内容摘要：```html web攻防渗透技术实战 body { font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto,

```html

web攻防渗透技术实战

去年帮朋友看一个电商后台，登录框用 admin' OR '1'='1 居然直接进去了。透技他当场愣住，术实说这系统花了三万块找外包做的防渗。我没笑，透技因为十年前我第一次摸SQL注入时，术实也以为这是防渗魔法。攻防这件事，透技说穿了就是术实信息差——你知道的漏洞，对方不知道；或者反过来。防渗

渗透测试的透技核心从来不是工具。有人抱着Burp Suite和sqlmap跑一遍，术实报告里塞满“存在高危漏洞”，防渗但连请求包里的透技X-Forwarded-For都没改过。真实环境里，术实WAF会拦你，CDN会迷惑你，甚至一个自定义的token生成逻辑就能让自动化工具全瞎。我习惯先手动点一遍所有功能，看URL参数、看Cookie结构、看返回头里的Server字段。有次发现某后台的JSESSIONID是递增的，直接写个脚本遍历，十分钟拿到管理员会话。这玩意儿教科书不教，但实战里比什么0day都管用。

XSS现在被说烂了，可存储型XSS在后台管理系统里依然一打一个准。某次测一个工单系统，客户提交反馈的地方过滤了<script>，但没管<img src=x onerror=alert(1)>。更妙的是，管理员查看工单时，那个页面还加载了jQuery 1.6——老版本有已知的html()解析漏洞。我构造了个payload，把管理员Cookie发到自己的VPS上。整个过程没用什么高级技巧，就是耐心看代码、试边界。

“渗透测试报告里写‘建议升级框架版本’是最偷懒的做法。甲方要的是能复现的利用链，不是一堆CVE编号。”

文件上传更是个重灾区。黑名单校验.php？那就传.phtml、.php5，或者.htaccess配合AddType。有次遇到前端用JS校验后缀，我直接Burp改包，传了个shell.php.jpg，后端只检查了Content-Type。拿到shell后一看，www-data权限，但/tmp可写，系统内核是2.6.32——脏牛提权走起。这些操作在靶场里练过无数遍，真打的时候手还是会抖，因为生产环境没有快照可回滚。

防御方其实更累。你修了SQL注入，可能忘了二次注入；上了WAF，可能规则太严把正常业务拦了。我见过一个甲方运维，把mod_security开成Paranoia Level 4，结果后台编辑文章时带个select单词就被403。攻防的平衡点在于：攻击者只需要找一个缺口，防御者要堵所有洞。所以实战中，攻击者往往用最笨的办法——翻JS源码找接口、看robots.txt、试弱口令。某次用admin/admin123进了某市政务系统，你敢信？

工具会更新，漏洞会修补，但人的疏忽永远在。上周看一个SRC案例，某大厂子站存在SSRF，攻击者用gopher://打内网Redis，写计划任务拿服务器。技术本身不新，但组合起来就是致命。搞渗透的人得有点“洁癖”——每个输入点都怀疑，每个返回包都细看。别总想着一步getshell，先想想怎么把信息收集做扎实。毕竟，你面对的不是靶机，是活生生的业务逻辑和可能熬夜加班的运维。

---

最后说个真事。某次攻防演练，我盯了一个目标三天，没找到入口。第四天凌晨两点，随手试了/api/v1/user/list?page=1&size=1000，返回了全量用户数据——接口没鉴权。所以啊，有时候不是技术不够，是耐心不够。渗透这行，七分靠信息收集，两分靠运气，剩下一分才是那点“黑客技术”。

```