渗透基础视频

凌晨两点，渗透视频我盯着屏幕上的基础终端窗口，光标在`#`提示符后闪烁。渗透视频那是基础三年前第一次录《渗透基础视频》时的场景。当时想得很简单——把SQL注入和XSS讲清楚就行。渗透视频结果录到第三期就发现，基础真正难的渗透视频不是技术，是基础怎么让一个完全没接触过安全的人，理解“为什么一个输入框能掀翻整个服务器”。渗透视频

后来我调整了思路。基础第一期视频干脆不讲任何工具，渗透视频直接拿一个靶场环境演示：在搜索框输入`' OR 1=1 --`，基础页面哗啦一下跳出所有用户数据。渗透视频弹幕瞬间炸了，基础“卧槽这也行？渗透视频”——对，这就是渗透测试最迷人的地方：你不需要多高深的理论，一个没被过滤的单引号就能撕开防线。基础视频的意义，就是把这种“原来如此”的瞬间给到观众。

但光有震撼不够。第二期我开始拆解HTTP协议，用Burp Suite抓包给观众看。很多人第一次发现，自己平时点按钮、填表单，背后全是明文传输的请求。有个评论我记到现在：“原来我每次登录，密码都在网上裸奔。”这就是基础视频该干的事——把抽象概念变成眼前能看到的数据流。别急着讲什么WAF绕过、内网穿透，那些是后话。先让人明白：你发的每个包，服务器都看得一清二楚。

讲到信息收集那期，我特意用了真实案例。一个朋友的网站被黑了，我录屏演示怎么通过子域名扫描、Google语法找后台入口。过程很枯燥，就是反复试，但镜头前我故意没剪掉那些“碰壁”的瞬间。观众看到的是：原来大神也会404，也要反复调整字典。这种“不完美”反而让视频更有说服力——渗透测试七成时间在踩坑，三成时间在利用，这才是现实。

有人问我，基础视频要不要讲编程？我的答案是：会读比会写重要。你不需要自己写Python脚本，但至少能看懂`requests.get(url).text`在干什么。所以在讲SQL注入时，我花了两分钟带观众读一段PHP代码，指着`$_GET['id']`说：“看，这里直接把参数拼进查询了，没过滤。”很多零基础观众反馈，这是他们第一次觉得代码不那么可怕——原来漏洞就藏在几行逻辑里。

录制过程里我犯过不少错。有次演示XSS，payload没写对，弹窗死活不出来。我对着镜头挠头，最后发现是引号转义问题。这片段我没删，反而放在视频开头。因为基础阶段，犯错才是常态。你不需要一开始就背熟所有payload，但得知道怎么调试、怎么查资料。我常对观众说：“别怕报错，报错是系统在告诉你下一步该看哪儿。”

现在回看那些视频，技术确实旧了些——现在很多靶场都加了防护，但核心思路没变。基础视频讲的不是某个具体漏洞，而是一种思维方式：把所有输入都当作敌人，把所有响应都当作线索。有个学员后来私信我，说他用视频里教的“三步走”（确认输入点→构造恶意数据→观察响应差异），在实战中挖到了第一个CVE。他说：“原来基础真的能打天下。”

如果你也想入门渗透，别急着下载那些花哨的工具。打开一个靶场，随便找个输入框，先试着输入`admin'`看看会发生什么。屏幕上的报错信息，就是你最好的老师。基础视频能给你的，不是捷径，而是一张地图——剩下的路，得自己一步一步踩出来。