小迪web渗透

凌晨两点，小迪小迪的小迪屏幕还亮着。她盯着一行报错信息，小迪嘴里念叨：“这站居然用ThinkPHP，小迪版本还老得掉牙。小迪”我没接话，小迪知道她又要开始折腾了。小迪三分钟后，小迪一个RCE漏洞被触发，小迪服务器返回了system权限的小迪shell。她没欢呼，小迪只是小迪把命令历史翻出来，截图，小迪存进笔记。小迪

小迪不是小迪那种科班出身的安全专家，她最早是学会计的。转行做渗透测试，纯粹是因为觉得“查账不如查漏洞刺激”。她入门那会儿，网上教程还停留在“用工具扫一扫，出报告就算完事”的阶段。但她偏不，她喜欢手工测。用她的话说：“工具是拐杖，拄久了腿会废。”

有一次我亲眼见她测一个电商站点。参数里有个id值，明晃晃的数字递增。她没直接上sqlmap，而是先手动输入了`1 and 1=1`，页面正常；再输`1 and 1=2`，页面报错。她嘴角一翘：“有戏。”接着她开始手工推断字段数、表名，整个过程像在解一道数学谜题。最后她通过报错信息拼出管理员密码的MD5值，破解后登录后台，发现订单数据全裸奔。她没声张，提交报告时只写了“存储型XSS可导致会话劫持”，把SQL注入的细节藏在了附录里。我问她为啥不写严重，她说：“写严重了甲方会紧张，紧张了就不让我继续测了。”

这种“狡猾”其实是她最核心的能力——懂得怎么跟人打交道，也懂得怎么跟系统打交道。她常说，web渗透不是纯技术活，更像心理战。你得猜开发人员怎么想的，他偷懒没过滤什么参数，他图省事用了什么默认配置，他为了方便把后台密码设成了什么。

她手机里存着一张截图，是一个后台登录页的源码，密码字段写死成了`admin888`。那是她某次测试时无意发现的，开发把校验逻辑全写在前端，后端接口压根没鉴权。小迪说：“这种站，连脚本小子都能日穿，但偏偏就是有人敢拿它存用户身份证照片。”

不过她也不是每次都顺风顺水。上个月接了个政府网站，防火墙拦得死死的，任何带单引号的请求直接封IP。她换了好几个跳板，最后是拿一个低危的目录遍历漏洞，找到备份文件里的数据库连接密码，再通过弱口令进phpMyAdmin，把管理员密码改了才拿下。整个过程花了六小时，期间她抽完了一整包烟。事后她跟我吐槽：“这站安全投入全买硬件了，代码层烂得跟筛子一样。”

小迪的笔记软件里存着几百个漏洞案例，每条都标了复现步骤和修复建议。她说这是她的“菜谱”，每次接到新项目，先翻翻有没有类似“食材”。但她更享受的是那些菜谱里没有的——比如某个站用了奇怪的编码绕过了WAF，或者某个参数经过两次URL解码才触发注入。碰到这种，她会兴奋地拍桌子：“这才是活着的漏洞。”

有回我开玩笑问她，干这行怕不怕被请去喝茶。她想了想，说：“怕啊，所以我只接正规众测和授权的单。但真碰上那种不设防的医院、学校系统，我忍不住会多看一眼。”她顿了顿，又补了一句：“不过看完也就关了，不会乱动。这行名声臭，就是因为有些人管不住手。”

现在小迪已经带了个小团队，专做金融类app的渗透。但她还是保持那个习惯——每接到新目标，先关掉扫描器，手动点开登录页，看一会儿源代码。她说：“漏洞就藏在那些不起眼的角落，跟人心一样。”