你打开一个网站，地址栏里输入 example.com/shop?透干id=1024，页面哗啦一下返回了商品详情。透干普通人看到的透干是价格和图片，搞渗透的透干人看到的是：id=1024 这个参数能不能换成 1025？换成 1024' 会不会报数据库错误？换成 1024 union select ... 能不能把用户密码表拖出来？——这就是 web 渗透最日常的思维动作。它不是透干去“黑掉”一个网站，而是透干像小偷踩点一样，把每个可能没关好的透干窗户、没锁死的透干后门挨个推一推。

我最早接触这个概念是透干在一次内部培训上。讲师扔给我们一个靶场环境，透干首页有个登录框。透干大多数人试了 admin/admin 没进去就放弃了。透干他输入 admin' --，透干密码随便填，透干直接进了后台。原理不复杂：后端 SQL 语句是 SELECT * FROM users WHERE username='$user' AND password='$pass'，那个单引号把 SQL 语句截断了，-- 把后面的密码检查注释掉了。一个符号，整个验证逻辑就塌了。web 渗透干的第一件事，就是把这种“设计者没想到的输入”找出来。

但渗透远不止 SQL 注入。你看到的每一个输入框、每一次文件上传、每一处 URL 跳转，甚至浏览器和服务器之间那些看不见的 HTTP 头，都是潜在入口。比如文件上传功能，如果只在前端用 JavaScript 检查后缀名，攻击者抓个包把 shell.php 改成 shell.jpg 再改回来，服务器照单全收。上传成功后访问那个 php 文件，服务器直接执行里面的代码——这就拿到了 webshell，相当于在别人家里装了个遥控门锁。

还有更隐蔽的。有些网站会根据 URL 参数去请求后端资源，比如 /proxy?url=http://internal-server/admin。渗透测试人员会把 url 改成 http://169.254.169.254/latest/meta-data/，这是云服务器的元数据地址，运气好能直接读到临时凭证。这种叫 SSRF，服务器端请求伪造。它不直接攻击网站本身，而是把服务器当成跳板，去摸内网里那些不对外公开的服务。我见过一个案例，某公司内网有个 Redis 没设密码，渗透人员就是从外网一个不起眼的图片加载接口一路摸进去的。

那渗透测试到底交付什么？不是“我攻破了”这么简单。一份合格的报告会写清楚：哪个 IP、哪个端口、哪个参数、用了什么 payload、返回了什么数据、风险等级是高还是中、修复建议是过滤输入还是升级组件。我见过最细致的报告，连“该漏洞可被用于横向移动至数据库服务器”这种攻击路径都画了图。客户拿到报告，开发照着修，修完再复测，闭环。

工具方面，Burp Suite 几乎是标配。它像个中间人，把你的浏览器和服务器之间的所有请求拦下来，你想改哪个参数就改哪个，想重放几次就重放几次。配合 sqlmap 自动跑注入，或者用 dirsearch 扫目录，效率很高。但工具永远只是辅助——真正决定成败的是对 HTTP 协议、数据库语法、操作系统权限模型的理解。一个只会点按钮的人，遇到 WAF 拦截就懵了；懂原理的人会去琢磨怎么编码绕过、怎么分块传输。

说白了，web 渗透就是站在攻击者的角度，用合法授权的方式，把网站可能被利用的弱点一个个翻出来。它不创造漏洞，只是发现漏洞。那些漏洞本来就躺在代码里，等着第一个找到它们的人。