凌晨两点，透教我盯着屏幕上的透教登录框，手边凉掉的透教咖啡已经没了热气。密码字典跑完最后一组组合，透教服务器返回的透教依然是冷冰冰的"Access Denied"。这种时候你才会明白，透教Web渗透根本不是透教电影里那种敲几下键盘就黑进五角大楼的戏码——它更像是在跟一个固执的对手下棋，每一步都要算准对方的透教防守习惯。

拿最常见的透教SQL注入来说。很多人以为找个带参数的透教URL，加个单引号看报错就完事了。透教但真实环境里，透教程序员早就在参数后面加了WAF规则，透教你提交的透教payload稍微带点特征就会被拦下来。我见过最刁钻的透教绕过方式，是把注入语句拆成十六进制编码，再用注释符拼接，最后配合大小写混淆才蒙混过关。这种对抗没有标准答案，全看你对数据库底层函数熟不熟。

XSS攻击又是另一番光景。记得有次测试一个论坛，所有输入框都做了HTML实体编码，看起来无懈可击。后来我发现在用户头像上传的EXIF信息里藏着payload，当管理员用浏览器直接预览图片时，那段脚本就在后台悄悄执行了。你看，漏洞往往藏在业务逻辑的夹缝里——开发者考虑到了输入输出，却忽略了元数据这个中间层。

文件上传漏洞更考验耐心。通常大家会试改Content-Type头，或者加个图片马后缀。但真正的高价值目标，往往在服务器解析差异上做文章。比如某套CMS允许上传.htaccess文件，你传个规则进去，让服务器把.jpg当作PHP解析，这种思路比单纯改扩展名高明得多。说白了，渗透测试考的是对服务器配置的熟悉程度，而不是背几个exp就完事。

说点实际的判断标准吧。一个合格的渗透测试报告，至少要包含三样东西：可复现的步骤、影响范围评估、修复建议。我见过太多人提交漏洞时只丢个截图，连请求包都不给，这种报告对开发团队毫无价值。反过来，如果你能明确指出漏洞出现在哪层代理后面、需要什么权限才能利用，那才是真正帮到对方。

工具用久了容易产生依赖。Burp Suite固然强大，但你得明白每个模块背后的原理。比如Intruder的爆破速度，其实受限于TCP连接复用机制，盲目开高线程反而会触发服务器的连接频率限制。这时候换个思路，用分布式代理池配合延迟控制，效果反而更好。技术这东西，知道底层逻辑才能灵活变通。

最后聊聊心态。碰到难啃的目标，别急着换工具链，先想想信息收集是不是到位了。子域名枚举、端口扫描、目录爆破，这些基础工作做扎实了，很多所谓的高难度漏洞其实都是因为暴露了管理后台或者测试接口。记住，渗透测试的胜负手往往在侦查阶段就决定了。