如何对一个网站进行渗透测试

真正的何对渗透测试不是拿扫描器跑一遍就完事。我见过太多所谓“安全工程师”开着Nessus扫出几个高危漏洞，个网截图丢进报告里交差，站进结果客户的行渗生产环境被一个未授权访问的接口捅穿——那种漏洞扫描器根本看不出来。所以第一步，透测你得先忘掉工具，何对用浏览器打开目标站点，个网像个普通用户一样点一遍所有功能。站进

注册、行渗登录、透测搜索、何对上传、个网支付、站进导出，行渗每个按钮都别放过。透测这时候你脑子里得有个清单：这个参数会不会拼进SQL？那个文件名能不能改后缀？密码重置流程里有没有逻辑漏洞？我去年测一个电商站，发现他们忘记密码的验证码只校验前四位，后两位随便填——这种问题，你光靠自动化工具永远测不出来。

摸清功能后，开始抓流量。Burp Suite是标配，但别只盯着请求包看。把响应里那些注释、隐藏字段、调试信息全翻出来。有一次我在一个政府网站的JS文件里找到个/api/debug接口，直接返回了数据库连接字符串。这种低级错误，往往藏在最不起眼的地方。抓包时多留意Cookie的HttpOnly标志，还有那些看似随机的参数——有时候改个ID就能看到别人的订单。

接下来才是扫描器上场的时候。但用工具也有讲究。先跑目录扫描，用dirsearch或ffuf，字典别用默认的，把常见框架的路径加上。WordPress的wp-content、Laravel的storage/logs、Spring的actuator，这些才是重点。漏洞扫描器我推荐AWVS或Xray，但扫出来的结果得逐个验证。SQL注入的payload能不能真把数据带出来？XSS的payload能不能绕过CSP？扫描器说“可能存在”，你得自己确认“确实存在”。

验证漏洞时，最怕打草惊蛇。别一上来就丢sqlmap的--dump参数，先手动构造一个简单的报错语句，看看数据库类型。MySQL的报错和Oracle长得完全不一样，盲注更是考验耐心。我习惯先试时间盲注，延迟3秒以上才敢确认。XSS也一样，先弹个alert(1)，看看浏览器拦不拦，再考虑怎么打cookie。

权限提升往往是整个测试的高潮。拿到一个低权限账号后，试着越权访问管理后台。改URL里的role参数、翻JS找隐藏接口、看有没有不安全的直接对象引用。一次测试里，我通过修改响应包中的“isAdmin:false”为“true”，直接进了后台——后端压根没校验。这种设计上的信任，比任何技术漏洞都致命。

最后是写报告。别堆扫描结果，按业务风险排序。最危险的不是CVSS 10分的漏洞，而是能被攻击链串联起来的问题——比如一个反射型XSS加上管理员弱口令，就可能变成存储型蠕虫。报告里每个漏洞都得写清楚复现步骤、影响范围、修复建议，最好附上截图和请求包。客户看不懂技术细节，但你要让他们明白：这个漏洞被利用后，用户数据会泄露，公司会赔钱，信誉会受损。

渗透测试的本质是模拟攻击者的思维，不是按部就班地执行checklist。多试试那些“不按套路出牌”的操作，比如把文件名的后缀改成.jpg，内容却塞php代码；或者用中文输入法绕过密码强度限制。真正的漏洞往往藏在开发者的疏忽里，而你的工作就是比他们更细心、更狡猾。