛’—— 比如能窃取用户 Cookie，登录别人账号。还要附‘测试步骤截图、Cookie 窃取演示视频’，让审核员一眼看到价值。”
我按照学长的建议，补充了 “漏洞危害说明”，录了 “用 XSS 脚本窃取测试账号 Cookie” 的视频，重新提交。3 天后，我收到了 “漏洞确认” 的邮件，还有 500 元奖金到账的短信 —— 那一刻，我拿着手机，手都在抖。
2. 大二下半年：聚焦 “教育类 SRC”，月均收入 1000+
有了第一次成功经验，我开始专注于 “教育类 SRC”—— 这类平台漏洞多（很多学校官网没做安全防护），审核快，奖金从 500 到 2000 元不等。
我总结了一套 “教育类网站漏洞挖掘流程”：
- 信息收集：用 Fofa 搜 “title=XX 大学 教务系统”“domain=edu.cn”，筛选出 10 个未做安全防护的网站；
- 漏洞扫描：用 Xray 被动扫描，重点看 “SQL 注入、文件上传、越权访问”；
- 手动验证：对扫描出的告警，逐一手动测试，比如发现 “越权访问”，就试 “修改 user_id 查看其他用户成绩”；
- 写报告：按 “漏洞位置→测试步骤→危害说明→修复建议” 结构写，附 3 张以上截图 + 1 段演示视频。
大二下半年，我每月能挖到 2-3 个漏洞，月均收入 1000+，不仅 cover 了生活费，还买了台新笔记本（之前的电脑跑虚拟机太卡）。
大三：从 “挖简单漏洞” 到 “接外包项目”，收入翻 6 倍
大三这年，我不再满足于 “靠 SRC 赚零花钱”，开始学 “代码审计”“内网渗透”，尝试接 “小型渗透测试项目”—— 也是这一年，我的收入从 “月均 1000” 涨到 “月均 5000+”。
1. 突破 “技术瓶颈”：学代码审计，挖高危漏洞
大二时，我只能挖 “XSS、简单 SQL 注入” 这类中低危漏洞，奖金最多 2000 元。大三上学期，我花 2 个月学 PHP 代码审计，跟着教程审计 “织梦 CMS、帝国 CMS” 的开源代码，终于挖到第一个 “高危漏洞”—— 某高校官网用的织梦 CMS，存在 “文件上传漏洞”，能直接 getshell。
这个漏洞被评为 “高危”，拿到了 3000 元奖金。更重要的是，我在报告里附上了 “漏洞成因分析”（织梦 CMS 的upfile.php文件未校验上传文件后缀）和 “修复代码”（添加白名单校验），被该高校的信息中心邀请做 “安全防护分享”—— 这次经历，成了我后来接外包的 “敲门砖”。
2. 第一次接外包：3 天赚 8000 元，却差点翻车
大三下学期，社团学长介绍我接一个 “小型企业的 Web 渗透测试项目”，需求是 “找出官网及后台系统的漏洞，出具测试报告”，报价 8000 元。
我一开始觉得 “很简单”，可测试时发现，企业的后台系统做了 “WAF 防护”——SQLMap 扫不出来注入，Burp 改包会被拦截。我卡了 1 天，差点想放弃，直到想起之前学的 “WAF 绕过技巧”：
- 用 “大小写混合” 绕过：把
union改成UNIOn； - 用 “注释符分割”：把
select改成se/**/lect； - 用 “参数污染”：在 URL 里加
id=1&id=1'，让 WAF 只过滤第一个参数。
最后，我用 “参数污染” 技巧，成功绕过 WAF，发现了 “后台 SQL 注入漏洞”，还找到了 “管理员弱口令”（admin/123456）。3 天后，我提交了包含 12 个漏洞的测试报告，企业负责人说：“比我们之前找的安全公司还细致。”
拿到 8000 元报酬时，我第一次觉得：“挖漏洞不仅能赚零花钱，还能成为‘安身立命的技能’。”
3. 大三总结：靠 SRC + 外包，年收入突破 6 万
大三这年，我通过 “SRC 漏洞提交” 赚了 2.2 万，通过 “外包项目” 赚了 4 万，累计 6.2 万。我用这笔钱报了 “CISP-PTE 考证班”，还给爸妈换了新手机 —— 爸妈笑着说：“没想到你学的‘敲代码’，还真能赚钱。”
大四：深耕红队项目，拿到大厂 Offer + 实现经济独立
大四这年，我不再接 “小外包”，而是通过 “安全公司实习” 参与 “红队评估项目”—— 不仅收入更高（月薪 6000 + 项目奖金），还拿到了大厂的正式 Offer。
1. 实习经历：参与某金融企业红队项目，1 个月赚 1.5 万
通过校招，我进入一家安全公司实习，岗位是 “红队渗透工程师”。入职后参与的第一个项目，是给某金融企业做 “红队评估”，需求是 “模拟黑客攻击，找出内网漏洞，拿到核心数据库权限”。
我负责 “边界突破” 环节：
- 先用 “社会工程学” 搭建钓鱼邮件平台，伪装成 “银行客服邮件”，附上恶意宏文档；
- 有 3 名员工点击邮件，我拿到了办公电脑的权限；
- 通过 “内网横向移动”，用 “永恒之蓝” 漏洞拿下域控制器，最终拿到核心数据库权限。
项目结束后，我拿到了 6000 元实习工资 + 9000 元项目奖金，合计 1.5 万。领导说：“你一个实习生，比有些正式员工还能扛事。”
2. 拿到大厂 Offer：年薪 28 万，技术比学历更有说服力
大四下学期，我面试了某大厂的 “渗透测试工程师” 岗位。HR 看到我的简历，问：“你不是计算机专业，怎么有这么多实战经验？”
我拿出准备好的 “成果包”：
- 4 年累计提交 127 个 SRC 漏洞，其中高危 32 个；
- 参与 5 个红队项目，附客户感谢信；
- CISP-PTE 证书 + 代码审计实战案例（发现 2 个开源 CMS 漏洞，已提交厂商修复）。
技术面时，面试官让我 “现场分析一段有漏洞的 PHP 代码”，我很快找出 “文件包含漏洞”，还写出了修复代码。最后面试官说：“我们招的是‘能解决问题的人’，你的实战经验，比很多计算机专业的应届生还扎实。”
最终，我拿到了 “年薪 28 万 + 年终奖” 的 Offer，比同专业同学的平均薪资高了 1 倍多。
3. 大四总结：四年累计收入 15 万，实现经济独立
大四这年，我通过实习工资 + 项目奖金，赚了 8 万。加上前三年的 7 万，大学四年累计靠挖漏洞赚了 15 万 —— 不仅覆盖了四年学费和生活费，还攒下了 5 万 “启动资金”。
毕业那天，我背着笔记本电脑走出校园，想起大一那个连 Kali 都不会装的自己，突然觉得：“所有‘开始很难’的事情，只要坚持下去，结局都会很美。”
给大学生的 5 条干货建议：靠挖漏洞赚钱，这些坑别踩
回顾四年历程，我踩过很多坑，也总结了 5 条实用建议，希望能帮到想靠技术赚钱的学弟学妹：
1. 合法是底线：别碰 “未授权测试”，否则前途尽毁
大一那年，我差点 “手贱” 扫描学校的教务系统，被学长及时拦住：“未经授权的测试，哪怕没改数据，也可能违反《网络安全法》，面临罚款或拘留。”
正确做法：只在 “合法场景” 实战：
- 靶场：DVWA、SQLI-LAB、VulnHub（免费且合法）；
- SRC：企业官方允许的平台（如补天、阿里云 SRC），提交前看清楚 “测试范围”；
- 实习 / 外包：通过公司或正规平台接项目，拿到书面授权后再测试。
2. 别沉迷 “工具速成”：原理懂了，漏洞才能挖得深
大二时，我只会用 SQLMap 跑注入，遇到 WAF 就卡壳。后来学了 SQL 注入原理，才知道 “怎么手动构造 Payload 绕过防护”—— 工具只是 “武器”，原理才是 “武功心法”。
学习建议：学每个工具前，先搞懂 “背后的原理”：
- 学 SQLMap：先学 “SQL 注入的三种类型（Union、盲注、堆叠）”；
- 学 Burp：先学 “HTTP 请求结构（请求头、参数传递）”；
- 学代码审计：先学 “PHP/Java 的高危函数（如 mysql_query、eval）”。
3. 从 “小漏洞” 开始：别一开始就想挖 “0day”
大一我总想着 “挖个大漏洞赚大钱”，结果半年没成果。后来从 “XSS、简单越权” 这类小漏洞入手，不仅快速拿到奖金，还积累了 “漏洞挖掘思维”—— 小漏洞挖多了，自然能发现高危漏洞。
起步建议：前 3 个月专注 “中低危漏洞”：
- 教育类网站：找 “评论区 XSS、成绩查询越权”；
- 小电商平台：找 “商品 ID 越权、未登录访问订单”；
- 企业官网：找 “后台弱口令、信息泄露（如 phpinfo）”。
4. 报告要 “专业”：写清楚 “危害”，奖金才能拿得多
第一次提交漏洞被拒，就是因为报告没写 “危害”。后来我学会在报告里写：“该 XSS 漏洞可窃取用户 Cookie，攻击者能登录账号，篡改订单信息，造成经济损失”—— 审核员看到 “实际危害”，才会给更高的奖金。
报告模板：按 “4 步结构” 写，通过率提升 80%：
- 漏洞位置：明确到 URL（如 “http://xxx.com/comment.php”）；
- 测试步骤：分点写（1. 打开 XX 页面；2. 输入 XXPayload；3. 观察到 XX 现象）；
- 危害说明：结合业务场景（如 “可导致用户隐私泄露、账号被盗”）；
- 修复建议：给具体方案（如 “用参数化查询修复 SQL 注入，添加输入过滤修复 XSS”）。
5. 别单打独斗：加入社群，找 “引路人”
如果没有社团学长的帮助，我可能还在 “自己瞎琢磨”。加入安全社群（如 CSDN 安全圈、SRC 交流群），不仅能遇到 “解决问题的人”，还能接到 “靠谱的项目”。
社群选择：优先加 “实战型社群”：
- 拒绝 “伸手党群”：群里只问 “怎么挖漏洞”，不分享经验的，果断退；
- 加入 “成果分享群”：群友会晒 “漏洞报告、项目经历”，能学到真东西；
- 关注 “行业前辈”：在 CSDN 上关注做漏洞挖掘的博主，跟着他们的教程学（比如我常看的那位学长，现在成了我的同事）。
结语：四年从 “技术小白” 到 “经济独立”，我收获的不只是钱
大学四年，15 万收入固然重要，但更宝贵的是：我靠自己的努力，找到了 “喜欢且能赚钱的方向”—— 不再像大一时那样迷茫，知道毕业后要做什么，能靠什么安身立命。
很多人问我：“挖漏洞赚钱难吗？” 我的答案是：“开始很难 —— 难在装不上 Kali，难在漏洞被拒，难在卡壳时没人帮。但只要你坚持下去，把‘难’的事拆成‘每天能做的小事’（比如每天学 1 个漏洞原理，每周挖 1 个小漏洞），终会看到成果。”
现在的我，已经入职大厂，负责红队项目。偶尔回头看大一的 “踩坑笔记”，还是会想起那个对着 Kali 虚拟机发呆的夜晚。原来所谓 “结局很美”，不过是 “开始很难” 时，你没选择放弃。
如果你也是大学生，也想靠技术改变现状，不妨从 “今天装一个 Kali Linux” 开始 —— 也许四年后，你也会有属于自己的 “很美结局”。
网络安全的知识多而杂，怎么科学合理安排？
下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！
初级网工
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k
到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？
【“脚本小子”成长进阶资源领取】
7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.
零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。
8、超级网工
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。
网络安全工程师企业级学习路线
如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。
一些我自己买的、其他平台白嫖不到的视频教程：
需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。
结语
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失！！！
