企业官网建设流程全解析

计算机圈子里一直流传着一句话：“没打过CTF，不算真正学过网络安全。”这话虽然有点绝对，但确实能说明CTF在计算机专业里的分量。我当年在大二第一次接触CTF，当时连flag是什么都搞不清楚，稀里糊涂跟着学长报名了校内赛，结果一上来就被一道看似简单的杂项题卡了整整一个晚上。后来真正入了门，才发现CTF解决问题的方式和平时写课程作业完全是两个世界。现在回过头来看，CTF带给我的不仅是一堆获奖证书，而是对整个计算机系统的理解方式、调试代码的耐心、以及在压力下快速学习新东西的能力。

这篇东西适合所有处于迷茫期的计算机相关专业学生，尤其是大一大二还不太确定方向、想知道“学计算机到底能干什么”的人。如果你已经有点基础、想找一条能持续提升自己的路径，CTF更是值得认真投入的方向。我尽量用大白话把CTF是什么、参赛门槛高不高、获奖收益到底有多大、零基础怎么入门讲清楚，把我踩过的坑和路线选择一次说完。

1. CTF到底是什么

很多人第一次听到CTF，以为是某个国际学术会议或者编程竞赛。其实CTF全称是Capture The Flag，直译过来就是“夺旗赛”。它起源于1996年的DEF CON黑客大会，最初是安全从业者之间互相切磋技术的一种游戏化竞赛，后来慢慢发展成全球网络安全领域最主流的技术竞技形式。

比赛的核心逻辑很简单：主办方会部署一系列存在“漏洞”或“机关”的虚拟靶机、加密文件、隐写图片、网络流量包，参赛者需要在规定时间内通过逆向分析、漏洞利用、密码破解、流量审计等手段，从里面找出埋藏的“flag”。flag通常是CTF{...}或者flag{...}格式的字符串，找到之后提交到比赛平台就能得分，分数高者胜出。

你可以把CTF理解成“电子开锁比赛”：主办方把锁做得千奇百怪，参赛者要研究锁芯结构、设计开锁工具、在有限时间内打开尽可能多的锁。比起传统的考试或者编程竞赛，CTF更强调实战对抗、思维突破和知识广度，题目没有标准答案，只有“能不能解出来”这一条硬标准。

1.1 三种主流赛制

CTF发展到现在，赛制主要有三种：解题模式（Jeopardy）、攻防模式（Attack-Defense）和混合模式。

解题模式最常见，也是所有新手最先接触的形式。主办方按题目类型分成Web、Reverse（逆向工程）、Pwn（二进制漏洞利用）、Crypto（密码学）、Misc（杂项）等类别，每个类别下有多道题，难度从签到题到地狱级都有。参赛者自由选题，解出一道提交一个flag，积分实时更新。这种赛制很友好，因为你可以跳过完全不会的类别，先挑擅长的做，而且没有直接对抗压力。

攻防模式就更刺激了，每个队伍会分配若干台需要防守的靶机，同时你的任务不只是守住自己的机器，还要想办法攻破别人的机器拿到对方的flag。这种赛制考验的是综合能力和临场应变，因为你的靶机可能随时被别人打穿，得一边修复漏洞一边打别人，玩起来非常紧张。国内高校举办的CTF赛，很多是这种形式。

混合模式就是把前两者结合，通常先进行解题赛决出晋级队伍，再进行攻防淘汰赛或者AWD（Attack With Defense）赛制，这也是目前国内外主流CTF赛事的通用流程。

1.2 CTF题目特征

CTF题目的最大特点是不按常理出牌。平时写代码，需求文档写得很清楚，输入输出格式固定，跑通就完事了。CTF题目往往故意藏东西，比如一张看起来平平无奇的图片，里面有隐藏文件；一个网页的源代码里藏了注释信息；一个加密字符串的算法和密钥分散在多个文件里。解题人需要像侦探一样收集线索、组合线索，最后才能凑出完整的flag。

另一个特点是知识跨度极大。一道Web题可能涉及SQL注入、XSS、文件上传绕过、反序列化漏洞；一道逆向题可能需要分析一个经过混淆的二进制文件、读懂汇编语言、甚至要写脚本模拟程序逻辑；密码学题则从古典密码到现代公钥体系全都有涉及，而且经常是实际场景中的“改装版”加密方案。这导致CTF选手通常要懂很多领域的知识，而不是只会一两门编程语言。

还有一点很重要：CTF的题目是“设计过的”，答案一定存在，路径一定可走，只是藏得深。这和真实的系统漏洞挖掘不太一样，真实世界的漏洞往往没有清晰的解题路径。但正因为如此，CTF非常适合作为学习安全技术的入口，难度可控、反馈即时、成就感强。

2. 为什么要打CTF

这个问题我每次和学弟学妹聊都会被问到，也是准备打CTF的人最关心的。答案是：CTF带来的收益是多维度的，不只是简历上的一行字，而是对你整个计算机学习路径的优化。

2.1 技术能力的全面提升

CTF对各种计算机基础知识的巩固是惊人的。举个例子，我在打Crypto方向题目之前，虽然学过《离散数学》和《数论基础》，但那些抽象的模运算、欧拉定理、RSA加密原理，都是在课程考试结束后就忘得一干二净了。直到做了一道关于RSA低指数攻击的题目，我才真正理解了公钥加密体系中“参数选择不当会导致系统被攻破”这句话的含义。

再比如Reverse方向的题目，大学里教的C语言课程停留在语法和算法层面，很少会有人带着你反汇编分析一个程序在底层是怎么运行的。CTF逼着你用objdump、IDA Pro、Ghidra这些工具去看汇编代码，理解函数调用约定、栈帧结构、内存对齐这些操作系统和计算机组成原理课程里的抽象概念。说实话，我学《计算机组成原理》的时候云里雾里，后来做了几道Reverse题目，那些寄存器怎么用、栈怎么生长、程序怎么调用函数，突然一下就通了。

Web方向对网络协议的理解更是立竿见影。你亲手用Burp Suite截获一个HTTP请求、篡改Cookie、绕过前端校验，你对HTTP协议、Session机制、同源策略的理解，会远远超过看书背概念的效果。

2.2 就业和升学的硬通货

国内网络安全行业发展非常快，企业对实战型人才的需求巨大。而在没有真实攻击经历的情况下（当然也不允许你有），CTF获奖经历就成了证明安全能力最直接有效的凭证。很多安全方向的校招岗位，HR和面试官看到你有CTF获奖经历，尤其是有省级以上名次，面试重点几乎会落在CTF题目本身，而不是让你背诵安全基础概念。

字节、腾讯、阿里、华为这些大厂的网络安全实验室和安全研究部门，长期从CTF圈子吸纳人才。很多CTF选手在大三暑假实习、大四秋招拿offer的，靠的就是比赛成绩加实战技能。还有一些安全公司专门为CTF选手定制了“绿色通道”，有比赛名次可以直接进面试甚至免笔试。

升学方面，CTF对保研也有帮助。这里说的不是“加分政策”那么简单，而是很多做网络空间安全方向的导师，非常愿意招有CTF经历的本科生进实验室。因为带过研究生的人都知道，安全方向的研究生如果完全没实战基础，单是补逆向分析、漏洞挖掘这些基本功就要花掉一年多时间。有CTF经历的本科生进来就能干活，导师自然愿意优先收。

2.3 思维方式的改造

CTF给人带来的不仅是技术上的收益，更是思维层次的变化。它教你怎么在信息不完整的情况下去做判断、怎么分析一个黑盒系统、怎么在压力下保持逻辑清晰。这种能力不是刷几个LeetCode题能练出来的，迁移到任何技术领域都非常有用。

拿我自己来说，打CTF之前写代码遇到bug，我的习惯是满屏乱加print、来回试，属于典型的“试错流”。打了一段时间CTF之后，我学会了先观察现象、分析输入输出关系、推测可能出问题的模块，再选择关键位置打断点或者构造最小复现用例。这种排查思路上的变化，直接让我在做课程设计和后来实习写业务代码时效率翻倍。

还有一点是搜商和文档阅读能力的提升。CTF题目常常用到你没见过的新框架、新工具，题目又限时，你不可能等系统学完再做。这时候你得快速去读官方文档、看writeup（题解）、上手试错，在最短时间内把一个东西跑起来，这种快速学习能力是职场里极其稀缺的。

3. 参赛门槛到底有多高

“我大二才学会C语言，能打CTF吗？”“我数学不好，适合搞密码学吗？”“我没有专门学过网络安全，会不会被虐得体无完肤？”这些是我被问得最多的问题，也是很多零基础同学迟迟不敢入坑的原因。先说结论：CTF确实有门槛，但这个门槛绝对没有想象中那么高，而且不同方向的门槛差异很大。

3.1 基础知识和技能要求

如果把CTF当作盖房子，你至少需要几样工具：一门编程语言（Python最好，C也够用）、Linux基本操作、计算机网络基础、简单的数学功底。

Python是CTF选手的通用工具，几乎所有方向都会用到。做Web题可能需要写脚本去爆破、做逆向题需要写脚本模拟算法、做密码学题干脆就是写Python调库解题。所以如果你只掌握C语言，不是不行，但会在很多场景里吃亏。好在Python上手很快，语法又简单，一个周末就能把基础过完，完全不用慌。

Linux是CTF的主要战场。大多数题目环境是Linux，比赛平台也是跑在Linux服务器上，常用工具大多数优先支持Linux版本。你至少得会文件操作、权限管理、进程管理、管道和重定向，最好还会用vim。这些不用专门学，装个虚拟机或者WSL，强迫自己在里面待一两周就熟了。

计算机网络知识主要用在Web题和部分杂项题。不需要你把TCP/IP协议栈倒背如流，但是HTTP协议的基本结构、请求方法、状态码、Cookie和Session机制这些得分清楚。再深入一些就是HTTPS的握手流程、DNS解析机制这些，遇到了再补也行。

数学基础主要影响密码学方向。古典密码只需要会基本的模运算和字母频率统计；现代公钥密码则要懂数论，比如欧拉函数、模逆元、中国剩余定理。不过这里面有个好消息：CTF密码学题目的知识密度很高，绝大多数题不需要你从零开始推导数学原理，更多是知道“这种加密方式存在什么弱点”以及“可以用什么现成工具解”。很多数学知识完全可以边打比赛边学，做着做着就懂了。

3.2 时间和心理门槛

CTF真正劝退人的往往不是知识门槛，而是时间和心理门槛。我见过太多人一开始热情高涨，注册了好几个练习平台，买了好几本安全书籍，结果坚持不到一个月就放弃了，原因不外乎两个：解不出题受挫、不知道从哪儿学起。

先说说受挫这件事。几乎所有CTF新手的前几道题都会经历这种感觉：看着writeup觉得“原来这么简单”，关上答案自己再做又完全没思路。这是非常正常的，因为CTF题目的思维模式和应试教育完全不同，需要一段时间来适应。我的经验是，新手期不要追求独立解题，可以大胆看writeup，但要看得“透”：不是把flag抄下来提交就完事了，而要问自己三个问题——这道题考了哪个知识点？我缺了哪块基础知识？如果从头再来，哪个环节是我能自己想到的？这样看十篇writeup，效果比闷头憋二十道题强得多。

再说不知道学什么的问题。CTF题目类别多、方向杂，新手很容易陷入“什么都看一眼，什么都没学会”的状态。我的建议是：先选一个方向死磕三周，把这个方向的基础题吃透，建立信心之后再扩到其他方向。具体选哪个方向，可以参考第三节里的路线建议，总的原则是选你学校里最容易学出成果的方向。

还有一个心理门槛是怕输。CTF比赛高手如云，很多校内赛的队伍里有研究生甚至职业选手，新手第一次参赛拿不到名次太正常了。我自己第一次参加正规CTF的时候，一道题都没解出来，攻防赛还被别的队按在地上摩擦。但这真的没关系，CTF的成长曲线足够陡峭，只要你持续训练，三四个月之后你回头看当初那些解不出的题会轻松很多。

4. 获奖收益深度解析

聊完门槛，接下来是大家都关心的环节：参加CTF到底能拿到什么实实在在的好处。这个部分我分三个层次来讲：看得见的直接收益、看不见的长期收益、以及那些不为人知的隐形收益。

4.1 直接收益盘点

首先是奖金。很多商业CTF赛事设置了相当有吸引力的奖金池。国内有XCTF联赛、强网杯、网鼎杯等知名赛事，奖金从几千到几十万不等。国际上更夸张，DEF CON、HITCON这些顶级赛事的奖金和赞助商礼品相当丰厚。当然，对于新手来说，第一目标不一定是拿大奖，很多线上赛有“一血奖”——第一个解出某道题的人有额外奖励，偶尔能捡个漏。

其次是证书和荣誉。获奖证书在国内部分高校可以用于综合素质测评加分、奖学金评定参考，在部分学校还可以作为保研加分的证明材料。不同学校政策不同，但安全类竞赛的认可度在逐年提高，建议你提前翻一翻学校的推免细则，如果CTF能算加分，那就是实打实的升学筹码。

然后是招聘认可度。这一点前面已经提到过，这里再展开一下。现在越来越多的企业安全团队在校招时把CTF成绩当作“实战能力证明”：你是某场比赛前10%的选手，至少说明你的学习能力、技术热情和动手能力是经过实战检验的。比起吭哧吭哧做几个管理系统项目，CTF成绩的信度要高得多。

4.2 长期收益和隐形价值

除了这些看得见摸得着的收益，CTF长期价值体现在它给你塑造的技术圈子和个人品牌。

比赛过程中你会认识很多志同道合的人，这些人以后可能成为你的队友、同事、创业伙伴，甚至内推你进大厂的贵人。CTF圈子的氛围非常纯粹，大家讨论的是技术本身，不会藏着掖着。你加一个CTF交流群，提一个新手问题，往往有人愿意耐心解答，甚至手把手带你操作。这种圈子在中国职场中是非常宝贵的资本。

个人品牌也很好理解。如果你在某场比赛里解出了高难度题目，或者在某次比赛里表现亮眼，你的名字会在圈子里传开。国内很多CTF选手有个人技术博客，积累一定名气之后，会有出版社找你出书、技术社区找你做分享、猎头找你聊岗位。这种影响力用好了，是远超一张奖状的长期资产。

还有一类收益容易被忽略：知识体系的完整性和复用性。CTF涉及的知识点虽然以安全为核心，但会带动你把整个计算机基础课串起来——操作系统、计算机网络、组成原理、数据结构、数据库，全都有涉猎。我自己最大的感受是，打了一年CTF之后，学校的专业课程变得“有血有肉”了。以前听老师讲虚拟内存、讲页表，总觉得抽象，但在CTF里自己分析过栈溢出、弄明白过缓冲区布局之后，回头再看这些课程内容，完全就是两个体验。

5. 零基础入门路线规划

如果你看完前面内容，已经下定决心开始打CTF，那么这一部分是整篇文章里最需要反复看的。我按阶段梳理了一条从零基础到能独立参赛的路线，每一步都尽量给出可执行的动作和参考资源。

5.1 第一阶段：打牢地基

时间建议：2到4周。

这个阶段的目标是补齐CTF需要的基本功：Python编程、Linux操作、网络基础和常用工具链。不需要精通，但要做到熟练。

Python方面，我推荐直接做《Python编程：从入门到实践》的前半部分，或者看菜鸟教程的Python3基础语法。重点掌握这些内容：变量和数据类型、条件判断、循环、函数、文件读写、字符串处理、列表和字典、正则表达式。这些足够覆盖CTF解题中90%的脚本需求。不要贪多，面向对象、多线程这些后面用到再学。

Linux方面，装一个Ubuntu虚拟机或者开WSL，强迫自己把日常的文件操作都在命令行里完成。重点练习这些命令：cd、ls、cat、grep、find、chmod、ps、kill、tar、vim/nano、ssh、netstat。有空再了解一下管道（|）和重定向（>、>>），这些在写解谜脚本的时候配合Python会很方便。

网络基础方面，找一本《图解HTTP》快速过一遍，重点理解HTTP请求和响应的结构、常见的请求方法（GET、POST等）、状态码的意义、Cookie和Session机制。如果想往Web方向深挖，还可以再看一下Burp Suite这个工具的基础用法，后面做Web题基本离不开它。

这个阶段还有一个任务：注册好CTF练习平台账号。国内最推荐的是CTFShow和BUUCTF，前者有很多新手友好的入门题，适合零基础过渡；后者题库量大，覆盖各种难度的经典题目。国际平台上，PicoCTF非常适合初学者，它有完整的入门教程和分类练习，而且完全免费。还有CTFd这个平台，很多高校自行搭建的校赛都用它，你多逛逛也能看到不少有趣的题目。

5.2 第二阶段：选定主攻方向

时间建议：4到8周。

很多新手都会纠结先学哪个方向。我的建议是：不要贪多，先选一个主攻、一个副攻。主攻方向决定了你接下来的核心训练内容，副攻方向作为调剂和兜底。

怎么选？结合你自己的基础。如果你Web前后端的东西接触过一点，HTTP协议有感觉，那Web方向最合适。Web题的入门曲线相对平缓，很多题是考察逻辑漏洞和配置问题，不需要太深的底层知识，初期正反馈比较快。如果你C语言写得不错，对操作系统有一定理解，那可以考虑逆向（Reverse）和Pwn方向，这两个方向偏底层，入门难度高一些，但天花板也更高，技术含量最足，在面试时最有说服力。如果你数学好，尤其是对数论、代数有感觉，密码学方向会非常适合你，而且密码学题目在比赛里的分值通常较高、做出来一题顶好几题。如果前面说的这些都不太对口，那就安心选杂项（Misc）方向。杂项涵盖隐写术、流量分析、编码转换、社工等等，题目五花八门，对综合知识储备要求高，但单项难度通常不会太深，用来入门建立信心最合适。

选定方向之后，针对性去刷题。比如选了Web，就先从SQL注入开始刷，把联合查询注入、盲注、报错注入全部过一遍，再去学XSS、文件上传、命令执行等。每做完一道题，一定要整理writeup，写清楚自己的解法和踩坑点。这里有个习惯非常推荐：建一个自己的知识库，把遇到的工具、命令、代码模板都存下来，最好用Markdown维护，后面复习翻找会方便很多。

5.3 第三阶段：赛事实战与复盘

时间建议：持续进行。

基础知识和技术方向有了之后，就可以开始参加真实的比赛了。不用怕成绩差，第一、二次比赛的目标不是拿奖，而是体验比赛的节奏、找到自己的短板。

报名渠道方面，关注这些信息源就不会错过比赛：各大高校CTF战队（比如清华的Blue-Lotus、复旦的六轴、上海交大的0ops等）的公开宣传、XCTF联赛官网、各类安全社区和公众号。国内每年有大量线上赛是免费开放的，新手完全可以零成本参加。国际比赛还有HackTheBox、TryHackMe这些以训练为主的平台，注册以后就能进入模拟的靶机环境练习，比打比赛节奏更从容。

比赛结束后最重要的动作是复盘。我的习惯是比赛后48小时内，把所有做出来的题目的解法重新过一遍，把没做出来的题按writeup认真分析一遍，并记录“如果再来一次，我会在哪里卡住”。这样每打一场比赛，你会明显感觉到自己有几个知识盲区被暴露了，后续针对性补齐，这个循环跑起来之后成长速度会非常快。

5.4 团队组队建议

CTF是团队作战，绝大多数比赛是3到4人一组。想要在团队赛里有所作为，你需要的不只是个人技术，还有团队配合。

组队时，尽量让队员之间的方向错开：一人主攻Web、一人主攻Pwn/Reverse、一人主攻Crypto/Misc，再有一个“全能型”选手做兜底和协调。比赛时大家各自推进自己的方向，遇到瓶颈时互相讨论，而不是五个人挤在一道题上。大部分CTF题目是有“一血奖励”的，不同方向同时推进，能最大概率拿到这类分数。

如果你是零基础刚开始玩，可以先在学校里找个CTF社团或者安全兴趣小组加入，跟着老队员学。很多学校的CTF战队不需要考核，直接招新，你只要有一个学习态度就行。加入战队还有一个好处：校队通常有固定的训练安排、内部讲座和历年比赛的题解积累，这种资源比自己单打独斗强太多了。

6. 常见问题与避坑实录

写到这里，把我这些年见过的新手最容易踩的坑集中梳理一下。有些坑我自己踩过，有些是带新人的时候反复看到的。你如果都能避开，入门速度至少快一半。

6.1 新手最常犯的六个错误

错误一：只看writeup不亲手操作。这个坑的杀伤力最大。看writeup会有一种“我也会了”的错觉，但真正合上答案自己做，你会发现连环境都搭不起来。正确做法是拿到题目之后，哪怕完全没思路，也要先自己动手：把题目文件下载下来，file命令看看是什么类型，strings命令扫一遍有没有可疑字符串，binwalk看有没有隐藏文件。动手之后你才会发现“原来卡在这里”。

错误二：没有方向地乱刷题。今天做一道Web题，明天做一道逆向题，后天又看到密码学的writeup心痒痒。这种刷题方式效率极低，因为每个方向的知识体系都是环环相扣的，浅尝辄止等于没学。选定一个主攻方向，把基础题刷穿，再考虑横向扩展。

错误三：忽视总结和笔记。CTF题目的解法很灵活，同一个技巧可能在不同题目里反复出现。如果不做笔记，下次遇到同一个考点，你还是会卡壳。强烈建议维护一份自己的“解题手册”，按类别记录常用的工具、命令和套路，比赛前翻一翻，效果非常好。

错误四：比赛时死磕一道题。很多新手比赛时容易钻牛角尖，在一道题上卡了两小时不放手，结果其他能拿的分全都丢了。CTF比赛是限时的，正确策略是先扫一遍所有题目，把最容易的题全部拿下，再回头处理有思路但需要时间的题，实在卡住就先放下，过段时间换个角度再来看，往往能豁然开朗。

错误五：忽略比赛规则和flag格式。这类失误最可惜。每个比赛都有特定的flag提交格式和计分规则，有的比赛还要求截图或者写解题报告。不看规则就冲进去打，可能会因为格式错误而白白丢分，或者因为漏交报告被取消成绩。

错误六：把安全技术用在授权范围之外。这个必须郑重提醒：CTF中的攻防技术，只能在比赛环境或你自己搭建的实验环境中使用。不要拿学到的技术去攻击任何未授权的系统，这不仅是学术道德问题，更是法律红线。真正的安全从业者，第一课学的不是攻击技巧，而是边界意识。

6.2 时间管理和比赛策略

很多在校生担心打CTF会影响课业，这个担心合理，但处理好了反而能互相促进。我的经验是，把CTF学习当作专业课的延伸来对待：数据结构课上学到的算法，可能在杂项题里用来写脚本解谜；操作系统课上学到的进程管理，可能在Pwn题里用来理解漏洞利用的上下文。把这层联系建立起来，你就不会觉得打CTF是“不务正业”了。

时间分配上，我建议在校期间每周投入10到15小时打CTF，也就是每天1到2小时加周末一个半天。这个强度基本不影响课业，也能保证训练效果。寒暑假再加大强度，集中突击一到两个方向，成长速度会有质的飞跃。比赛策略上，第一次比赛不要想名次，把目标定为“至少解出一题”或者“每道题都留下尝试痕迹”。这样的目标容易实现，能给你正向反馈。等到你已经有能力进入得分区了，再逐步提高目标。

6.3 工具链和资源清单

最后整理一份我平时用得最多的工具和资源清单，新手照着这个清单搭建环境就够用了，后面按需扩展即可。

工具方面，虚拟机环境用VMware或者VirtualBox，配上Kali Linux系统，里面预装了大部分常用安全工具。Web方向必备Burp Suite（HTTP抓包改包工具）。逆向方向必备IDA Pro或Ghidra（反编译工具）、gdb（动态调试器）、010 Editor（十六进制编辑器）。密码学方向主要靠Python的pycryptodome库、z3约束求解器，以及网站CyberChef和dcode.fr，前者是个百宝箱式的编码解码工具，后者有大量密码学常用计算器。杂项方向最常用的是binwalk（文件分离）、strings（字符串提取）、Wireshark（流量分析）、Stegsolve（图片隐写查看器）。

练习平台方面，前面提到过的CTFShow、BUUCTF、PicoCTF都是很好的起点。进阶的话，可以关注HackTheBox和TryHackMe这两个偏实战的平台。国际顶级CTF赛事的历年真题PDF和writeup，也能在GitHub上找到大量仓库，比如有名的CTF-Writeups集合。建议把两三个平台的用户名和密码固定下来，形成日常打卡的习惯，训练量上去了，水平自然就上去了。

最后想跟大家分享一个我在CTF里悟出来的道理：这个比赛表面上考的是技术，实际上考的是你面对未知和不确定性时能不能稳得住心态、拆解得下去问题。很多所谓的天才选手，背后只是“遇到问题不跑、愿意一层层剥洋葱”的普通人。你只要沉下心来打上三四个月，一定会看到自己在技术和思维两个层面发生明显变化。如果你看完这篇文章决定入坑，欢迎来安全圈里找我玩。