面试一个渗透测试岗位，网站笔试第一题是渗透给一段Python脚本，要求找出三处逻辑漏洞并说明利用方式。脚本我盯着屏幕看了五分钟，岗位发现出题人自己写的网站代码里，`requests.get` 后面跟了个 `verify=False`，渗透然后紧接着用 `eval` 处理响应内容。脚本这要是岗位在真实环境里跑，等于把服务器钥匙插门上还贴了张纸条写着“欢迎光临”。网站

网站渗透脚本这个岗位，渗透说白了就是脚本写代码去模拟攻击行为。但很多人搞混了一件事：渗透脚本不是岗位黑客工具合集，它是网站安全工程师的自动化探针。我见过太多简历上写着“精通SQL注入脚本编写”的渗透人，实际连一个带CSRF token的脚本登录表单都处理不明白。他们写的脚本长这样——直接拼接payload，遇到WAF就歇菜，遇到验证码就抓瞎，遇到动态加载的接口直接返回空字典。

真正吃这碗饭的人，每天干的事其实很枯燥。早上打开Burp Suite，把昨天跑了一夜的爬虫结果导出来，筛出所有带参数的URL。然后写个多线程脚本，给每个参数位置塞入测试向量。这里有个细节：很多教程教你用 `time.sleep(1)` 来避免触发频率限制，但实际项目中，你面对的是Cloudflare或者阿里云WAF，固定延迟根本没用。我的做法是随机化请求间隔，同时维护一个代理池，每个请求换一个出口IP。代码量不大，但能跑通的人不多。

去年帮一家电商做授权测试，他们的登录接口有个奇怪的现象：连续失败五次后返回“账号锁定”，但用不同IP继续请求，锁定状态居然不共享。我写了个脚本，用两百个代理IP轮流试同一个账号，字典跑完三万条，密码出来了。事后复盘，问题出在他们用Redis存失败计数，但key只用了用户名，没加IP维度。这种漏洞扫描器扫不出来，只能靠手写脚本去撞。

渗透脚本岗位的核心能力不是写代码，是理解业务逻辑。比如一个优惠券领取接口，正常请求是 `POST /coupon/receive`，body里带 `coupon_id`。你写脚本批量领，发现每个账号只能领一次。这时候别急着放弃，去看看响应头里有没有 `X-Request-Id`，或者试试把 `coupon_id` 改成数组格式 `[1,2,3]`。很多框架对数组参数的处理有缺陷，一次请求能领三张券。这种细节，扫描器不会告诉你。

再说说工具链。Python是主流，但别只会用requests。`httpx` 支持异步，跑批量任务快一个数量级。`playwright` 能处理JavaScript渲染的页面，对付SPA应用比selenium轻量。还有，学会用 `mitmproxy` 写内联脚本，实时修改请求响应。我习惯在测试环境挂一个mitmproxy，把所有经过的流量里的敏感字段自动替换成测试数据，避免误操作生产库。

最后聊点实在的。这个岗位的薪资跨度很大，初级脚本小子月薪八千，高级渗透开发能拿四万。区别在哪？初级只会跑现成工具，高级能根据业务场景定制攻击链。比如针对GraphQL接口，你得写脚本自动提取schema，然后遍历所有mutation操作。针对WebSocket，你得处理帧掩码和心跳包。这些没有现成教程，全靠读协议文档和抓包分析。

如果你真想入行，别去刷那些CTF靶场了。找个开源CMS，自己搭一套，然后写脚本去挖它的漏洞。从信息收集到漏洞利用，全流程自动化。跑通十个不同架构的CMS，比考十个证书管用。这行看的是实战输出，不是理论分数。