打开浏览器，渗透输入一个网址，测试敲下回车。渗透你看到的测试页面背后，可能藏着几十个没关紧的渗透门。在线Web渗透测试，测试说白了就是渗透拿这些门挨个推一遍，看哪个能推开，测试推开后能拿到什么。渗透

我最早接触这块是测试给一个朋友的博客做检查。他觉得自己用了最新版WordPress，渗透插件也勤更新，测试应该没啥问题。渗透我挂上Burp Suite，测试把请求拦下来，渗透改了一个参数，页面直接回显了数据库报错信息。顺着报错，我拿到了表名，再往下走，管理员密码哈希就出来了。整个过程不到二十分钟。他站在旁边看着，脸色从自信变成铁青。这就是在线渗透测试的日常——你以为固若金汤，其实只是没人认真看过。

在线测试和本地搭环境跑扫描器是两码事。本地靶场像练拳击的沙袋，怎么打都行。线上目标有防火墙、WAF、速率限制，还有真实业务逻辑。你扫快了，IP被封；你发个单引号，可能触发告警。所以第一步永远是信息收集，不是直接上工具。子域名、开放端口、历史漏洞、员工邮箱、甚至GitHub上不小心提交的配置文件，这些碎片拼起来，比任何自动化扫描器都管用。

工具这块，Burp Suite社区版够用了。拦截代理、重放请求、Intruder跑字典，三板斧下来能覆盖大部分常见问题。SQL注入用sqlmap，但别直接sqlmap -u就完事，得先把Burp里抓到的请求存成文件，加上-r参数，再调--level和--risk。XSS的话，手动测比工具准，因为现代框架的转义规则千奇百怪，自动化payload经常打偏。我习惯在输入点先试<img src=x onerror=alert(1)>，没反应就换javascript:伪协议，再不行看返回的Content-Type，如果是application/json，那反射型基本没戏，得找DOM型。

有个坑我踩过好几次：测试时用了OR 1=1，结果把生产库的某张表锁了。后来学乖了，所有注入测试先加AND 1=2确认回显差异，再用AND SLEEP(5)做时间盲注，绝不碰写操作。还有一次，测文件上传，传了个jsp上去，没执行，但服务器返回了完整路径。那个路径暴露了中间件版本，顺着版本号搜到一个反序列化漏洞，最后拿到了shell。这种链条式利用，在线环境里比靶场刺激得多，因为每一步都可能触发风控。

认证和会话管理是重灾区。很多人只盯着登录框，忘了密码重置、记住我、OAuth回调。我见过一个站，密码重置的token是base64编码的用户名加时间戳，没签名。改一下用户名，就能重置任意账户的密码。还有JWT，alg改成none，或者把HS256的密钥爆破出来，都是老套路，但线上依然一打一个准。

最后说点实在的。在线渗透测试别贪快，别用那些一键getshell的脚本乱扫。你扫的是别人的业务，扫挂了要负责。拿到权限后，第一件事是写报告，不是翻数据。截图、请求包、响应包、时间戳，一个都不能少。我习惯用Obsidian记笔记，每测一个点就贴一段原始流量，最后导出PDF。客户要的不是你多厉害，是你怎么发现的、影响是什么、怎么修。修不了的地方，给临时缓解方案，比如WAF规则或者接口下线。

这行没有银弹。今天能打穿的目标，明天打个补丁就没了。保持手热，保持好奇，别把扫描器当答案。