前段時間看了一個大哥寫的程序員的職業發展，感觸很深，這幾天晚上就參考大哥的思路結合自身的經歷寫一下滲透工程師的職業發展之路，順便也讓迷茫中的小伙伴們有個參考。

很多干滲透、安全服務、安全運維的人在干了3-5年后面對迷茫期，最近也是很多小伙伴在討論這個事情，下面我就來寫一下我認為一個職業發展，這里只討論在本專業內的發展，不討論（抬杠）干了兩年回家繼承家業，干了兩年去創業（賣紅薯）了等。

如果是在一個企業一直朝著這個方向發展，個人覺得要分為三個階段，一技之長、獨立做事、尋找使命

(資料圖片)

滲透工程師發展之路

第一階段：一技之長

這里的一技之長不單單指的是你完成你工作對應的技術，而是一個大的范圍，一技之長包括：棧內技術、棧外技術、工程經驗、帶人做事、業內發聲。

一技之長

這里我用了一個餅狀圖來表示每部分占比，每個階段不同比例不一樣，這里大家根據自己情況僅做參考吧。

棧內技術

棧內技術指的是你專業領域的技術，比如你是滲透測試工程師，那web滲透，app測試，小程序測試等這些常規的滲透測試就是你的立命之本。當然了也有人會說滲透測試也會衍生出來一些其他的工作，比如應急響應，溯源分析，甚至還有些代碼審計等技術類工作，確實是這樣的，但是如果你不會滲透后面衍生的技術種類就不用想了，你根本就不會，所以要把本職滲透類做好，而這部分工作一定是占據你日常工作的大部分。

如果你是剛入行，那么滲透工作基本是你的全部工作，因為你很多滲透理論、技巧都要補充，還要不斷地輸出滲透報告。

如果你已經入行近2年，那你的工作可能會有百分之20或更多的的時間來做應急響應，溯源分析等技術類工作。

棧內技術

當然了，如果你除了前面說的滲透，溯源等技能外如果你還會寫代碼，甚至說是底層的二進制，那你可能還會做一些代碼審計、二進制逆向面殺類的工作，但是這一類比較少，一半也不是滲透測試工程師必須要求的，但是如果你會了那你一定能從滲透工程師中凸顯出來。

棧內技術是安身立命之本，不要輕易的換“方向”

棧外技術

棧外技術是指的是棧內技術上下游的技術，領域相關的技術，安全畢竟是涉及開發、運維、網絡等it相關的行業，這里寫的包括但不限于安全設備（防守相關），安全設備運維、開發相關的知識等。擴展你棧內技術領域，你要充分理解你的工作在整個技術體系內的角色，以及和你工作相關聯的技術，下面我就分方向說幾個滲透的棧外技術。

安全防守（安全加固）：這里的安全防守包括對常見安全設備的理解，比如防火墻、IPS、IDS、流量監控、態勢感知等等，你要知道這些設備的主要功能以及常見的防護方法。

安全設備運維：這里說的設備運維并不是說你要真的去做一下運維，你要知道一些運維的設備，這些設備的特點，比如說堡壘機，那這些堡壘機在整個安全中是什么角色，如果失陷會照成什么樣的安全危害。

開發相關知識：這里呢就是需要了解一下不同語言的特點，安全框架、數據庫配置等等，畢竟照成安全的根本原因還是代碼照成的，所以很多開發相關的還是要了解的。

棧外技術

工程經驗（項目經驗）

這里說的工程經驗也稱之為項目經驗，這里的工程經驗包括兩個方面：

1、根據用戶需求提出的“解決方案”，通俗的來講就是客戶講自己的安全現狀給你，你根據客戶目前存在的安全風險以及客戶的預算（也要考慮自家安全設備及服務）來提出解決方案，這個解決方案不僅能夠解決客戶現存的安全問題，也能夠匹配上自家安全產品或服務。

2、根據合同約定完成超預期交付，這里說的交付其實主要是站在項目的角度上來說的，比如一場攻防演習，作為項目負責人如何才能協同用戶指揮下面技術獲得更多的分值，讓客戶更加來認可我們呢，那這里你就要關注用戶舉辦這場活動的目的，是為了發現更多互聯網漏洞，還是為了找到更多的互聯網口子，這都是站在項目交付上需要關注的。

可能有些滲透工程師會說，每天我都在干滲透，一個網站接著一個網站的干，根本沒有時間去研究新的東西，那你一個個的測試是不是在項目中呢？那你為啥沒思考過能在項目方案或者項目實施過程中有一些突出的表現呢？

工程經驗

很多滲透工程師沒有總結過自己的工程經驗（項目經驗），特別是干了多年的技術之后，總覺得自己的技術在走下坡路，而決定你是否比別人更有專業價值往往是工程經驗，如果你沒有真正的寫過方案，帶過項目那你可能是真正缺乏工程經驗，可以在項目中多多爭取，先從一些短平快的滲透項目下手，把從啟動會到交付過程再到項目驗收都走一遍。

帶人做事

帶人做事之前是對個人專業技能方面的深度有要求的，帶人做事是對團隊協作能力的要求，我第一次帶徒弟的時候經常會感覺到要經常的溝通，滲透如何做，什么樣的業務系統不能掃，報告中的修復建議，漏洞描述如何寫等，要多次的跟他溝通報告如何寫。

這個階段的帶人做事，是把自己擅長的東西沉淀下來，傳遞出去，是一種傳承，實現1+1>2的生產力，讓整個團隊的產出高于自己的產出。

這個階段一定要注意“帶”和“管”的區別，“帶“則是帶領的意思，是我特別懂這個領域，我知道你不懂，我會教你如何來做，有點授之以漁的意思，而”管“則是這個東西我不一定很懂，但是我知道你懂，所以我安排你去。

帶人做事

業內發聲

如果你前面做的非常好了，那你把自己的工作經驗總結對外發布，與他人進行交流，思想進行碰撞，看到更高的山峰，然后修正自己的想法，日益完善，是能走的更遠的一種方式。

其實網絡安全有很多發生的機會和場合，技術類的你可以挖SRC，如果你常年霸據百度、阿里等大廠的top5，我相信過不了2年你拿出你的ID圈內都會知道。

如果你說你技術還達不到top5，但是你的表達溝通很強，那很多論壇或者圓桌會議都可以參加，發表你對安全某領域的看法、觀點，通過這些會議，不斷聽取別人對你觀點的意見，這樣你再回來不斷地論證自己的觀點是否不夠全面，是否還需要繼續加強某一方面知識的攝入，這樣不斷地循環也是不斷地進步。

獲取某SRC的top5或者參加圓桌會議，并不是說讓你來show某項東西，而更多的是能把自己的觀點發表出去，和其他人的觀點進行碰撞，然后來思考自己是否存在不足，還需繼續努力。永遠不要放棄自己的一技之長，沒有所謂的轉型或者轉行，永遠堅持你最初的領域，然后進行不斷地擴充你的外延，最終達成比較全面的能力，堅持才是走向成功的最高方式。

第二階段：獨立做事

第二個階段也是目前我一直在做的事情，在不斷的嘗試，不斷地試錯中，我將獨立做事分為了，獨立交付、獨立帶人、獨立帶團隊、獨立做業務、獨立活下來。獨立不等于獨自，這個要搞清楚，獨立是指在公司給你配套的資源下，你能夠完成公司給你的項目，或者說你能用公司配給你的資源給公司拉來更多的活并完成交付，當然了這個俗稱”帶團隊“。

獨立做事

獨立交付

獨立交付，其實可以說是在獨立做事中最簡單的，一個項目銷售拿下來后能夠保質保量的完成交付，當然我給這里的交付定義為兩個方向，1、項目管理能力，能夠保質保量的完成交付，讓客戶滿意，客戶認可，不能因某些低級錯誤而引起客戶投訴。2、客戶把控度及后期商機挖掘能力，把客戶當做一種資源來處，而不單單是甲方，如果客戶能夠給你坦然心扉的聊天崔牛，那說明你這個項目沒白做，畢竟到了這種關系后如果后面客戶再有類似的活的時候總會想到你，無論你去了哪家公司，這個客戶是認可你的，這種資源會伴隨你的職業生涯的。

獨立交付

獨立帶人/帶團隊

進入到獨立帶人/帶團隊階段，要關注的更多，整個團隊的氛圍、工作效率，運用你一技之長的工程經驗帶領團隊高效優質的產出成果，實現1+1>2,做好兩張大圖，業務大圖和技術大圖，讓團隊的同學摘掉自身的發展主線，工作要開心，團隊才穩定。

獨立做業務/獨立生存

這里的獨立做業務并不是值得真的自己去跑客戶，去簽單子，而是由獨立交付衍生出來的，舉個例子，之前我在某金融項目做項目經理的時候客戶很認可，因為跟用戶合作時總是為用戶著想，無論是否在合同內的，能幫用戶解決的問題都會幫他解決，客戶很認可，慢慢的和客戶也成了技術上的朋友，偶爾也會約著吃吃飯啥的（沒有商業上利益，當然就靠我們技術這點工資也不可能會有），后來我跳槽去了另外一家公司，這個客戶不知道怎么了解到了，直接給我打電話讓我來參與下，我帶著銷售直奔而去，不用想單子肯定拿下了。其實這就是技術反哺市場的一個方式。

當你獨立帶團隊了，身上自然要背著團隊的業績，你就要思考技術如何完成本職交付工作外協助前端市場了，只有這樣你才能不斷的了解商業是怎么玩的，你們做的事情在整個商業環節中的比重和玩法。

獨立做事的每個階段，都是一次比較大的跨越，需要思考和多種軟素質發生較大的變化，拋開技術人的身份不說，獨立做事的幾個階段也是一個人逐漸成熟的過程，如果有扎實的一技之長，又能獨立活下來，我認為是可以消除35歲危機的。

第三階段：尋找使命

尋找使命，其實是實現自我價值的過程，是創業還是跳槽？是生活還是工作？如何平衡？這個過程其實不在單單考慮薪資如何了，更多的是一個綜合性的問題，目前也是我目前面臨的問題，也是我自己每天不斷尋找的答案，這里就留一個開放性話題放到評論區吧。

最后用莫泊桑的話來結尾：“生活不可能像你想象得那么好，但也不會像你想象得那么糟。我覺得人的脆弱和堅強都超乎自己的想象。有時，我可能脆弱得一句話就淚流滿面，有時，也發現自己咬著牙走了很長的路”。在這里工作就是這樣，但我堅信明天會更好。