作者：Pnigos
鏈接：https://www.zhihu.com/question/23073812/answer/23563575
來源：知乎
著作權歸作者所有。商業轉載請聯系作者獲得授權，非商業轉載請注明出處。
鏈接：https://www.zhihu.com/question/23073812/answer/23563575
來源：知乎
著作權歸作者所有。商業轉載請聯系作者獲得授權，非商業轉載請注明出處。
問題中“黑客”這詞用的有點大，因為黑客代表的不僅僅是專業技術上的造詣，更包括了思想，思維，甚至是一種精神。
如今娛樂化嚴重的安全圈，“黑客”二字早已成為了面子工作者嘴里的談資。
========================================
牢騷完了，下面根據上面說的分幾方面說如何向着“黑客”努力。
有關技術：
現在獲取信息的渠道越來越多，每天新增的技術文章早已超出了人能夠處理的能力范圍，如何發現精華，篩選，歸類這些信息是很重要的工作。
本人較關注Web及移動安全，以下以此方向舉例
1，Twitter：首先定位一個你關注的方向，比如前端黑客，選一個關鍵詞，不要選那種假大空的XXX Security，因為這種定位出來的信息一般都是扯淡類型的，選一個技術點：比如CSRF，DOM XSS，CSP Bypass，XSS Vector，去Twitter搜，看聊這些話題的人，一個一個翻，看他們的歷史tweet，如果你感興趣的比較多，那么關注之。然后一個一個過你關注的這個人 所關注的人，然后重復上述步驟。求精不求多，關注幾個領域內的巨牛，他們的信息就足夠你消化的了。
比如Web安全方面我關注了（本人@pnig0s）：
@k3170Makan （Android Security CookBook的作者，之前也是Web安全領域的牛，專業挖Google漏洞30年）
@irsdl （Web安全領域大牛，來自NCC Group）
@lcamtuf （Web安全，漏洞挖掘的神牛，來自Google安全團隊）
@bulkneets （日本友人，前端安全牛，國外多個漏洞獎勵計划榜上常客）
@kuza55 （低調，總之牛就對了）
@kkotowicz （專注HTML5安全，大牛一枚，BlackHat等會議演講者）
@0x6D6172696F（專注XSS）
@shreeraj（前端神牛，多本Web安全書籍作者）
.......等等
2，Blog：
不同領域的大牛都有自己的博客，所以，盡情的去挖墳吧。不要覺得人家文章過時了，沒有意義。紅遍大江南北的Struts代碼執行漏洞也是被挖墳挖出來的，Android WebView任意命令執行漏洞也是11年就被研究出來了。所以，牛人的Blog很多幾年前的東西現在看還是超前的，這不是盲從，誰挖誰知道。很多國內的牛都是讀完了國外的Paper，總結一下，發散一下，然后發到國內來充大頭的。
我用的訂閱器是Feedly：
當然這些訂閱我不會都看，每天會一目10行的過未讀條目，如果標題第一印象我感興趣，那么才會點進去看看，而且最關鍵的是一定要符合近期的研究方向。（訂閱的內容本答案包括了一部分）
3，郵件列表及討論組：
1） SecLists.Org Security Mailing List Archive
2） https://groups.google.com/forum/#!forum/android-security-discuss
3）.....
4，安全文檔Paper匯總：
SecWiki-安全維基,匯集國內外優秀安全資訊、工具和網站
IT Security and Hacking knowledge base
安全 文章 - FreeBuf.COM
WooYun知識庫
5，多找或制作思維導圖（梳理思路）：
二，安全資訊：
保持閱讀安全資訊的習慣對於開闊視野，發散思維，提高創新的能力都是非常有幫助的，時常關心一下國內國外有哪些新的安全事件。通過安全資訊了解到一些你感興趣的點，進而深入研究。要知道，資訊的傳播速度和范圍都要遠遠優於技術分析文章，所以先有技術資訊，后才有技術分析。如果一個不關注資訊信息的人，又怎么能知道在其所關注的領域有哪些創新的研究成果呢。
推薦：
作為FreeBuf的掌櫃之一，我繼續厚着臉皮推薦，因為我對內容有信心。
FreeBuf.COM關注黑客與極客
Cyber War News
Help Net Security
The Hacker News
Threatpost | The first stop for security news
FreeBuf部分稿源翻譯自以上站點及Twitter實時安全動態，所以你們懂得。
三，提升能力
1，想成為黑客，不能只關注在技術上，思維方式很重要，而且一定程度上決定了你牛的程度。技術其實就那些東西，牛和不牛之前相差的不是技術，是經驗，而只有豐富的經驗才會產生豐富的思路。所以我們不要總和技術點過意不去，一遍一遍的去重復一些我們已經掌握的技能。
以基本的數據庫安全舉個例子：
2，多實踐：
比如研究個DOM XSS，看了很多paper還覺得太亂，沒法貫通，怎么辦？寫個DOM XSS檢測模塊出來，在這個過程中會逼着你自己去了解透徹，一步步實踐，一點點清晰。最后完成的時候，一切都通透了。讀的再多也是別人的知識，實踐到手上才能轉化為自己的營養。一遍遍說，但只有做下來的人才知道它的意義。
3，多總結：
寫Blog也好，寫Note也好，或者總結成正式的paper也好。要不停的做筆記，總結，總結是一個提煉，回爐重造的過程，讀進腦子里的是別人的語言，自己總結出來的是自己的語言，更便於記憶和理解。一遍遍說，但只有做下來的人才知道它的意義。
==============================================================
寫到最后我感覺已經跑題了，總之知識的來源真的不需要太多，也不用過分關心。不同的時代知識的來源各有優劣，但卻總能造就出牛人，關鍵就是能夠踏實下來做，你不停的做下去，知識也會不停的涌現出來，不用刻意的去找。
引用heige的一句話“整就牛。”
再引用某人的一句話“能安靜下來做事的人會成為大牛，能隨時隨地安靜下來做事的人會成為大神。”
==============================================================
【2,31UPDATE】
很多人問我要RSS訂閱的列表，我先給份兒公開的 BookmarksList
不經過自己辛勤整理出來的東西自己也不會去認真看的，上面那份非常完整，我收藏了但基本不會看，因為我沒怎么付出。反而經常看我自己整理的那份殘缺的版本，因為我更了解，更符合我的關注點。所以各位還是自行整理吧，整理的過程也是在學習：）
如今娛樂化嚴重的安全圈，“黑客”二字早已成為了面子工作者嘴里的談資。
========================================
牢騷完了，下面根據上面說的分幾方面說如何向着“黑客”努力。
有關技術：
現在獲取信息的渠道越來越多，每天新增的技術文章早已超出了人能夠處理的能力范圍，如何發現精華，篩選，歸類這些信息是很重要的工作。
本人較關注Web及移動安全，以下以此方向舉例
1，Twitter：首先定位一個你關注的方向，比如前端黑客，選一個關鍵詞，不要選那種假大空的XXX Security，因為這種定位出來的信息一般都是扯淡類型的，選一個技術點：比如CSRF，DOM XSS，CSP Bypass，XSS Vector，去Twitter搜，看聊這些話題的人，一個一個翻，看他們的歷史tweet，如果你感興趣的比較多，那么關注之。然后一個一個過你關注的這個人 所關注的人，然后重復上述步驟。求精不求多，關注幾個領域內的巨牛，他們的信息就足夠你消化的了。
比如Web安全方面我關注了（本人@pnig0s）：
@k3170Makan （Android Security CookBook的作者，之前也是Web安全領域的牛，專業挖Google漏洞30年）
@irsdl （Web安全領域大牛，來自NCC Group）
@lcamtuf （Web安全，漏洞挖掘的神牛，來自Google安全團隊）
@bulkneets （日本友人，前端安全牛，國外多個漏洞獎勵計划榜上常客）
@kuza55 （低調，總之牛就對了）
@kkotowicz （專注HTML5安全，大牛一枚，BlackHat等會議演講者）
@0x6D6172696F（專注XSS）
@shreeraj（前端神牛，多本Web安全書籍作者）
.......等等
2，Blog：
不同領域的大牛都有自己的博客，所以，盡情的去挖墳吧。不要覺得人家文章過時了，沒有意義。紅遍大江南北的Struts代碼執行漏洞也是被挖墳挖出來的，Android WebView任意命令執行漏洞也是11年就被研究出來了。所以，牛人的Blog很多幾年前的東西現在看還是超前的，這不是盲從，誰挖誰知道。很多國內的牛都是讀完了國外的Paper，總結一下，發散一下，然后發到國內來充大頭的。
我用的訂閱器是Feedly：
當然這些訂閱我不會都看，每天會一目10行的過未讀條目，如果標題第一印象我感興趣，那么才會點進去看看，而且最關鍵的是一定要符合近期的研究方向。（訂閱的內容本答案包括了一部分）
3，郵件列表及討論組：
1） SecLists.Org Security Mailing List Archive
2） https://groups.google.com/forum/#!forum/android-security-discuss
3）.....
4，安全文檔Paper匯總：
SecWiki-安全維基,匯集國內外優秀安全資訊、工具和網站
IT Security and Hacking knowledge base
安全 文章 - FreeBuf.COM
WooYun知識庫
5，多找或制作思維導圖（梳理思路）：
二，安全資訊：
保持閱讀安全資訊的習慣對於開闊視野，發散思維，提高創新的能力都是非常有幫助的，時常關心一下國內國外有哪些新的安全事件。通過安全資訊了解到一些你感興趣的點，進而深入研究。要知道，資訊的傳播速度和范圍都要遠遠優於技術分析文章，所以先有技術資訊，后才有技術分析。如果一個不關注資訊信息的人，又怎么能知道在其所關注的領域有哪些創新的研究成果呢。
推薦：
作為FreeBuf的掌櫃之一，我繼續厚着臉皮推薦，因為我對內容有信心。
FreeBuf.COM關注黑客與極客
Cyber War News
Help Net Security
The Hacker News
Threatpost | The first stop for security news
FreeBuf部分稿源翻譯自以上站點及Twitter實時安全動態，所以你們懂得。
三，提升能力
1，想成為黑客，不能只關注在技術上，思維方式很重要，而且一定程度上決定了你牛的程度。技術其實就那些東西，牛和不牛之前相差的不是技術，是經驗，而只有豐富的經驗才會產生豐富的思路。所以我們不要總和技術點過意不去，一遍一遍的去重復一些我們已經掌握的技能。
以基本的數據庫安全舉個例子：
- 第一天我學會了簡單MySQL注入
- 第二天我學會了MySQL注入的基於時間，基於布爾，基於報錯的注入讀庫，表，列，數據。
- 第三天我學會了通過MySQL讀數據庫路徑，工作目錄，服務端IP，鏈接端IP
- 第四天我深入了解了MySQL4，和5數據庫結構組成的差異，知道了數據庫賬密存哪兒，Hash是什么類型加密的，不同版本加密方式有什么不同，怎么破。
- 第五天我學會了如何通過MySQL提權，在什么條件下提權，不同版本下提權方式有哪些不同。了解提權細節，如何寫dll，加自定義函數。
2，多實踐：
比如研究個DOM XSS，看了很多paper還覺得太亂，沒法貫通，怎么辦？寫個DOM XSS檢測模塊出來，在這個過程中會逼着你自己去了解透徹，一步步實踐，一點點清晰。最后完成的時候，一切都通透了。讀的再多也是別人的知識，實踐到手上才能轉化為自己的營養。一遍遍說，但只有做下來的人才知道它的意義。
3，多總結：
寫Blog也好，寫Note也好，或者總結成正式的paper也好。要不停的做筆記，總結，總結是一個提煉，回爐重造的過程，讀進腦子里的是別人的語言，自己總結出來的是自己的語言，更便於記憶和理解。一遍遍說，但只有做下來的人才知道它的意義。
==============================================================
寫到最后我感覺已經跑題了，總之知識的來源真的不需要太多，也不用過分關心。不同的時代知識的來源各有優劣，但卻總能造就出牛人，關鍵就是能夠踏實下來做，你不停的做下去，知識也會不停的涌現出來，不用刻意的去找。
引用heige的一句話“整就牛。”
再引用某人的一句話“能安靜下來做事的人會成為大牛，能隨時隨地安靜下來做事的人會成為大神。”
==============================================================
【2,31UPDATE】
很多人問我要RSS訂閱的列表，我先給份兒公開的 BookmarksList
不經過自己辛勤整理出來的東西自己也不會去認真看的，上面那份非常完整，我收藏了但基本不會看，因為我沒怎么付出。反而經常看我自己整理的那份殘缺的版本，因為我更了解，更符合我的關注點。所以各位還是自行整理吧，整理的過程也是在學習：）