去年帮一家小电商做渗透测试，渗透老板拍着胸脯说“我们系统绝对安全，测试花了三万买的入门防火墙”。结果我连漏洞扫描器都没开，渗透先打开浏览器输了个 ' OR 1=1 --，测试后台登录页直接跳进了管理员面板。入门他脸都绿了。渗透渗透测试就这么回事——不是测试拿着工具乱扫，而是入门像小偷踩点一样，先找最薄弱的渗透窗户。

很多人以为渗透测试就是测试跑跑 Nessus、AWVS，入门出一份满是渗透红色高危的 PDF。那叫漏洞扫描，测试不叫渗透。入门扫描器会告诉你“这里可能有个 SQL 注入”，但不会告诉你这个注入能不能拖库、能不能绕过 WAF、能不能串联其他漏洞拿到域控。真正的渗透测试人员，手里工具可能就一个 Burp Suite 加一个浏览器，剩下全靠脑子。

入门第一步不是学工具，是学“怎么像攻击者一样思考”。我刚开始那会儿，师傅扔给我一个靶场，说“你今天的目标是拿到 admin 的密码”。我折腾半天扫端口、找指纹，没进展。他走过来，看了一眼登录页的“忘记密码”功能，输了个 admin' --，密码重置链接直接发到了我邮箱。就这？就这。逻辑漏洞比技术漏洞多得多。

HTTP 协议得吃透。不是背状态码，是理解请求和响应的每一个字段。比如 Cookie 里那个 role=user，你改成 role=admin 试试？很多系统只在前端校验权限。再比如 Referer 头，有些后台只允许从站内跳转，你把 Referer 改成 http://localhost/admin 就能绕过。这些细节扫描器扫不出来，得手动测。

工具方面，Burp Suite 社区版够用了。别一上来就买专业版，先搞懂 Proxy、Repeater、Intruder 这三个模块。Proxy 抓包改包，Repeater 手动重放请求，Intruder 做爆破或 fuzzing。我见过有人用 Intruder 跑 10 万条字典找目录，其实 dirsearch 更省事。工具是死的，场景是活的。

SQL 注入、XSS、文件上传、命令执行——这些老生常谈的漏洞，现在纯手工挖到的概率越来越低。但别灰心，逻辑漏洞、越权、支付篡改、验证码绕过，这些才是重灾区。上个月测一个外卖系统，把订单金额从 38 元改成 0.01 元，后端居然不校验，直接支付成功。这种漏洞扫描器永远发现不了。

法律红线得刻在脑子里。没有书面授权，别碰任何非自己拥有的系统。我认识一个哥们，闲着没事扫了某政府网站，第二天警察上门。渗透测试和黑客行为之间，就差一张授权书。授权书里要写清楚测试范围、时间窗口、允许的测试手法。别嫌麻烦，这是保命的。

最后说个实在的：别指望看完一篇文章就能挖洞。找个靶场，DVWA、Pikachu、SQLi-Labs，一个一个通关。每关别只用一种方法，试试不同的 payload，看看后端返回什么。遇到报错别跳过，报错信息里往往藏着数据库版本、路径、甚至源码片段。渗透测试的乐趣就在这儿——你永远不知道下一个请求会返回什么。