凌晨两点，全渗我盯着屏幕上的透测403页面，咖啡已经凉透。全渗目标站点的透测WAF像堵密不透风的墙，常规SQL注入 payload 全被拦下。全渗直到我尝试把注入点藏在JSON格式的透测POST请求里，用Unicode编码绕过关键字检测——服务器返回了200，全渗数据库版本号安静地躺在响应包里。透测那一刻，全渗墙塌了。透测

渗透测试的全渗本质，就是透测猜。猜开发者在哪行代码里偷了懒，全渗猜运维在哪个配置里留了默认口令，透测猜程序员在注释里写了什么密码。全渗技术手册告诉你漏洞原理，但真正的突破往往来自对“人”的观察。某次测试一家电商平台，扫了半天没发现明显漏洞，最后在JS文件里翻到一段被注释掉的调试代码，里面硬编码了内网Redis的地址和密码——那位开发大概没想到，注释也会被浏览器加载。

SQL注入是门老手艺了，但依然管用。新手总爱用sqlmap跑全自动化，老手却会手工闭合语句，观察报错信息里的字段位置。差别在哪？自动化工具像机关枪，扫射一片；手工注入像狙击枪，一枪一个。去年测某政务系统，参数加了过滤，把select、union这些词全替换成空。我随手输入`selselectect`，服务器居然把中间部分删掉后拼成了完整SQL——这过滤逻辑写得真是“聪明”反被聪明误。

XSS的坑更深。别以为弹个alert框就算完事，真正的利用要结合业务场景。测过一个论坛，发帖处过滤了`