小白如何挖漏洞
挖漏洞这事，小白真没你想的何挖那么玄乎。我见过最离谱的漏洞漏洞，是小白一个实习生用手机浏览器点点点，就把某家银行的何挖分支机构后台给掀了——那后台的登录框连个验证码都没有，密码还是漏洞admin。
你可能会说，小白那是何挖运气。但运气背后有逻辑。漏洞漏洞本质上是小白“预期和现实之间的缝隙”。开发者觉得用户会老老实实填表单，何挖你觉得呢？漏洞你偏不。你往那个输入框里塞一段<script>alert(1)</script>，小白看看它会不会弹窗。何挖弹了，漏洞就是XSS，不弹，你就换一种编码绕绕。就这么简单粗暴。
小白的第一课，不是去啃那些几百页的渗透测试手册，而是学会“手痒”。看见任何登录框、搜索框、上传按钮，都下意识多敲几个特殊字符。我有个朋友，第一次挖洞是在某个招聘网站上，他随手在简历的“姓名”栏填了'or 1=1--，结果后台直接把他当管理员放行了。他当时连SQL注入是什么都说不清，但漏洞确实被他撞上了。
别急着上那些重型工具。Burp Suite、sqlmap这些，装了也是摆设，你连数据包长啥样都看不懂，扫出来的结果只能让你更懵。先学会用浏览器自带的开发者工具，按F12，看网络请求，看响应内容。看到某个参数是id=123，你就手动改成id=124，看看能不能看到别人的订单。这叫越权，危害大，难度低，是小白最容易出成果的方向。
再教你一招懒办法——盯“报错”。很多网站测试环境没关，你故意提交一个不存在的路径，比如/index.php?file=../../../../etc/passwd，它要是给你甩出一堆绝对路径、数据库报错信息，恭喜你，信息泄露漏洞到手了。这类漏洞在漏洞平台上虽然只算低危，但用来练手找感觉，比什么都强。
有个坑你得避开。别一上来就对着别人的线上系统狂轰滥炸，那叫违法。想练手，去专门的靶场，比如DVWA、Pikachu，或者漏洞平台上那些“公益SRC”。挑那些厂商自己都放弃治疗的边缘业务，比如某个子公司官网、某个老旧的论坛系统。大站防护严密，你撞得头破血流也不一定有收获，小站反而遍地是宝。
我印象最深的一次，是帮朋友看一个本地商城的APP。他死活找不到漏洞，我拿过来，发现APP有个“意见反馈”功能，提交的内容会直接同步到后台的邮件系统。我在标题里塞了个${ 7*7}，结果后台收到的邮件主题显示49——一个模板注入漏洞就这么出来了。整个过程没用到任何高深技术，就是多问了一句“这功能背后接的是什么”。
最后说点实在的。挖漏洞拼的不是技术，是耐心和好奇心。你得像个熊孩子，到处翻、到处戳，看哪儿不对劲就蹲下来研究。今天没收获太正常了，我连续一周零产出的时候，就翻翻之前的漏洞报告，看看人家是怎么从一个小细节扯出一条链的。那比看十篇教程都管用。
别怕犯错，但记得在授权范围内犯。挖到洞了别声张，截图留证，写清楚危害和复现步骤，提交给SRC平台换积分或奖金。这条路走通了，你会发现，漏洞不是bug，是开发者留给你的小纸条，就看你读不读得懂。