打开浏览器搜“网络安全”，安全跳出来的有网结果一半是卖课的，一半是安全装神弄鬼的。真正能用的有网网站，其实就那么一小撮，安全散落在互联网各个角落，有网得靠人肉踩坑才能筛出来。安全

先说漏洞情报这块。有网CNVD（国家信息安全漏洞共享平台）是安全国内绕不开的一站。它由国家互联网应急中心运营，有网收录的安全漏洞覆盖国产软件、工控系统、有网物联网设备。安全我去年查一个某品牌路由器后门，有网CNVD上2021年就有人提交了，安全厂商拖了八个月才修。这网站更新不算快，但权威性摆在那，厂商不敢不认。CVE（cve.mitre.org）则是全球漏洞的“户口本”，每个漏洞一个编号，从1999年跑到现在。不过它只给编号和描述，不给利用代码，想看细节还得跳转到NVD（nvd.nist.gov），那里有CVSS评分和影响范围。这三个站配合着用，基本能摸清一个漏洞的前世今生。

补丁和通告得盯厂商自己的安全响应中心。微软的MSRC（msrc.microsoft.com）每月第二个周二发补丁，圈里叫“补丁星期二”，IT运维那天基本别想准时下班。思科、Oracle、Adobe各有各的Security Advisory页面，风格不一，有的连个RSS订阅都不给，纯靠手动刷。国内厂商这块做得参差不齐，华为、阿里的安全公告还算规范，小厂就一言难尽了——有的把漏洞公告藏在论坛置顶帖里，过俩月就沉底。

想动手练的人，OWASP（owasp.org）是必看的。它那套Top 10榜单每几年更新一次，2021版把“失效的访问控制”顶到了第一位，注入类漏洞掉到第三。这变化挺说明问题——现在写代码的人知道防SQL注入了，但权限校验还是稀里糊涂。配套的WebGoat和Juice Shop两个靶场，搭在本地就能玩，不用怕把别人网站打穿。

CTF平台算另一条路子。CTFtime（ctftime.org）汇总全球赛事，按权重排战队积分。国内的话，i春秋和攻防世界用户多，题量也够。我观察到一个现象：很多人刷题刷到“Web狗”级别就停了，二进制和逆向的题碰都不碰。这跟就业市场有关——Web安全岗位多，入门快，但天花板也低。真要往深了走，pwn.college那种硬核平台迟早得面对。

威胁情报和资讯站，FreeBuf、安全客、嘶吼三家国内更新最勤快。FreeBuf偏行业动态，安全客技术文多些，嘶吼喜欢发深度报告。国外Krebs on Security和BleepingComputer消息快，但英文阅读得跟得上。有个小技巧：遇到拿不准的漏洞，去Exploit-DB搜一下有没有公开POC，有的话基本可以确认不是误报。

工具类网站容易被忽略。VirusTotal传文件查毒，Shodan搜联网设备，FOFA和ZoomEye是国内版的Shodan。这几个站用好了，资产测绘和暴露面排查能省不少事。但得注意分寸——扫别人家设备是违法的，自己内网玩玩就行。

最后提一嘴GitHub。安全圈的好东西基本都往上面扔，从POC脚本到漏洞库镜像，搜关键词加“security”或“exploit”能挖出不少宝藏。缺点是质量参差，有的仓库三年没更新，README还写着“仅供学习”。

这些网站没有哪个能包打天下。我的习惯是：CNVD和CVE定编号，NVD看评分，厂商通告找补丁，GitHub翻POC，CTF平台练手，资讯站补盲区。串起来用，比收藏一百个导航页管用。