内容摘要：凌晨两点，我盯着屏幕上那个跳动的光标。目标站点的登录框安静地躺在那里，像一扇虚掩的门。我输入了admin/admin，回车，页面弹出一行红字：密码错误。又试了admin/123456，还是不行。第三次

凌晨两点，渗透初级我盯着屏幕上那个跳动的渗透初级光标。目标站点的渗透初级登录框安静地躺在那里，像一扇虚掩的渗透初级门。我输入了admin/admin，渗透初级回车，渗透初级页面弹出一行红字：密码错误。渗透初级又试了admin/123456，渗透初级还是渗透初级不行。第三次，渗透初级我输入了administrator/password，渗透初级页面刷新，渗透初级竟然进去了。渗透初级

这就是渗透初级渗透测试的初级形态——不是电影里那些炫酷的代码雨，而是渗透初级不断试探、碰壁、再试探的笨功夫。真正的入门，从学会“猜”开始。猜默认口令，猜后台路径，猜开发者的习惯。很多系统脆弱得超乎想象，不是因为技术多高深，而是因为管理员太懒。我见过一家公司把财务系统密码设为“caiwu888”，也见过某政府网站的备份文件直接放在根目录，后缀是.zip，点开就能下载。

你得学会看HTML源码。别笑，这是最基础的侦查手段。注释里常常藏着开发者的秘密：。这种话我碰到过不止一次。有一次，我在一个电商站点的源码里发现了一段被注释掉的调试代码，里面硬编码了数据库连接信息。顺着那条线索，我摸进了他们的客户信息表。整个过程没用任何工具，就靠浏览器自带的“查看源代码”功能。

再往下走，就是参数篡改的游戏。网页表单提交价格时，你有没有想过把100改成1？很多初级开发者以为前端校验就够了，后端不设防。我认识一个朋友，专挑那些小电商平台练手，把商品单价改成0.01元下单，还真让他成功过几回。当然，这属于破坏性测试，正经渗透测试得先拿到授权，否则就是犯罪。但原理是一样的——信任用户输入，是一切漏洞的根源。

SQL注入是绕不开的坎。老掉牙的技术，但至今仍有大量站点中招。你在搜索框输入一个单引号，页面报错，那就说明有戏。报错信息会告诉你数据库类型、表结构，甚至直接暴露查询语句。我见过最夸张的一次，某个招聘网站的搜索功能直接把SQL语句打印在页面上，等于把数据库大门钥匙放在门口垫子下面。用union select拼接几个字段，就能把用户表拖出来。整个过程像拼乐高，一块一块扣上去，直到整个结构清晰可见。

别急着学那些花哨的漏洞利用框架。先把Burp Suite的代理抓包玩明白，学会看请求和响应的每一行。我刚开始学的时候，把百度首页的请求包改了又改，看服务器返回什么差异。就这么练了一个月，后来看到任何网站，脑子里会自动拆解它的请求逻辑。这种“手感”比任何教程都管用。

最容易被忽略的是信息收集。谷歌搜索语法用好了，比任何扫描器都强。site:xxx.com filetype:xls，一搜，员工通讯录出来了。再搜inurl:login，后台入口找到了。有一次我接了个授权测试，客户说他们的系统很安全。我没直接动手，先搜了他们的域名邮箱，发现有人在技术论坛发帖问问题，附带了一段配置文件内容。里面就有内网IP和账号。顺着这个信息，我从外网绕进了他们的内网，前后不到半小时。

说到底，渗透测试入门拼的不是知识储备，是耐心和好奇心。你得愿意在别人觉得枯燥的地方多待一会儿。那个登录框，那个搜索框，那个看起来不起眼的下载链接——漏洞往往就藏在最普通的交互里。多问一句“如果这里换成别的值会怎样”，多试一次“加个引号会报错吗”。

技术会过时，工具会更新，但那种“想看看门后面是什么”的冲动，才是这行真正的敲门砖。你现在打开浏览器，随便找个合法的测试靶场，试着改改参数，看看响应有什么变化。就从这一步开始，剩下的路会自己展开。