凌晨两点，我盯着屏幕上那个后台登录框，密码字典已经跑到了第八万位。这不是电影，是我接的一个小企业网站，对方说被黑了，数据全没了。我打开源码一看，漏洞就挂在明面上——一个没过滤的搜索框，SQL注入的教科书案例。

Web渗透说白了就是一场猜谜游戏。你猜开发者哪里偷了懒，哪里用了默认配置，哪里图省事把验证码写死在前端JS里。我见过最离谱的，是某银行子系统的管理员密码是admin123，他们技术主管事后跟我说，觉得内网没人能进来。结果呢？我通过一个图片上传接口，把PHP马改名成jpg传上去，再配合文件包含漏洞直接执行。前后不到二十分钟。

别把渗透想得太玄乎。工具只是拐杖，思路才是腿。Burp Suite抓包改包，Nmap扫端口，Sqlmap跑注入——这些网上教程烂大街了。真正的分水岭在于你懂不懂底层逻辑。比如为什么有些WAF能拦SQL注入，却拦不住分块传输绕过的变种？因为开发者只盯着关键字过滤，忘了HTTP协议本身还能玩花样。

有个细节特别有意思。很多新手喜欢一股脑扫高危端口，觉得3389、445开着就是突破口。但现实里，真正致命的往往是那些不起眼的角落。一次测试中，我在一个政府网站的地图功能里发现，它调用的第三方API居然带着内网管理端的IP。顺着这条线，我直接访问那个IP的8080端口，一个裸奔的Tomcat管理台，默认口令都没改。你看，攻击面从来不是单点，而是一张网。

当然，这行当也有灰色地带的无奈。白帽子拿到的授权书往往写得模棱两可，你测到一半可能发现目标连着第三方云服务，一不留神就越界了。我有个朋友，因为测试时碰了客户数据库里的真实用户信息，差点被起诉。所以我现在接单，第一件事就是确认测试范围，白纸黑字写清楚哪些能碰，哪些连看一眼都别碰。

技术本身没有善恶，但用技术的人得有底线。我见过搞黑产的，拿下一个站就拖库，把几万条身份证号拿去卖，几毛钱一条。也见过甲方安全工程师，每天对着扫描报告疲于奔命，漏洞修了又出，出了又修，像个西西弗斯。说实话，Web渗透这活儿，越做越觉得像在跟人性博弈——开发者图省事，运维图稳定，销售图业绩，唯独没人图安全。

最后说点实在的。如果你真想入门，别急着买课。先搭个DVWA靶机，把SQL注入和XSS的每个类型手动打一遍，然后去看官方文档，明白背后的代码逻辑。等你能不看教程，独立绕过一个带WAF的测试站时，才算摸到门槛。这条路没有捷径，但每绕过一个过滤规则，你都会觉得大脑皮层在跳舞——那种感觉，比刷一百个漏洞报告都来劲。