渗透小白

第一次摸到Burp Suite的渗透小白时候，我连代理是渗透小白什么都没搞懂。界面上一堆英文按钮，渗透小白像极了刚进网吧时面对满屏游戏图标的渗透小白感觉——想点，又怕点错。渗透小白

那天我照着教程，渗透小白把浏览器代理设成127.0.0.1:8080，渗透小白然后打开一个测试网站。渗透小白按下Intercept按钮的渗透小白瞬间，请求包像被施了定身术一样卡在屏幕上。渗透小白GET /login.php HTTP/1.1，渗透小白Host: test.com，渗透小白User-Agent: Mozilla/5.0……我盯着那几行字符，渗透小白心里冒出一个念头：这玩意儿到底能改吗？渗透小白

教程说能改。我试着把User-Agent改成“hacker”，渗透小白点Forward放行。页面刷新后，顶部显示“Welcome, hacker!”。那一刻的兴奋感，比考试蒙对最后一道大题还强烈。但紧接着我意识到——我只是改了个浏览器标识，服务器根本没验证。这算哪门子渗透？

后来慢慢知道，真正的门道藏在参数里。比如一个搜索框，输入“1”，返回的是搜索结果；输入“1'”，页面直接报错。那个红艳艳的SQL语法错误，像一道裂缝，透出数据库的影子。我照着网上的payload试了试：1' OR '1'='1。结果整个表的数据全吐出来了。那一刻我后背发凉——原来电影里那些黑客敲几个字符就拿到数据，真不是瞎编的。

但小白最容易栽跟头的地方，不是技术，是心态。我见过一个群友，拿到一个授权测试的站点，兴奋得连夜扫目录，扫出一堆备份文件，然后挨个下载。结果第二天对方运维找上门——他下载了包含数据库配置的.bak文件，还解压到了本地。这算越界了。授权范围写着“仅限Web应用层测试”，他跑偏到服务器文件层面去了。

那次之后我明白，渗透测试的第一课不是学工具，是学边界。你手里有把锤子，不代表所有东西都该敲一遍。尤其是当你发现一个看似“通杀”的漏洞时，先问自己：这玩意儿我能动到哪一层？动完会不会把别人整条业务线搞崩？

工具倒是越用越熟。sqlmap跑注入，nmap扫端口，dirsearch翻目录。但说实话，工具跑出来的结果，十个里有八个是误报。真正有用的判断，还是得靠人。有一次我扫到一个后台登录框，弱口令试了admin/admin居然进去了。后台里有个上传点，我传了个jpg，改了后缀成php，居然直接解析了。当时心跳飙到一百二，手抖着点了“删除”，然后退出登录，跟谁都没说。

不是我不想拿shell，是那个站点是个小企业的官网，后台还挂着他们的产品订单。我要是真留个后门，那叫破坏。后来我把这个漏洞写成报告交了上去，对方回复了一句“感谢提醒”，连个漏洞编号都没给。但说实话，那封邮件比任何证书都让我踏实。

现在回头看，渗透这条路，入门靠好奇，走下去靠克制。技术文档背得再熟，不如亲手踩一次坑；漏洞库翻得再多，不如想明白“为什么这个点能被利用”。小白最缺的不是payload，是判断力——什么时候该动手，什么时候该收手，什么时候该说“我不知道”。

这不，前两天我又在测试一个接口，参数里带了个callback，反射型XSS跑通了。我盯着那个alert弹窗，犹豫了三秒，然后关掉浏览器，在测试记录里写下一行字：存在反射型XSS，建议对callback参数做白名单校验。

然后去泡了杯茶。