企业官网建设流程全解析

🔒免责声明：本文仅用于网络安全学习、蓝队应急演练，未经企业书面授权，禁止对生产域环境执行日志审计、测试操作，未授权操作属于违法行为。文中 PowerShell 脚本、日志分析逻辑仅供安全事件处置参考，生产环境操作前务必备份 evtx 原始日志文件，避免证据丢失。

摘要
很多蓝队运维人员在处置域安全事件时，只会看简单登录失败日志，面对 Kerberoasting（烤土豆）、Pass‑the‑Hash 哈希传递这类内存层面凭据窃取攻击束手无策。这两类攻击最大特点：无恶意落地文件，杀毒软件很难捕获，全部痕迹留存于 Windows 安全事件日志中。

网上很多资料只罗列事件 ID，却很少讲日志关键字段、正常业务误报区分、日志过滤脚本、真实攻防场景下的日志样本对比。本文从底层认证流程入手，完整拆解 Kerberoasting、PtH 哈希传递攻击产生的全部 Windows 事件日志；详细解读 4624、4768、4769 核心事件每个关键字段含义；提供可直接复制的 PowerShell 日志检索脚本；区分正常业务日志和恶意攻击日志；同时补充 AS‑REP Roasting、黄金票据关联日志特征、日志审计策略配置、SIEM 告警编写思路、实战踩坑；帮助安全分析师看懂域控日志，从海量日志中精准揪出凭据窃取攻击行为。

MITRE‑ATT&CK 映射：T1558.001 Kerberoasting，T1558.004 AS‑REP Roasting，T1550.002 Pass‑the‑Hash 哈希传递，TA0006 凭据访问，TA0008 横向移动。

1. 前言：为什么域日志分析是蓝队核心能力

在域渗透红队实战中，Kerberoasting、PtH 哈希传递是内网最经典凭据窃取与横向移动手段。

• Kerberoasting：普通域用户权限即可发起，请求服务账号 TGS 票据，拿到 RC4 加密票据后离线爆破，拿到服务账号明文密码，经常作为域提权入口点Microsoft …。
• PtH 哈希传递：拿到账号 NTLM 哈希，不需要明文密码，直接完成 NTLM 认证，实现内网横向移动，整个过程全部在内存完成，不会生成任何磁盘恶意文件。

现实中很多企业现状：

1. 只开启基础安全审核，没有开启 Kerberos 相关高级审计，关键日志直接缺失；
2. 安全人员只看登录失败 4625，忽略登录成功事件；大量攻击全部是登录成功日志，不会产生失败日志；
3. 拿到 evtx 日志只会图形界面点点鼠标筛选，不会解析 XML 字段，漏掉关键信息；
4. 分不清业务正常日志和攻击日志，告警满天飞，大量误报，真正攻击被淹没；
5. 多域控环境，只采集一台域控日志，攻击发生在另外一台域控，完全看不到痕迹。

重要认知：这两类攻击不会产生登录失败日志，全部是成功事件，想要发现攻击，重点分析登录成功事件 4624、Kerberos 票据请求 4769。

2.Windows 域安全日志基础：必须开启的高级审核策略

如果高级审核策略没有配置，即使发生攻击，也不会生成 4768、4769 日志，拿到日志也无法分析。

注意：默认 Windows 域控制器部分 Kerberos 审计没有完全开启，需要手动配置高级审核策略。

组策略路径：计算机配置→安全设置→高级审核策略配置

需要启用的审核子类别：

命令查看本机高级审核策略配置：

auditpol /get /category:*

日志导出说明：取证分析务必导出原始.evtx文件，不要复制文本。文本导出会丢失 XML 扩展字段，而判断攻击的关键字段全部存放在事件 XML 的 Properties 属性中。
导出 evtx 原始日志命令：

wevtutil epl Security C:\forensic\DC_Security.evtx

3. 核心事件 ID 总览，字段详细释义

3.1 4768：Kerberos TGT 票据请求

客户端向 KDC 请求 TGT 票据。正常用户登录域会产生。
关键字段：

• Client Address：请求源 IP
• Ticket Encryption Type：票据加密类型；0x17=RC4‑HMAC；0x12=AES256；0x11=AES128Microsoft …
• Pre‑Authentication Type：预认证类型；0 代表没有预认证，AS‑REP‑Roasting 攻击特征

3.2 4769：Kerberos TGS 服务票据请求【Kerberoasting 攻击核心日志】

客户端拿着 TGT，向 KDC 请求访问某服务的 TGS 票据。Kerberoasting 攻击每请求一个 SPN，就会产生一条 4769Microsoft …。
关键字段：

• Client Address：攻击源 IP 地址
• Client Name：发起票据请求的账号（普通域用户账号）
• Service Name：目标 SPN 服务名称（例如 MSSQLSVC/sql01.test.local:1433）
• Ticket Encryption Type：最关键字段，0x17 代表 RC4‑HMAC 加密，Kerberoasting 工具强制请求 RC4 票据用于离线爆破

重点：攻击者执行 Kerberoasting，会短时间内，同一个源 IP、同一个账号，批量请求大量不同 Service Name，并且加密类型大量为 0x17 RC4。

3.3 4624：账号登录成功【PtH 哈希传递核心日志】

登录成功事件，PtH、WMI、SMB、RDP 都会生成该事件。
关键 XML 字段：

• LogonType：登录类型；3 代表网络登录（SMB/WMI/ 哈希传递横向移动绝大多数为登录类型 3）
• AuthenticationPackageName：认证包名称；NTLM代表 NTLM 认证；Kerberos代表 Kerberos 认证
• IpAddress：登录源 IP 地址
• TargetUserName：被登录访问的账号

PtH 攻击特征组合：LogonType=3+AuthenticationPackageName=NTLM，高权限账号来自异常源 IP 发起网络登录。

3.4 4771：Kerberos 预认证失败

Kerberos 预认证校验失败，密码错误会产生，AS‑REP Roasting 一般不会产生 4771，注意区分。

4.Kerberoasting 攻击日志深度解析

4.1 Kerberoasting 攻击原理回顾

1. 攻击者拿到普通域域内任意一个普通域用户权限；
2. LDAP 查询域内所有注册 SPN 的服务账号；
3. 向 KDC 发送 TGS‑REQ，请求各个 SPN 对应的服务票据，工具会优先强制请求 RC4‑HMAC (0x17) 加密的 TGS 票据；
4. KDC 返回 TGS 票据，票据使用服务账号 NTLM 哈希加密；
5. 攻击者拿到 TGS 票据，本地离线暴力破解，获取服务账号明文密码。

关键点：整个攻击流程不需要任何管理员权限，普通域用户就可以执行；攻击行为全部发生在向域控 KDC 请求票据，痕迹全部保存在域控安全日志 4769 事件中Microsoft …。

4.2 攻击完整日志链路与 4769 关键字段

攻击执行时日志产生顺序：

1. 攻击者客户端先正常登录域，获取 TGT 票据，域控产生 4768 事件（AES 加密，正常登录）；
2. 循环发起大量 TGS 请求，每请求一个 SPN，域控产生一条 4769 事件。

恶意 4769 事件关键字段样本：

事件ID：4769 Kerberos服务票证已请求 客户端地址：192.168.1.110（攻击者主机IP） 客户端名称：user01 服务名称：MSSQLSVC/sql‑server01.test.local 票证加密类型：0x17 (RC4‑HMAC)

攻击行为特征：

1. 短时间窗口内（几十秒‑几分钟），同一个源 IP，同一个账号，生成大量 4769 事件；
2. 多条日志Service Name不断变化，遍历域内各个业务 SPN（MSSQLSVC、HTTP、CIFS 等）；
3. Ticket Encryption Type大量出现 0x17 RC4‑HMAC；即使域默认优先 AES 加密，Kerberoasting 工具会强制要求 RC4 加密，方便离线哈希爆破。

补充：新版 Windows 服务账号配置msds‑SupportedEncryptionTypes，禁用 RC4，攻击者就拿不到 0x17 票据，Kerberoasting 攻击失效，此时日志不会出现 0x17 加密类型。

4.3 攻击特征、正常业务误报区分

什么情况会产生正常 4769 日志（误报场景）

1. 用户访问业务 Web 站点、SQL 数据库，客户端请求对应 SPN，单条或者少量几条 4769；
2. 服务器之间业务互访，产生少量 4769；
3. 部分老旧业务系统只支持 RC4 加密，业务访问也会出现 0x17 加密类型。

区分攻击与正常业务核心逻辑：
✅ 正常业务：少量 SPN 请求，访问固定业务资源，分散在较长时间，SPN 数量少。
✅ Kerberoasting 恶意行为：短时间爆发大量不同 SPN，几十上百条 4769，遍历域内所有注册 SPN 服务，同一个源 IP 账号批量请求Cyber.gov…。

不能单凭单条 4769+0x17 判定攻击；必须结合短时间批量请求多 ServiceName这个聚合特征，避免大量误报。

4.4 PowerShell 检索脚本，实战过滤可疑日志

脚本作用：读取 evtx 或者本机安全日志，筛选 4769 TGS 票据请求，统计同一个源 IP 短时间请求的 SPN 数量。

#读取本地域控安全日志，筛选全部4769事件 Get‑WinEvent ‑FilterHashtable @{LogName='Security';Id=4769} ‑ErrorAction SilentlyContinue | ForEach‑Object { [PSCustomObject]@{ Time = $_.TimeCreated SourceIP = $_.Properties[6].Value ClientAccount = $_.Properties[0].Value ServiceName = $_.Properties[4].Value EncType = $_.Properties[8].Value } } | Where‑Object {$_.EncType ‑eq "0x17"} | Sort‑Object Time ‑Descending | Export‑Csv C:\forensic\4769_RC4.csv ‑Encoding UTF8

拿到 csv 之后，分析逻辑：

1. 按 SourceIP、ClientAccount 分组统计，看哪个 IP 账号短时间请求大量不同 ServiceName；
2. 过滤掉机器账号（以 $ 结尾的账号，机器账号正常业务会产生大量 4769，需要排除，减少误报）；
3. 如果一个普通域用户，几分钟内请求几十条不同业务 SPN，高度怀疑 Kerberoasting 攻击。

SIEM 告警逻辑伪代码：
在 5 分钟时间窗口内，同一源 IP、同一账号，产生大于 15 条不同 ServiceName 的 4769 事件，并且存在加密类型 0x17，触发告警。

5.AS‑REP Roasting 攻击日志识别

AS‑REP Roasting 攻击：针对账号开启Do not require Kerberos preauthentication（不需要 Kerberos 预认证）。攻击者不需要账号密码，直接向 KDC 请求 TGT，拿到加密 TGT 后离线爆破密码Microsoft …。

日志特征：事件 ID4768（TGT 票据请求）
关键字段：Pre‑Authentication Type:0，代表本次 TGT 请求没有携带预认证信息，是 AS‑REP‑Roasting 标志性字段。

PowerShell 筛选脚本：

Get‑WinEvent ‑FilterHashtable @{LogName='Security';Id=4768} ‑ErrorAction SilentlyContinue | ForEach‑Object { [PSCustomObject]@{ Time = $_.TimeCreated SourceIP = $_.Properties[10].Value Account = $_.Properties[0].Value PreAuthType = $_.Properties[5].Value EncType = $_.Properties[7].Value } } | Where‑Object {$_.PreAuthType ‑eq 0} | Export‑csv C:\forensic\ASREP.csv ‑Encoding UTF8

注意：正常业务几乎不会出现 PreAuthType=0；出现该字段需要立刻核查该用户账号 userAccountControl 属性是否开启不需要预认证。

6.Pass‑the‑Hash（PtH 哈希传递）日志深度分析

6.1 PtH 哈希传递攻击原理回顾

攻击者导出 LSASS 内存，拿到账号 NTLM 哈希；不需要明文密码，直接使用哈希构造 NTLM 认证包，访问目标主机 SMB/WMI/SMB 共享，完成横向移动。整个攻击使用 NTLM 认证协议，不使用 Kerberos，内存完成，无落地文件。

PtH 攻击日志不会出现在域控上！日志产生在被访问的目标业务服务器上，很多新手只看域控安全日志，完全找不到 PtH 痕迹。这点是高频踩坑点。

6.2 4624 事件关键字段拆解：登录类型、认证包名称

PtH 攻击产生事件 ID：4624 登录成功，LogonType=3（网络登录）
关键判断字段组合：

1. LogonType =3：网络登录，SMB、WMI、CIFS 共享访问属于登录类型 3；
2. AuthenticationPackageName="NTLM"：本次认证采用 NTLM 协议；
3. IpAddress：攻击者源 IP 地址；
4. TargetUserName：被用来登录的账号。

⚠️重要区分：

• Kerberos 认证登录，AuthenticationPackageName字段值为Kerberos；
• PtH 哈希传递走 NTLM，字段固定为NTLM。

注意：LogonType=3 + NTLM 不等于就是 PtH 攻击！业务系统大量正常场景也会 NTLM 网络登录，必须结合业务上下文综合判断。

6.3 真实攻击日志样本、业务误报场景

恶意 PtH 攻击日志样本特征：

• 源 IP：普通办公终端 IP；
• TargetUserName：域管理员账号；
• LogonType=3；AuthenticationPackageName=NTLM；
• 业务上，域管理员不应该从普通员工办公电脑 IP 访问业务服务器 SMB 共享。

常见正常业务误报场景（看到 4624 LogonType3 NTLM 不要直接判定攻击）：

1. 老旧业务系统，应用程序只支持 NTLM 认证；
2. 第三方运维工具，使用 NTLM 访问服务器 WMI；
3. 跨域访问，跨域环境部分场景只能使用 NTLM。

判断 PtH 攻击，重点看上下文：

1. 账号身份：高权限域账号，源 IP 是普通工作站，非运维堡垒机；
2. 时间维度：短时间同一个源 IP，使用同一个账号，横向大量访问多台服务器；
3. 业务基线：该源 IP 从来没有过该账号登录记录，属于异常行为。

6.4 PowerShell 批量筛选 PtH 可疑登录脚本

脚本需要在被入侵业务服务器执行，PtH 日志保存在被访问目标主机，不是域控。

Get‑WinEvent ‑FilterHashtable @{LogName='Security';Id=4624} ‑ErrorAction SilentlyContinue | ForEach‑Object { [PSCustomObject]@{ Time = $_.TimeCreated LogonType = $_.Properties[8].Value AuthPackage = $_.Properties[10].Value TargetUser = $_.Properties[5].Value SourceIP = $_.Properties[18].Value ProcessName = $_.Properties[19].Value } } | Where‑Object {$_.LogonType ‑eq 3 ‑and $_.AuthPackage ‑eq "NTLM"} | Sort‑Object Time ‑Descending | Export‑csv C:\forensic\NTLM_Logon.csv ‑Encoding UTF8

告警逻辑参考：
当域管理员 / 高权限服务账号，登录类型 3，NTLM 认证，源 IP 不在运维堡垒机资产列表，触发告警；
统计：同一个源 IP，短时间内使用相同账号登录超过 5 台不同服务器，高度怀疑哈希传递横向移动。

7. 关联攻击日志识别：黄金票据、白银票据、DCSync 日志对照

为了方便日志分析人员做关联排查，把这几个高频域攻击日志做对照，和本章 Kerberoasting、PtH 做区分：

7.1 黄金票据 Golden Ticket

• TGT 票据本地伪造，不会产生 4768 事件；换取 TGS 票据产生 4769；4769 找不到前置 4768；
• 日志存在域控安全日志；
• 票据有效期经常超长。

7.2 白银票据 Silver Ticket

• 全程不和 KDC 交互；域控不会产生任何 Kerberos 日志；日志全部出现在被访问目标服务器 4624，认证包为 Kerberos。

7.3 DCSync 攻击

事件 ID4662，对象访问事件，消息包含Replication‑Get‑Changes，代表执行 AD 目录复制，攻击者导出全部账号哈希。

8. 多域控环境日志分析注意事项

1. Kerberoasting 攻击，请求 TGS 票据的请求会到达某一台域控 KDC；攻击日志只会记录在被访问的这一台域控的安全日志，其他域控不会产生 4769 事件；
2. PtH 哈希传递日志不在域控，全部保存在每一台被访问业务服务器本地安全日志；
3. 多域控取证，所有域控制器全部导出安全日志，不能仅仅采集一台；
4. AD 复制会同步账号数据，但是不会同步 Windows 安全事件日志，日志是每台机器本地存储，不会跨 DC 复制。

很多人踩坑：环境两台域控，攻击者向 DC02 发起 Kerberoasting，分析师只拿 DC01 日志，完全看不到 4769 攻击痕迹。

9. 日志分析完整工作流（拿到 evtx 日志之后怎么做）

拿到一批 evtx 日志文件，按照下面标准化流程分析，避免遗漏攻击痕迹：

1. 证据校验：确认 evtx 是原始导出，没有被篡改；检查 1102 事件（安全日志清空），确认攻击者是否已经清除部分日志。
2. 导入日志：可以用 Windows 事件查看器加载 evtx，或者使用 PowerShell 直接解析 evtx 文件，不需要导入本机系统日志。

解析外部 evtx 示例命令：

Get‑WinEvent ‑Path C:\forensic\DC_Security.evtx ‑FilterHashtable @{Id=4769}

3. 优先提取高危攻击事件
   ① 提取全部 4769 事件，筛选 RC4 加密 0x17，排查 Kerberoasting；
   ② 提取全部 4768，筛选 PreAuthType=0，排查 AS‑REP Roasting；
   ③ 业务服务器日志提取 4624 登录类型 3+NTLM，排查 PtH 哈希传递；
   ④ 提取 4662 排查 DCSync 复制行为。
4. 时间线还原：按照时间排序，梳理攻击时间线，先凭据窃取（Kerberoasting），再拿到凭据，再横向移动（PtH）。
5. 源 IP 溯源：找到攻击源 IP，确认是哪一台主机失陷；溯源该主机日志，看攻击者如何进入内网。
6. 误报过滤：排除正常业务账号、堡垒机 IP、机器账号。
7. 输出结论：攻击者什么时间执行凭据窃取；是否拿到高权限凭据；受影响账号、受影响主机列表。

10. 大量误报怎么处理：告警降噪思路，SIEM 规则编写

直接单条日志触发告警会产生海量误报，SIEM 检测规则务必采用聚合统计 + 上下文过滤，而不是单条事件告警。

10.1 Kerberoasting 告警降噪

1. 过滤机器账号（账号名称以 $ 结尾），机器账号业务访问会大量生成 4769；
2. 设置时间窗口，5 分钟；设置阈值，同一个源 IP 账号，不同 ServiceName 数量大于 15 条才告警；
3. 排除已知业务服务器 IP，业务服务器之间互访 RC4 票据白名单。

10.2 PtH 哈希传递告警降噪

1. 白名单堡垒机 IP 段，堡垒机的 NTLM 网络登录直接放行；
2. 低权限普通域账号产生 LogonType3 NTLM，降低告警等级；重点关注域管理员、服务账号等高权限账号；
3. 增加横向统计：同一个源 IP 短时间访问多台服务器才告警，单台服务器一次 NTLM 登录不作为高危告警。

核心思想：单条日志只作为线索；真正恶意攻击看行为聚合特征，而不是单条事件 ID。

11. 实战踩坑：日志分析经常踩的坑

1. 只看域控日志，PtH 痕迹完全漏掉
   PtH 哈希传递日志存储在被访问业务服务器本地，不在域控；很多蓝队只采集域控日志，PtH 攻击完全看不到。
2. 开启高级审计策略缺失，4769 日志完全不生成
   没有开启 “审核 Kerberos 服务票证操作” 子类别，发生 Kerberoasting 攻击，域控不会记录 4769 事件，无迹可查。
3. 把单条 4769 0x17 直接判定 Kerberoasting 攻击
   老旧业务系统正常访问也会请求 RC4 票据；必须看短时间批量遍历大量 SPN 这个聚合特征，否则大量误报。
4. 文本导出日志，丢失 XML 扩展字段
   复制事件查看器文本，丢失 Properties 里面加密类型、PreAuthType 等关键字段，无法判断攻击；取证分析必须使用原始 evtx。
5. 多域控只采集单台域控日志
   Kerberoasting 的 TGS 请求落到其中一台域控 KDC，日志只存在这一台 DC，其他 DC 没有记录。
6. 看到 4624 LogonType3 NTLM 就直接判定 PtH 哈希传递
   大量正常业务使用 NTLM 协议；需要结合账号权限、源 IP 资产基线、横向访问数量综合分析。
7. 混淆黄金票据和白银票据日志存放位置
   白银票据不会在域控产生任何 Kerberos 日志，全部日志存在目标业务服务器。

12. 面试高频考点整理

1. 检测 Kerberoasting 攻击对应的事件 ID？关键判断字段是什么？
   答：事件 ID4769（Kerberos 服务票证请求）；关键字段Ticket Encryption Type=0x17(RC4‑HMAC)；判断核心是同一个源 IP 账号短时间批量请求大量不同 ServiceName（SPN），不能单凭单条日志判定攻击。
2. Kerberoasting 攻击日志保存在哪台机器？
   答：保存在被访问的域控制器 KDC 服务器安全日志中，客户端主机不会生成 4769 日志。
3. PtH 哈希传递攻击对应的事件 ID、关键字段，日志保存在哪里？
   答：事件 ID4624 登录成功；LogonType=3（网络登录）、AuthenticationPackageName=NTLM；日志保存在被访问的目标业务服务器本地安全日志，不是域控。
4. 为什么不能看到 4624 LogonType=3 NTLM 就直接判定哈希传递攻击？
   答：很多老旧业务系统、运维工具会正常使用 NTLM 网络登录；需要结合账号权限、源 IP 资产基线、短时间横向多台服务器的聚合行为综合判断，否则产生大量业务误报。
5. AS‑REP‑Roasting 攻击日志特征，对应事件 ID 和关键字段？
   答：事件 ID4768（TGT 请求），Pre‑Authentication Type=0代表没有预认证，是该攻击标志性字段。
6. Kerberoasting、黄金票据、白银票据，三者日志存放位置的区别？

• Kerberoasting：域控产生 4769；
• 黄金票据：域控产生 4769，无前置 4768；
• 白银票据：域控完全没有 Kerberos 日志，日志仅出现在被访问目标服务器 4624。

7. 想要检测 Kerberoasting，组策略哪一条高级审计策略必须开启？
   答：开启【审核 Kerberos 服务票证操作】，审计成功事件，否则系统不会记录 4769 TGS 票据请求事件Microsoft …。

13. 全文总结

Kerberoasting 凭据窃取、PtH 哈希传递是内网域环境高频攻击，两类攻击均无落地恶意文件，杀毒软件很难捕获，全部证据埋藏于 Windows 安全事件日志。

做域日志分析必须记住几个核心要点：

1. Kerberoasting 看域控 4769 事件，重点关注 RC4 加密 (0x17)、短时间批量请求大量 SPN 的聚合行为；
2. PtH 哈希传递日志不在域控，保存在被访问业务服务器 4624，组合字段 LogonType=3+NTLM，结合业务基线、横向访问行为做判断，拒绝单条日志下结论；
3. 取证务必保留原始 evtx 日志，不要导出文本，攻击关键判断字段保存在 XML 扩展属性；
4. 提前配置完整高级审核策略，否则关键攻击日志直接缺失；
5. SIEM 告警尽量采用时间窗口 + 阈值聚合，减少业务误报；
6. 多域控环境，所有域控制器、业务服务器日志全部采集，避免攻击痕迹丢失。

日志分析不是简单查找事件 ID，而是理解攻击完整认证流程，读懂每个字段含义，区分恶意行为和业务正常行为，还原完整入侵时间线，这是蓝队应急分析师必备的核心能力。

再次提醒，本文所有脚本、分析逻辑，仅限经过授权的安全演练、安全事件处置，禁止未授权扫描、审计业务环境。

了解网络安全，首先要搞清楚下面这些前提

• 网络安全到底包含哪些技术？是否需要会编程？
• 网络安全行业有哪些职业方向？“我”该如何选择？
• 网络安全的职业发展和成长路线是什么？

如果你是准备学习网络安全（黑客）或者正在学习，下面这些你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】