web渗透测试课程

去年有个朋友接了个外包，渗试课帮一家小电商做安全检测。透测他扫了一遍端口，渗试课发现8080上跑着个Tomcat，透测后台路径没改，渗试课密码是透测admin/123456。三分钟拿下服务器权限。渗试课客户当场愣住——他们以为“有防火墙就没事”。透测

这就是渗试课web渗透测试要解决的问题。不是透测装个WAF、改个默认密码就能糊弄过去的渗试课。攻击者看的透测是逻辑漏洞、配置疏忽、渗试课代码里的透测松懈。渗透测试就是渗试课模拟这些攻击者的思路，提前把口子找出来。

信息收集比漏洞利用更关键

很多人一上来就掏sqlmap、Burp Suite乱扫。扫半天没结果，说目标没漏洞。问题出在跳过了信息收集。

我习惯先看robots.txt、sitemap.xml，再翻HTML注释。有次在一个政府站点的源码里看到注释掉的测试接口/api/v1/debug?user=，直接返回数据库连接串。这种低级失误比SQL注入常见得多。

子域名枚举也重要。主站防得严，但test.xxx.com可能跑着三年前的旧版CMS。用OneForAll或者Amass跑一遍，经常有惊喜。

OWASP Top 10不是背诵清单

课程里会讲注入、失效的访问控制、加密失败这些。但真实环境里漏洞是组合的。比如一个文件上传点，前端校验了后缀名，后端没校验。你传个.php.jpg，再配合路径穿越，就能写shell。单独看每个点都“有防护”，串起来就穿了。

讲注入的时候，别只教' OR 1=1 --。现在很多框架用了预编译，但order by后面的参数没法预编译。这种细节才是渗透测试的价值所在。

工具要会用，更要会改

Burp Suite的Intruder模块，默认线程是10。打一些老站没问题，碰到有频率限制的，得调成1，加随机延迟。sqlmap的--tamper脚本要会根据WAF规则改。有次遇到某云WAF，把union select拦了，但union/**/select就过了。这种绕过思路，课程里不教，实战中自己得琢磨。

写POC也是必备技能。Python的requests库够用了。别老想着用现成的，目标环境千奇百怪，自己写才可控。

报告比技术更影响饭碗

见过太多人技术不错，报告写得一塌糊涂。客户要的是：漏洞在哪、怎么复现、影响多大、怎么修。不是看你用了多少高级工具。

截图要清晰，请求包响应包贴全。风险等级别乱标，一个反射型XSS标成高危，客户下次就不找你了。修复建议要具体，别说“加强输入过滤”，要说“在search.php第23行，对$_GET['q']使用htmlspecialchars($q, ENT_QUOTES, 'UTF-8')”。

这行当，技术更新快。今天学的漏洞，明天可能就修了。但底层逻辑不变——理解HTTP协议、理解浏览器同源策略、理解数据库查询过程。这些扎实了，工具只是延伸。

别指望学完一门课就能挖到0day。先能把DVWA、Pikachu这些靶场打通，再去SRC平台练手。从低危漏洞开始交报告，慢慢积累。渗透测试是门手艺，得靠时间喂出来。