web网站的渗透测试流程

拿到一个授权目标，渗透我最先干的测试事不是扫端口，也不是流程掏漏洞扫描器。我会先打开浏览器，渗透像个普通用户一样把网站点一遍。测试注册流程、流程搜索框、渗透支付页面、测试个人中心，流程这些地方往往藏着最简单的渗透逻辑漏洞。去年测试某个电商平台，测试注册完直接改返回包里的流程用户等级参数，居然能进后台看到所有订单信息。渗透这种低级错误，测试扫描器永远发现不了。流程

手动逛完，才开始上工具。Nmap扫端口是必须的，但别光盯着80和443。我习惯把全端口都扫一遍，很多内网管理后台就挂在某个高端口上。曾经有个客户，他们的开发环境直接暴露在8080端口，连个登录验证都没有。扫描结果出来后，我会对照着看中间件版本，Apache、Nginx、Tomcat，哪个老用哪个，网上公开的CVE直接查。

接下来是目录爆破。这里有个小技巧，字典不用太大，但一定要包含常见备份文件。.bak、.git、.svn这些，有时候直接下载源码比渗透快多了。有次测试一个政府网站，爆破出www.zip，解压后连数据库密码都写在配置文件里。你说这算渗透还是算捡漏？

参数层面的测试得靠手工。SQL注入虽然老套，但永远有效。我习惯先加个单引号看报错，再判断闭合方式。布尔盲注太慢，直接上sqlmap，但得盯着流量，防止把生产库给跑挂了。XSS测试我会在留言板、搜索框这些能回显的地方插入payload，不是为了弹个alert那么简单，得尝试窃取cookie或者构造钓鱼页面。

文件上传点是个宝。遇到上传功能，我第一反应是传个图片马，改后缀不行就试双写、大小写绕过。更阴险的做法是上传.htaccess或者web.config，直接让服务器解析规则失效。记得有次测一个文档管理系统，上传功能过滤了php后缀，但没拦.htaccess，我写了个把txt解析成php的规则，直接拿下webshell。

逻辑漏洞测试最考验脑力。越权操作、验证码绕过、支付金额篡改，这些都得靠业务理解。我常干的事是注册两个账号，一个普通用户一个VIP，对比请求参数差异。很多网站把权限判断放在前端，后端完全不校验，改个参数就能看VIP内容。还有那些短信轰炸、邮件轰炸，虽然不算高危，但能证明开发没做频率限制。

整个流程走完，我会把所有发现整理成报告。但报告里最关键的，不是漏洞列表，而是攻击路径的复现步骤。你得告诉客户，一个黑客是怎么一步步从访问首页到拿到服务器权限的。纯技术漏洞清单没意义，业务风险才是他们关心的。比如SQL注入能拖库，那就得说明泄露的数据量有多大，可能造成什么法律后果。

最后说句实在话，渗透测试不是炫技，是跟开发人员比耐心。你永远不知道对方会在哪个环节偷懒，但每个偷懒的地方，都是突破口。