我见过太多人学web安全，全入上来就装虚拟机、全入配kali、全入扫端口，全入然后对着报告发呆。全入这不是全入入门，这是全入自欺欺人。

真正的全入入门，是全入从一个漏洞开始的。别贪多。全入

拿SQL注入来说。全入你去一个网站，全入看到搜索框，全入输入一个单引号 '，全入页面报错了。全入那一瞬间，你手里捏着的不只是键盘，是数据库的钥匙。报错信息泄露了字段名、表名，甚至数据库版本。你不需要懂什么高深理论，你只需要明白：开发者把用户输入直接拼进了SQL语句。这就是漏洞的本质——信任了不该信任的东西。

我当年第一个漏洞是个XSS。在一个论坛发帖，标题里塞了段script标签，结果管理员一登录，cookie就被我拿到了。说实话，那会儿我连cookie和session的区别都讲不利索，但那种“我能让别人的浏览器执行我的代码”的震撼，比任何教科书都管用。

所以，别急着啃那些几百页的《Web应用安全权威指南》。先找个合法的靶场，比如DVWA或者Pikachu，把每个漏洞类型亲手触发一遍。SQL注入、XSS、CSRF、文件上传、越权访问——每个漏洞都像一个性格迥异的对手，你得挨个交手，才能摸清它们的脾气。

注意，我说的是“亲手触发”，不是看视频，不是读writeup。你亲自把payload打进去，看着页面反应，调整参数，再打进去，这个循环才是长本事的过程。就像学骑车，摔几跤比看十遍教学视频管用。

等你把靶场玩腻了，就去找真实目标。别碰政府、银行、医疗这类敏感站点，那是找麻烦。去找那些小公司的网站、个人博客、开源项目。它们防护薄弱，而且很多都有漏洞赏金计划。你提交一个有效漏洞，不仅能拿钱，还能积累实战经验。我认识一个朋友，就是靠挖某开源CMS的存储型XSS，拿到了第一份安全公司的offer。

工具当然要学。Burp Suite是吃饭的家伙，SQLMap能帮你自动化注入，但别依赖它们。我见过太多人只会点一下SQLMap的按钮，然后看着终端滚屏，根本不知道发生了什么。工具是拐杖，你最终得扔掉拐杖自己走路。手动构造payload，观察响应差异，理解背后的逻辑，这才是内功。

另一个容易忽视的点是HTTP协议本身。Cookie、Session、Referer、Origin、Content-Type——这些头信息里藏着大量攻击面。比如CSRF，本质就是利用了浏览器自动携带Cookie的机制。你如果不懂HTTP是无状态的，不懂Cookie是怎么维持会话的，你就没法理解为什么一个图片请求就能让用户修改密码。

最后说一句可能得罪人的话：别迷信CTF。CTF题目是人为构造的，答案固定，环境干净。真实世界的漏洞往往藏在业务逻辑里，脏、乱、复杂。你花三个月刷CTF，不如花三个月去读开源项目的代码，找找它们哪里过滤不严，哪里逻辑矛盾。读代码的能力，才是安全从业者的核心竞争力。

入门这条路，说长不长，说短不短。有人半年就能独立挖洞，有人两年还在原地打转。区别不在智商，在于有没有真的把手弄脏。去动手吧，先拿个DVWA，把那个单引号敲进去。