[資安入門] 001 Web Security 領航之路-如何入門網站安全學習路徑

這是一篇以 Web 網站安全為主的資安入門文章，作為資安新手學習的系統化路徑指南，可用於資安自學或資安相關社團入門社課的安排順序。

版本紀錄

版本	日期	更新內容
v1.0	2021.09.04	初版，SITCON 2021 學生計算機年會分享
v2.0	2025.12.27	新增學習路徑圖、2025 年資源更新、AI 輔助學習、學習檢核清單、常見問題 FAQ

資安入門系列文章

第 10 屆 iT 邦幫忙鐵人賽：資訊安全大補帖
第 12 屆 iT 邦幫忙鐵人賽：資安這條路─以自建漏洞環境學習資訊安全
第 13 屆 iT 邦幫忙鐵人賽：資安這條路─系統化學習滲透測試

學習路徑總覽圖

┌─────────────────────────────────────────────────────────────────────────┐
│                        Web Security 學習路徑                             │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                         │
│  Level 0: 先修知識 (建議 4-8 週)                                         │
│  ┌──────────┐  ┌──────────┐  ┌──────────┐  ┌──────────┐                │
│  │ 資安概論  │→│  Linux   │→│   Git    │→│ 網路概論  │                │
│  │  1 週    │  │  2 週    │  │  1 週    │  │  2 週    │                │
│  └──────────┘  └──────────┘  └──────────┘  └──────────┘                │
│                              ↓                                          │
│  Level 1: 網站基礎 (建議 4-6 週)                                         │
│  ┌──────────┐  ┌──────────┐  ┌──────────┐                              │
│  │ 前端基礎  │→│ 後端基礎  │→│ 資料庫   │                              │
│  │  2 週    │  │  2 週    │  │  2 週    │                              │
│  └──────────┘  └──────────┘  └──────────┘                              │
│                              ↓                                          │
│  Level 2: 網站安全 (建議 8-12 週)                                        │
│  ┌──────────┐  ┌──────────┐  ┌──────────┐  ┌──────────┐                │
│  │OWASP Top │→│ 注入攻擊  │→│ 認證漏洞  │→│ 進階漏洞  │                │
│  │   10     │  │XSS/SQLi  │  │CSRF/會話 │  │SSRF/XXE  │                │
│  └──────────┘  └──────────┘  └──────────┘  └──────────┘                │
│                              ↓                                          │
│  Level 3: 進階技術 (建議 8-12 週)                                        │
│  ┌──────────┐  ┌──────────┐  ┌──────────┐                              │
│  │Linux 提權│→│Windows AD│→│ 滲透測試  │                              │
│  │  3 週    │  │  4 週    │  │  持續學習 │                              │
│  └──────────┘  └──────────┘  └──────────┘                              │
│                                                                         │
└─────────────────────────────────────────────────────────────────────────┘

前言

這幾年針對社團儲備幹部想了很多鬼點子，不過總覺得沒有太大的成效，這次公開分享給大家今年我想做的方法。這篇文章想要解決的事情，就是網路上的資源這麼多，該從哪裡下手，然後透過檢核點來看自己究竟有沒有扎實的學習到該學的事情，歡迎各位補充。

更新紀錄

2021.09.04 更新

2021 SITCON 學生計算機年會 Web Security 領航之路。本身作為資安工程師與經營過資安社團，透過 Web Security 比較好上手的特性，希望可以藉由該議程讓許多資安社團作為新手入門資安的課程安排與參考，也歡迎對資安有興趣想入門的與會者了解有哪些資源可以利用，透過議程介紹的學習路徑與教學方法可以讓上手的速度更快減少狀況期，後段也會介紹進階課程（Windows AD、提權）的安排。

2025.12.27 更新

新增學習路徑圖、更新 2025 年最新學習資源、加入 AI 輔助學習章節、新增學習檢核清單與常見問題 FAQ。

給新手的學習建議（2025 新增）

心態建設

不要急於求成：資安是一個需要長期累積的領域，建議每天花 1-2 小時持續學習
動手實作很重要：看完教學一定要自己動手做，光看不練是學不會的
遇到問題很正常：卡關是學習的一部分，善用搜尋引擎和社群資源
建立學習筆記：用自己的話記錄學到的東西，未來複習會很有幫助
參與社群交流：加入資安社群，和同好交流可以加速成長

學習時間規劃建議

階段	建議時間	每日投入	重點目標
Level 0 先修知識	4-8 週	1-2 小時	能操作 Linux、理解網路運作
Level 1 網站基礎	4-6 週	1-2 小時	能自己寫一個簡單網站
Level 2 網站安全	8-12 週	2-3 小時	理解常見漏洞並能實作
Level 3 進階技術	8-12 週	2-3 小時	能完成完整滲透測試流程

Pre Security

資安概論

了解駭客為什麼要攻擊企業或其他人的電腦，駭客是為了何者目的而進行攻擊，以下列舉關鍵字提供大家進行搜尋。

攻擊、檢測：資安檢測、弱點掃描、滲透測試、紅隊演練
防禦、偵測：資安鑑識、資安防禦、資安健診、資安規劃

資安概論：推薦實戰

熟悉 Google 查詢的技巧，找到問題的關鍵字再進行搜尋
了解 CIA 三元組（機密性、完整性、可用性）
認識常見的攻擊類型與防禦方式

資安概論：2025 新增資源

資源名稱	說明	連結
TryHackMe – Pre Security	最適合零基礎新手的互動式學習平台	https://tryhackme.com/path/outline/presecurity
Cybrary	免費資安課程平台	https://www.cybrary.it/
CISA 資安基礎	美國官方資安入門資源	https://www.cisa.gov/cybersecurity

資安概論：學習檢核點

能解釋什麼是 CIA 三元組
能區分弱點掃描與滲透測試的差異
能說明紅隊與藍隊的角色
了解常見的駭客攻擊動機

Linux 指令操作

會在實戰當中運用很多 Command Line 指令，所以一些常見的指令要會。

推薦：鳥哥的 Linux 私房菜，當作工具書使用，也就是有需要用到再查即可。

之前修過 Unix 課程，課堂中老師推薦的 dywang 呆王老師教材，這份教材我覺得是有架構性的教材，各位可參考使用：Linux 系統、Linux 伺服器。

舉凡，ls, cd, mv, cp, cat, vim 的熟練度、如何使用 ssh 進行連線也該知道 nc 如何使用。

Linux：必學指令清單（2025 新增）

# 檔案與目錄操作
ls, cd, pwd, mkdir, rm, cp, mv, cat, head, tail, less, find, locate

# 文字處理
grep, sed, awk, sort, uniq, wc, cut

# 權限與使用者
chmod, chown, sudo, su, whoami, id

# 網路工具
curl, wget, nc (netcat), ssh, scp, ping, traceroute, netstat, ss

# 系統資訊
ps, top, htop, df, du, free, uname

# 其他實用工具
vim/nano, tar, gzip, base64, xxd, strings

Linux：推薦實戰

熟悉虛擬機器軟體（VirtualBox、VMware）或 Docker
練習用虛擬機安裝作業系統 Ubuntu, Kali Linux 來練習指令
可以使用 Bash on Ubuntu on Windows (WSL) 練習指令
使用 GCP/AWS 免費方案安裝 Ubuntu, Kali Linux 練習
了解實體主機與虛擬空間與虛擬主機的差別

Linux：線上資源

資源名稱	說明	連結
jsLinux	瀏覽器內執行 Linux	https://bellard.org/jslinux/
copy.sh	線上 Linux 模擬器	https://copy.sh/v86/?profile=linux26
webminal	線上 Linux 練習	https://www.webminal.org/register/
linuxcontainers	LXD 線上試用	https://linuxcontainers.org/lxd/try-it/
OverTheWire Bandit	Linux WarGame（強烈推薦）	https://overthewire.org/wargames/bandit/
TryHackMe Linux Fundamentals	互動式 Linux 學習（2025 推薦）	https://tryhackme.com/module/linux-fundamentals
HackTheBox Academy Linux	HTB 官方 Linux 課程	https://academy.hackthebox.com/

Linux：教學方法

設計 Linux 闖關活動，讓學員可以透過 Linux 指令去解題。

Linux：學習檢核點（2025 新增）

能使用基本檔案操作指令（ls, cd, cp, mv, rm）
能使用 grep 搜尋文字內容
能修改檔案權限（chmod）
能使用 ssh 遠端連線
能使用管線（pipe）組合多個指令
能完成 OverTheWire Bandit Level 0-10

Git 指令操作

學習 Git 不僅可以在自己開發專案的時候做到版本控制，了解 add, commit, push, pull 基本 Git 指令，以及透過跟他人協作知道 branch 的使用，更可以自行撰寫一個小工具上傳在 github 或 gitlab 開源給他人使用。

推薦閱讀：連猴子都能懂得 Git 入門指南、為你自己學 Git。

Git：必學指令（2025 新增）

# 基本操作
git init          # 初始化 repo
git clone <url>   # 複製遠端 repo
git status        # 查看狀態
git add <file>    # 加入暫存區
git commit -m ""  # 提交變更
git push          # 推送到遠端
git pull          # 拉取遠端更新

# 分支操作
git branch        # 列出分支
git checkout -b   # 建立並切換分支
git merge         # 合併分支

# 資安相關
git log           # 查看歷史紀錄（可能洩漏敏感資訊）
git diff          # 比較差異

Git：推薦實戰

安裝 git 在自己的主機
使用 github-pages 架設自己個人網頁
在 github 跟他人合作專案

Git：線上資源

資源名稱	說明	連結
Git 練習場	互動式 Git 學習	https://gitbook.tw/playground
Learn Git Branching	視覺化學習 Git 分支	https://learngitbranching.js.org/?locale=zh_TW
GitHub Skills	GitHub 官方學習資源（2025 推薦）	https://skills.github.com/

Git：教學方法

設計 git 使用情境，引導學員學習 git。

Git：學習檢核點（2025 新增）

能建立並 clone 一個 repository
能完成 add → commit → push 流程
能建立和切換 branch
理解 .gitignore 的用途
了解 Git 在資安中可能造成的資訊洩漏風險

網路概論

了解網路的運作方法對資安入門有一定的幫助，在 TCP/IP 中常見的協定有哪些，而這些協定做了什麼事情，可以從了解我們在訪問網站究竟背後的運作原理有哪些，從封包跟 Request 與 Response 到 DNS、Domain 是什麼，HTTP 的 Header、Method、Status code 到 HTTPS 摸清楚這些原理。

常見名詞：IP, PORT, TCP, UDP

網路概論：核心知識點（2025 新增）

OSI 七層模型 vs TCP/IP 四層模型

┌─────────────────┬─────────────────┐
│   OSI 七層      │   TCP/IP 四層    │
├─────────────────┼─────────────────┤
│ 7. 應用層       │                 │
│ 6. 表現層       │ 4. 應用層       │
│ 5. 會議層       │                 │
├─────────────────┼─────────────────┤
│ 4. 傳輸層       │ 3. 傳輸層       │
├─────────────────┼─────────────────┤
│ 3. 網路層       │ 2. 網際網路層   │
├─────────────────┼─────────────────┤
│ 2. 資料連結層   │ 1. 網路存取層   │
│ 1. 實體層       │                 │
└─────────────────┴─────────────────┘

網路概論：必懂名詞

名詞	說明
IP Address	網路上設備的地址
Port	服務的端口號（如 80=HTTP, 443=HTTPS）
TCP	可靠的傳輸協定（三向交握）
UDP	快速但不可靠的傳輸協定
DNS	將網域名稱轉換為 IP
HTTP/HTTPS	網頁傳輸協定
TLS/SSL	加密傳輸協定

網概：推薦實戰

使用開發者工具查看封包內容
使用 curl 指令了解如何該指令的各參數
能簡單說明網路七大層
使用 Wireshark 抓封包分析

網概：線上資源

資源名稱	說明	連結
HTTP 概論	TutorialsPoint HTTP 教學	https://www.tutorialspoint.com/http/
HTTP 規範	官方 HTTP 規格文件	https://httpwg.org/specs/
httpbin	HTTP 請求與回應練習	https://httpbin.org/
Lidemy HTTP Challenge	HTTP 闖關遊戲	https://lidemy-http-challenge.herokuapp.com/start
TryHackMe Network Fundamentals	網路基礎互動課程（2025 推薦）	https://tryhackme.com/module/network-fundamentals
Wireshark 官方教學	封包分析學習	https://www.wireshark.org/docs/

網概：教學方法

設計 HTTP 闘關遊戲，可針對 HTTP、封包、DNS 進行設計，初學者可先練習使用開發者工具，推薦 Firefox 瀏覽器，可「編輯並重新傳送封包」。再練習 curl 的使用方式。

網概：學習檢核點（2025 新增）

能說明 OSI 七層模型或 TCP/IP 四層模型
能解釋 TCP 三向交握過程
能使用開發者工具查看 HTTP Request/Response
能使用 curl 發送各種 HTTP 請求
理解 HTTP 與 HTTPS 的差異
能解釋 DNS 查詢流程

WEB 網站基礎

以 Web 網站安全為基礎，就要了解網站的架構有哪些，所以可以從前端、後端、API 去深入了解他們之間的差別。

前端（HTML, CSS, Javascript）：BOM vs DOM
後端程式語言（範疇太多這裡不列舉）
資料庫（MySQL, PostgreSQL…）：資料庫查詢語言必學、雜湊 vs 加密
伺服器軟體（Apache HTTP Server、Microsoft IIS、Nginx）
常見名詞：Session, Cookie, 同源政策(Same-origin policy), 跨來源資源共用（CORS）, Cache, 框架, 函式庫, DOM, URL 編碼

網站架構圖解（2025 新增）

使用者瀏覽器                     伺服器端
┌──────────────┐              ┌──────────────────────────────┐
│              │   HTTP/S     │  ┌─────────┐                 │
│   前端       │ ──────────→  │  │  Web    │  ┌──────────┐   │
│  HTML/CSS/JS │              │  │ Server  │→ │ 後端程式 │   │
│              │ ←──────────  │  │ (Nginx) │  │ (PHP/Go) │   │
│              │   Response   │  └─────────┘  └────┬─────┘   │
└──────────────┘              │                    ↓         │
                              │              ┌──────────┐    │
                              │              │  資料庫  │    │
                              │              │ (MySQL)  │    │
                              │              └──────────┘    │
                              └──────────────────────────────┘

網站：推薦實戰

學習寫一個網站（不管後端用什麼程式語言）
學習操作資料庫（Select、Insert、Delete、Update）
了解開發網站的流程
理解前後端分離架構
認識 RESTful API

網站：線上資源

資源名稱	說明	連結
SQLBolt	練習操作資料庫	https://sqlbolt.com/
MDN Web 入門	Mozilla 官方 Web 教學	https://developer.mozilla.org/zh-TW/docs/Learn/Getting_started_with_the_web
freeCodeCamp	免費完整 Web 開發課程（2025 推薦）	https://www.freecodecamp.org/
The Odin Project	完整 Web 開發學習路徑	https://www.theodinproject.com/

網站：教學方法

可帶領學員熟悉任一後端程式語言，並由程式語言製作網站，可使用網站框架建立網架的架構，也可透過原生 PHP 了解後端程式語言的特性。

網站：學習檢核點（2025 新增）

能寫基本的 HTML/CSS 網頁
理解 JavaScript 在網頁中的角色
能執行基本的 SQL 查詢（CRUD）
理解 Cookie 與 Session 的差異
理解同源政策（Same-Origin Policy）
能架設一個簡單的動態網站

Web 網站安全漏洞/弱點

常見的網站安全漏洞，以 OWASP TOP 10 為例，可先認識 OWASP TOP 10 的內容，了解弱點的漏洞原理、駭客利用手法、修補方式。

OWASP Top 10 2021（2025 更新說明）

排名	漏洞類型	說明
A01	Broken Access Control	存取控制失效
A02	Cryptographic Failures	加密機制失效
A03	Injection	注入攻擊（SQL、XSS、Command）
A04	Insecure Design	不安全的設計
A05	Security Misconfiguration	安全設定錯誤
A06	Vulnerable Components	使用有漏洞的元件
A07	Authentication Failures	身分驗證失效
A08	Software and Data Integrity Failures	軟體及資料完整性失效
A09	Security Logging and Monitoring Failures	安全記錄及監控失效
A10	Server-Side Request Forgery (SSRF)	伺服器端請求偽造

漏洞分類整理

注入型弱點
– XSS（Cross-Site Scripting）
– SQL Injection
– Command Injection
– Code Injection / Local File Inclusion (LFI)
– Template Injection

Session 相關弱點
– Session 劫持（Session Hijacking）
– Session 固定（Session Fixation）

前端相關弱點
– CSRF（Cross-Site Request Forgery）
– 點擊劫持（Clickjacking）
– DOM-based XSS

進階弱點
– SSRF（Server-Side Request Forgery）
– XXE（XML External Entity）
– Insecure Deserialization
– WebSockets 安全問題

網站漏洞：線上資源

資源名稱	說明	連結
HackThisSite	WarGame 始祖	https://www.hackthissite.org/
高手過招	經典台灣 WarGame	https://www.csie.ntu.edu.tw/~b94102/game/game.htm
OverTheWire Natas	Web WarGame	https://overthewire.org/wargames/natas/
PortSwigger Web Security Academy	Burp Suite 官方教學（強烈推薦）	https://portswigger.net/web-security
PentesterLab Bootcamp	滲透測試學習路徑	https://www.pentesterlab.com/bootcamp
Hacksplaining	漏洞動畫解說	https://www.hacksplaining.com/owasp
TryHackMe Web Fundamentals	互動式 Web 安全學習（2025 推薦）	https://tryhackme.com/path/outline/web
HackTheBox Academy	HTB 官方課程	https://academy.hackthebox.com/
DVWA	經典漏洞練習環境	https://github.com/digininja/DVWA
bWAPP	超過 100 種漏洞的練習環境	http://www.itsecgames.com/
OWASP WebGoat	OWASP 官方練習平台	https://owasp.org/www-project-webgoat/

網站漏洞：教學方法

每一個漏洞深入探討原理與漏洞應用，並透過演練讓學員更了解原理。

網站漏洞：學習檢核點（2025 新增）

能說明 OWASP Top 10 的主要漏洞類型
能手動執行基本的 SQL Injection
能識別並利用 XSS 漏洞
理解 CSRF 攻擊原理與防禦方式
能使用 Burp Suite 攔截並修改封包
完成 PortSwigger Web Security Academy 至少一個完整主題

常見的漏洞例子

我們可以透過 HITCON ZeroDay 看台灣網站常見的漏洞有哪些，也可以透過自己的能力試著回報漏洞。或是透過 Bug Bounty Programs 去檢測上面可以合法檢測的目標，並獲得雄厚的獎金。

HITCON ZeroDay
HackerOne Bug Bounty Programs
Bugcrowd（2025 新增）
Intigriti（2025 新增）

練習平台總整理（2025 新增）

寫在以下的進階技術之前的線上練習平台：

平台名稱	難度	費用	特色
TryHackMe	初學者友善	免費/付費	引導式學習、適合新手
HackTheBox	中高難度	免費/付費	實戰導向、接近真實環境
Vulnhub	各種難度	免費	下載靶機本地練習
PentesterLab	循序漸進	付費	系統化學習路徑
PortSwigger Academy	Web 專精	免費	Web 安全最完整資源
PicoCTF	CTF 入門	免費	適合學生、題目友善
Root Me	各種難度	免費	題目多元

平台選擇建議

完全新手 → TryHackMe (Pre Security → Complete Beginner)
    ↓
有基礎   → PortSwigger Web Security Academy
    ↓
想實戰   → HackTheBox (Starting Point → Easy 靶機)
    ↓
進階     → HackTheBox (Medium/Hard) + Bug Bounty

Linux 提權

SUID/SGID 原理
常見的提權手法：sudo、cron job、history
Kernel exploit
PATH 環境變數利用

Linux 提權：線上資源

資源名稱	說明	連結
PayloadsAllTheThings	Linux 提權技巧大全	https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Linux%20-%20Privilege%20Escalation.md
HackTricks	滲透測試技巧百科	https://book.hacktricks.xyz/linux-unix/privilege-escalation
GTFOBins	SUID/sudo 可利用程式清單	https://gtfobins.github.io/
TryHackMe Linux PrivEsc	互動式提權練習（2025 推薦）	https://tryhackme.com/room/linuxprivesc

Linux 提權：常用工具（2025 新增）

# 自動化枚舉腳本
LinPEAS    - https://github.com/carlospolop/PEASS-ng
LinEnum    - https://github.com/rebootuser/LinEnum
Linux Exploit Suggester - https://github.com/mzet-/linux-exploit-suggester

Linux 提權：學習檢核點（2025 新增）

理解 SUID/SGID 的原理
能使用 LinPEAS 進行自動化枚舉
能利用 sudo 設定不當進行提權
能利用 cron job 進行提權
完成至少 5 台 TryHackMe/HTB Linux 靶機

Windows 基礎

學習 Windows AD 之前，要先了解 Windows 的基礎知識。

了解 Windows 作業系統
Windows 歷史
Windows 介面
Windows File System，如：New Technology File System (NTFS)
Windows 資料夾（%windir%）與 System32 資料夾
使用者帳號、設定與權限 lusrmgr.msc

Windows 基礎：2025 新增資源

資源名稱	說明	連結
TryHackMe Windows Fundamentals	Windows 基礎互動課程	https://tryhackme.com/module/windows-fundamentals
HackTricks Windows	Windows 滲透技巧	https://book.hacktricks.xyz/windows-hardening

Windows AD

為什麼企業要使用 AD
Domain Controllers
Forests：AD 的架構
Trees：AD 使用的層次結構
Domains：針對使用者、群組進行管理
Object：Users、Groups
Trusts：允許使用者在 domain 底下有權限瀏覽資源
Domain Services：DNS 伺服器、LLMNR、IPv6

Windows AD：線上資源

資源名稱	說明	連結
vulnerable-AD	自建 AD 漏洞環境	https://github.com/WazeHell/vulnerable-AD
TryHackMe AD 系列	AD 攻擊互動課程（2025 推薦）	https://tryhackme.com/module/hacking-active-directory
GOAD	Game of Active Directory 練習環境	https://github.com/Orange-Cyberdefense/GOAD
AD Security	AD 安全專業資源	https://adsecurity.org/

Windows AD：常見攻擊手法（2025 新增）

Kerberoasting
AS-REP Roasting
Pass-the-Hash
Pass-the-Ticket
Golden Ticket
DCSync
BloodHound 枚舉

滲透測試流程

了解滲透測試跟弱點掃描的差別，深度了解滲透測試的流程與報告寫法。

滲透測試流程圖（2025 新增）

┌─────────────────────────────────────────────────────────────────┐
│                       滲透測試流程                               │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  1. 前期準備        2. 資訊收集        3. 漏洞分析              │
│  ┌──────────┐      ┌──────────┐      ┌──────────┐              │
│  │ 範圍確認 │  →   │  Recon   │  →   │ 弱點掃描 │              │
│  │ 規則約定 │      │ OSINT    │      │ 漏洞驗證 │              │
│  └──────────┘      └──────────┘      └──────────┘              │
│                                            ↓                    │
│  6. 報告撰寫        5. 後滲透          4. 漏洞利用              │
│  ┌──────────┐      ┌──────────┐      ┌──────────┐              │
│  │ 整理發現 │  ←   │ 權限維持 │  ←   │ 取得存取 │              │
│  │ 修補建議 │      │ 橫向移動 │      │ 權限提升 │              │
│  └──────────┘      └──────────┘      └──────────┘              │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

PT：線上資源

資源名稱	說明	連結
OWASP WSTG	Web 安全測試指南	https://github.com/OWASP/wstg
PTES	滲透測試執行標準	http://www.pentest-standard.org/
OSCP-like machines	OSCP 風格靶機清單（2025 推薦）	https://docs.google.com/spreadsheets/d/1dwSMIAPIam0PuRBkCiDI88pU3yzrqqHkDtBngUHNCw8/

AI 輔助資安學習（2025 新增）

如何使用 AI 加速學習

用途	說明	注意事項
概念解釋	請 AI 用白話解釋技術概念	要交叉驗證資訊
程式碼解讀	分析 exploit 或腳本的運作原理	注意不要上傳敏感資訊
學習路徑規劃	請 AI 幫你規劃個人化學習計畫	結合自身目標調整
問題排錯	卡關時請 AI 協助分析問題	先自己嘗試思考
筆記整理	請 AI 幫你整理學習筆記	用自己的話重新理解

AI 工具推薦

Claude – 擅長技術解釋與程式碼分析
ChatGPT – 通用型助手
GitHub Copilot – 寫腳本時的好幫手

使用 AI 的正確心態

AI 是輔助工具，不是替代學習
一定要自己動手實作驗證
不要過度依賴，保持獨立思考能力
注意資安敏感資訊不要外洩

學習社群資源（2025 新增）

台灣資安社群

社群名稱	平台	說明
飛飛的資安大圈圈	LINE	即時交流、經驗分享
HITCON	實體/線上	台灣最大資安研討會
TDOH	Discord	資安技術討論
UCCU	Discord	大學資安社群聯盟

國際資安社群

社群名稱	平台	說明
r/netsec	Reddit	網路安全討論
HackTheBox Discord	Discord	HTB 官方社群
TryHackMe Discord	Discord	THM 官方社群
InfoSec Twitter	Twitter/X	追蹤資安專家

證照規劃建議（2025 新增）

依經驗等級推薦

等級	推薦證照	說明
入門	CompTIA Security+	資安基礎概念
入門	eJPT (INE)	入門滲透測試
中階	CEH	道德駭客認證
中階	OSCP	滲透測試實戰（強烈推薦）
進階	OSWE	Web 滲透專精
進階	OSEP	進階滲透與規避

台灣在地證照

iPAS 資訊安全工程師 – 經濟部認證，適合求職
IPAS 資安工程師能力鑑定 – 分為初級與中級

常見問題 FAQ（2025 新增）

Q1: 我完全沒有基礎，應該從哪裡開始？

A: 建議從 TryHackMe 的 Pre Security 路徑開始，它會從最基礎的概念教起，而且是互動式學習，比較不會感到枯燥。

Q2: 我需要先學程式設計嗎？

A: 不一定要先精通程式設計，但建議至少熟悉一種腳本語言（推薦 Python 或 Bash）。在學習過程中會自然而然接觸到程式碼，邊學邊補即可。

Q3: 學資安需要很好的電腦嗎？

A: 入門階段不需要。大部分練習平台都是線上的，只要能跑瀏覽器就行。進階一點需要跑虛擬機時，建議至少 8GB RAM，16GB 更佳。

Q4: 自學可以找到資安工作嗎？

A: 可以，但需要展示你的能力。建議：
– 經營技術部落格記錄學習
– 參加 CTF 比賽累積經驗
– 在 HackTheBox/TryHackMe 取得好成績
– 考取相關證照（如 OSCP）
– 參與 Bug Bounty 累積實戰經驗

Q5: 我應該專精一個領域還是廣泛學習？

A: 建議先廣泛了解各個領域，再選擇一個有興趣的深入鑽研。Web Security 是最好入門的領域，也是就業市場需求較大的方向。

Q6: 學習過程中一直卡關怎麼辦？

A: 這很正常！建議：
1. 先自己嘗試 30 分鐘到 1 小時
2. 善用搜尋引擎查找類似問題
3. 參考官方 Writeup 或 Hint
4. 到社群發問（要說明你試過什麼）
5. 適時休息，換個角度思考

SITCON Q&A TIME

Q&A： 假如要學 pwn 題目相關的知識，有推薦學習的網站或是 wargame

https://github.com/HexRabbit/pwnable101
https://pwn.college/
https://malwareunicorn.org/workshops/re101.html#0
https://github.com/vavkamil/awesome-vulnerable-apps

Q&A： 社團社課靶機應該要設計成題目的方式，還是全弱點的網站

初學者：題目式，透過題目設計讓新手有成就感。
有基礎：設計全弱點網站，課程中帶滲透測試思維。
進階者：限定時間內完成指定靶機，並撰寫滲透測試流程。

總結：新手 30 天學習計畫（2025 新增）

週次	學習重點	目標
Week 1	Linux 基礎	完成 OverTheWire Bandit Level 0-15
Week 2	網路基礎	理解 HTTP、能用 curl 發送請求
Week 3	網站基礎	用任何語言寫一個簡單網站
Week 4	Web 安全入門	完成 PortSwigger Academy SQL Injection 章節

完成這 30 天後，你就具備了繼續深入學習的基礎！

延伸閱讀

最後更新：2025.12.27

如果這篇文章對你有幫助，歡迎分享給更多想入門資安的朋友！