去年冬天，透研我帮一个做电商的透研朋友看他的服务器日志。凌晨三点，透研有人用sqlmap在批量扫他的透研商品详情页，请求参数里塞满了UNION SELECT。透研他完全不知道。透研网站没崩，透研用户没投诉，透研但数据库里那三万条订单记录，透研很可能已经被拖走了。透研

这就是透研web渗透的日常——没有电影里那种绿字黑屏的炫酷画面，更多时候是透研悄无声息的试探，像有人半夜挨个拧你家门把手，透研拧不开就走，透研拧开了也不一定马上进去。透研

漏洞不是"技术问题"，是"人的问题"

我见过太多人把渗透测试理解成"找个黑客来黑一下"。实际上，大部分能打进去的口子，追根溯源都不是什么高深的0day。去年某中型企业的一次内部演练，攻击队拿下的第一个据点，是运维在GitHub上存了一个config.php，里面数据库密码是明文。这个文件在公开仓库里躺了两年。

还有一次更离谱。目标站的后台登录页面，验证码是前端JS生成的——也就是说，你把JS禁掉，验证码框直接消失。这种逻辑漏洞，扫描器扫不出来，但人看一眼就明白。渗透的核心从来不是工具多牛，而是你能不能像开发人员一样思考，再像破坏者一样行动。

信息收集决定了你后面80%的效率

很多人一上来就掏出AWVS对着域名猛扫。我以前也这样，扫了半天出一堆误报，真正能用的没几个。后来一个老手跟我说：你花三天时间做信息收集，后面三天就能打完；你花三小时做信息收集，后面三十天也打不完。

这话不夸张。子域名、C段、指纹识别、目录爆破、历史泄露数据——这些东西拼在一起，才能画出目标的真实攻击面。比如你知道目标用了某版本的Shiro框架，那直接上对应的反序列化利用链就行，根本不用瞎扫。渗透测试的本质是信息不对称的博弈，你知道的比防守方以为你知道的越多，你就越主动。

一个真实的案例：从旁站到主站

前年有个项目，主站防护做得不错，WAF规则很严，直接打没戏。但我在扫C段的时候发现同一IP下有个测试站，test.xxx.com，上面跑着一套老版本的WordPress，插件目录权限没关。用wpscan扫出两个已知漏洞，上传了一个webshell。然后从这台机器上翻到了内网数据库的连接配置——密码和主站是同一套。

整个过程没有用任何高级技巧。就是耐心。很多人打到主站发现进不去就放弃了，但渗透的乐趣在于，防守方往往会把最薄弱的环节暴露在最不起眼的地方。测试站、旧版API、忘记下线的后台、离职员工留下的VPN账号，这些都是入口。

工具只是手，思路才是脑

Burp Suite、sqlmap、nmap这些工具我每天都在用。但工具解决的是"怎么做"，不是"做什么"。你拿到一个登录框，是试弱口令、试SQL注入、试逻辑绕过、还是试短信轰炸？这个判断来自你对业务的理解，不是工具能替你做的。

我现在带新人，第一周不教工具，让他们手动去测一个自己搭的DVWA。用浏览器、用开发者工具、用curl，就是不用自动化扫描器。目的是让他们建立"请求-响应"的直觉。等你看到Set-Cookie里有个role=user，第一反应是去改它，而不是去跑扫描器——那时候你才算入门了。

web渗透这件事，说到底就是跟人斗。写代码的人留了什么后门，运维的人偷了什么懒，安全的人漏配了什么规则——你把这些缝隙找出来，串起来，就能进去。技术会过时，漏洞会修补，但这种"找缝隙"的思维方式，一直有用。