学生党想做安全工程师，我踩完坑后推荐这几条路线

先说下背景，我是双非本科信息安全专业，大三暑假进乙方做渗透测试实习，毕业后转甲方做安全运营。这几年带过几个学弟学妹，也帮人改过简历，发现学生党问得最多的就是三个问题：学什么、考什么证、买什么书。今天把真实体验写一下，能省的钱和时间尽量帮你们省掉。

先别急着考证，先分清岗位

很多人把"安全工程师"当成一个整体，其实招聘软件上刷一圈就明白了，同一个title干的事差得远。

• 渗透测试／红队：打点、拿权限、写报告，Web和网络基础要扎实，加班和出差都多
• 安全运营／蓝队：看告警、写检测规则、做应急响应，门槛相对低，适合第一份工作练手
• 安全研发：写扫描器、做SDL、搞WAF，本质是程序员，会Java或Go更吃香
• 合规／数据安全：偏流程和文档，技术深度要求低，但得懂等保和个保法
• 安全售前：一半技术一半沟通，性格外向的人反而更占优势

我的判断是，学生阶段先冲渗透或者安全研发，这两个方向简历上容易写出实打实的东西。安全运营可以当毕业后的缓冲，但别进去一躺就是三年，技术会废掉。

学生党真正值得投的钱和时间

靶场从DVWA和Pikachu起步，装个虚拟机就能跑，成本零。之后去攻防世界和CTFtime上找比赛打，我第一次打CTF是大二，一道Web题卡了整整两天，但SQL注入的手工注入从那以后就彻底通了。HackTheBox和VulnHub适合练单机，HTB的VIP一个月十几美元，学生可以拼车，也可以蹲学校实验室的共享账号。书的话，我推荐《Web安全深度剖析》和《白帽子讲Web安全》打底，别一上来就啃《黑客攻防技术宝典》，容易劝退。工具先把Burp Suite社区版、Nmap、sqlmap、Wireshark玩熟，社区版对学生完全够用。

证书这块说句实话，别被培训机构忽悠。OSCP含金量确实高，但报名加实验环境一套下来一万多人民币，还需要一定实战底子，大一大二去考基本是送钱。CISP-PTE的培训费也不便宜，很多校招面试官根本不看。性价比高的反而是NISP一级，学生价几百块；英语过得去的可以考CompTIA Security+，一千出头，用来过简历初筛足够了。

实习和简历比证书重要十倍

我见过太多简历写着"熟悉渗透测试"，一问CSRF和SSRF的区别就答不上来。校招面试官一天看几百份简历，你是背的还是真做过，聊三分钟就露馅。建议大二暑假就开始找实习，哪怕是小公司、哪怕一天只给一百五，能碰真实项目就比在家刷视频强得多。

简历上写项目，别只写"完成渗透测试"这五个字。写清楚你测的是什么类型的站、用了哪些手法、拿到什么权限、报告多少页、修复建议提了几条。有条件开个博客，把复现过程写成文章，我认识一个学弟就是靠博客被内推进去的。GitHub上放一两个自己写的小工具，哪怕是批量检测脚本，也比空白账号好看得多。说句不太好听的，这行没网上吹得那么光鲜，一线城市起薪大多在8到13k，乙方出差是常态。但如果你真喜欢挖洞那种感觉，值得干。别一上来就盯着年薪三十万，先把一个方向做扎实，饭碗自然就有了。