在B站搜"Kali"，场面是相当震撼：全298集、全500集、全648集，“零基础从入门到就业”，标题一个比一个猛。最火的一套Kali渗透教程，播放197万，收藏115万。
Kali这么火不难理解：这套系统把信息收集、Web渗透、密码破解、提权等工具按大类打包好，开箱即用，是大多数人接触渗透测试的第一站。
但你点开评论区，画风就变了。最活跃的不是技术讨论，是整齐划一的"已三连，求资料"。
我把B站、知乎、小红书上最近的Kali内容翻了一遍，今天不聊技术，聊一件每个想学Kali的人都会撞上的事：学渗透，到底要不要花钱？要花的钱，怎么花才不亏。
你以为在找资料，其实是资料在"找你"
先看我在B站看到的东西。那套197万播放的教程，置顶评论有141条回复，内容很直白：想要配套资料、学习路线、安装包，可以找他，还附带"1V1解答指导和系统课程咨询、空闲收徒中"。哔哩哔哩往下翻，评论区前二十条几乎清一色的求资料，甚至有人写"我是学生，爸妈不让投币，但我真的很想学技术，求求了"。哔哩哔哩
回复只有两种：“发了”“私你了哦”。
这条链路的完整形状是这样的：免费教程攒播放和收藏→评论区"三连领资料"→私信发资料→加V进学习群→1V1学习规划→课程咨询成交。有的视频连私信这步都省了，置顶评论直接挂着B站课堂的商品链接。哔哩哔哩
更有意思的是，这套玩法不只在B站。我在知乎看到一篇标题特别真诚的帖子：《学了两个月网络安全，已退学，不想有人再上当啦》，里面讲了真实的报班价格：花了15800，号称"30天精通渗透测试、50天高薪就业拿证上岗"。知乎
但帖子结尾话锋一转：“我整理好了全国各地口碑尚可的网络安全培训机构，需要推荐的朋友直接发送对应数字”。知乎看到了吗，连"避雷帖"本身，都是漏斗的一环。这个赛道里，几乎每条内容的终点都是同一个收银台。
两万块的培训班，到底买的是什么
知乎上周有个很火的问题：“花两万去学习网络安全有用吗？”（2026年8月18日发的，热度很高）。有个答案说得特别透：培训卖的无非三样东西，课程内容、学习氛围、就业服务。知乎
课程内容，是两万里最不值钱的。网络基础、Web安全、渗透测试入门，B站上花点时间都能找到免费的，而且质量不差。
学习氛围和"有人带"，确实值点钱。自学最大的问题是卡住了没人问，容易放弃——看那些教程评论区就知道，新手卡的都是VMware桥接怎么设、装完系统鼠标没了这种基础问题。有人帮你点一下，省时间。
水分最大的是"就业服务"。很多机构说的包就业，实际是把你推荐给合作的乙方公司做安服驻场，工资低、活累，干两年跳槽还得靠自己。知乎这不叫包就业，叫输送劳动力。
价格我也帮你核了一圈：知乎上真实学员晒出来的费用，15800元、19800元、22000元的都有，主流区间就是1.5万到2.2万。知乎
而同一批帖子里提到的新手入行真实薪资，普遍在4500到6500元。知乎别信"零基础轻松月入过万"的话术——那正是割你之前铺垫的饵。
那个答案里最扎心的一句：报班真正值回票价的，往往是已经有基础、自学过一段时间、清楚自己缺什么的人。知乎零基础直接进去的，四个月学完只是皮毛，面试官一问细节就露馅。
免费这条路，其实能走很远
说回Kali本身。今年7月，Kali Linux 2026.2正式发布，离上一版2026.1（3月发布）正好三个月。知乎这次桌面环境迎来大版本升级，GNOME升到50，KDE Plasma升到6.6。Kali官网官方发布页里连新版桌面截图都直接放出来了：
新版本+8月B站扎堆上新"2026最新版教程"，现在正是新人入场的高峰——也正是被漏斗盯上最紧的时候。
但免费路线的完成度，比大多数人想象的高：
系统和文档：Kali官网直接下载镜像，官方有中文指南，装虚拟机这一步，官网文档+B站随便一个非引流的安装视频就够了；
靶场：DVWA、VulnHub这类本地靶场是免费的，教程里讲的漏洞复现，自己在虚拟机里就能练，全程合法；
实战：HTB（Hack The Box）打靶机、各大厂商的SRC挖漏洞，都是免费的、真刀真枪的练习场，而且这才是简历上真正有用的东西。
知乎上那位劝退报班的答主说得实在，入门这事根本不用先花钱。知乎
我的建议是给自己设一个"一个月免费试金石"：找一套B站上不带"加V领资料"的Web安全入门课，自己搭好Kali环境，把DVWA跑通。这一个月不花一分钱，但能回答两个最贵的问题——我到底适不适合干这行？我能不能坚持下来？
什么情况下才值得掏钱
不是说不该花钱，是花钱的时机要对。按我看到的这些真实案例，给你一个判断顺序：
先免费自学一个月。能坚持下来，说明这行可以考虑；坚持不下来，恭喜你省了两万。
卡住了再评估。如果你确实卡在"没人带、没方向"，而且经济上承受得起一两个月工资打水漂的风险，再去看班。
看班的时候盯三件事：让机构出示完整收费清单（靶场权限、考证题库、实战项目是不是另外收钱）；问清楚实操课时占比，渗透测试是练出来的不是听出来的；把"包就业"的具体含义写进合同——推荐去哪、什么岗位、薪资范围。
证书往后放。OSCP这类实操认证在业内认可度确实高，但那是你有了基础之后的事，不是入门门票。
顺带说下"练"到底长什么样。2026.2这个版本里，官方还把常用安全工具的启动做成了统一的一键脚本，练习就是每天这样跟工具和服务打交道。Kali官网
最后，两条红线
一条是法律的。B站Kali教程标题里最常见的词，除了"入门"就是"入狱"——这不是玩梗。哔哩哔哩未经授权扫描、渗透他人系统，不管你是练手还是炫技，都可能触碰法律。只在自己的虚拟机、自己的设备、明确授权的环境里折腾，这条线碰都别碰。
一条是钱包的。在你独立完成"装系统→搭靶场→复现一个漏洞"这个完整循环之前，不要为任何课程、资料、1V1指导付一分钱。能做到这一步的人，才有资格判断别人教的东西值不值钱。
学Kali这件事，最贵的从来不是课程，是你还没搞清楚自己要什么时，就先交出去的那笔钱。
