这几天参加了某单位护网，体验了一次实网环境的渗透，学到了一点东西,总结了点经验，简单记录一下
不得不说,CTF和实网还是有很大区别，CTF确实是游戏性质的，感觉自己有点打ctf打傻了的感觉
-
尽管通过CTF学到了很多漏洞的利用姿势，但是绝大多数漏洞早已过时了，在真实环境完全找不到利用场景，在web方向的学习，还是以靶场环境学习最佳，做一些CTF题，可能只能学到一些零碎的知识，效率太低了（
-
各种后台完全找不到突破口(感觉没day是真的打不了一点，只能爆破弱口令维持一下生活。在内网环境中，有很多企业级安全设备，但是没有弱密码完全找不到突破口。偶尔拿了一个shell，也完全不会在当前机器shell中进行内网横向移动
整个过程都挺迷茫的
-
工具熟练度不够，常用的渗透工具熟练度不够，因为不熟悉工具的使用方法导致浪费了大量时间。
-
信息收集很重要，poc搜索，内网机器信息搜集，自己对信息搜集一无所知
-
实网环境中，php已经见不太多了，全是java web,自己对java安全一无所知，javaweb的洞不太会利用
-
这次完全是当脚本小子了，以后还是要提高代码编写能力，真实环境千变万化，每一次都需要随机应变新的环境，漏洞是复现不完的，但是代码能力是基本功
-
运气真的很重要()
无论如何，安全最终还是要回归实网环境的，在以后的学习中还是要多在基础上下功夫,多挑战一下真实环境(不要只会个CTF)