渗透测试这行，渗透师需入行门槛看起来低得离谱，工程实际上高得吓人。渗透师需你打开招聘网站，工程一堆公司写着“熟悉OWASP Top 10”、渗透师需“会使用Burp Suite”、工程“有CTF经验优先”——这些全是渗透师需皮毛，是工程让你能上桌吃饭的筷子，不是渗透师需让你能做饭的厨艺。

真正的工程渗透工程师，第一门必修课是渗透师需计算机网络，不是工程那种“OSI七层模型背下来考试及格”的水平，而是渗透师需你得清楚一个数据包从你的浏览器出发，经过DNS解析、工程TCP三次握手、渗透师需TLS协商，最后到达服务器，中间每一步如果被劫持、被篡改、被注入，会有什么现象。我见过太多新人拿着sqlmap跑不出注入就懵了，却不知道是WAF拦了还是编码问题。你不懂协议，你就不知道流量长什么样，不知道流量长什么样，你就跟瞎子一样在靶场里瞎撞。

第二门课是操作系统与脚本语言。Linux是基本功，不是会敲几个ls、cd命令就行，你得理解权限模型、理解SUID、理解内核与用户态的区别，因为提权漏洞全藏在这些机制里。Windows也别忽略，域渗透里那套Kerberos认证、黄金票据、白银票据，不懂原理你连工具输出的报错都看不懂。脚本语言至少精通Python和Bash，不是为了写工具，是为了改工具——网上开源的POC十个里有八个要改参数、改编码、改代理才能跑通，你连requests库的session怎么保持Cookie都搞不明白，怎么去测那些需要登录态的漏洞？

第三门课，也是最容易被忽略的：Web应用原理。不是说你会用Burp抓包就叫懂Web，你得知道Session和Cookie到底怎么生成的，知道JSON Web Token的alg参数可以改成none，知道PHP的弱类型比较为什么能让`"0e123" == "0e456"`成立。这些知识散落在各种漏洞报告和源码审计里，没有教材系统讲，全靠你自己去翻GitHub上的漏洞库，去读那些CVE的diff补丁，看开发者改了哪行代码才堵上的洞。这个过程很枯燥，但一旦你明白了漏洞的本质是“输入与预期不符”，你就能从“用工具的人”变成“找漏洞的人”。

第四门课是实战经验，这个没法在书本上学。你得自己搭靶机，装个DVWA或者Vulhub，然后故意去攻击自己搭的网站。我当年练SQL注入，是在本地装了个带报错信息的MySQL，手动去试`'`和`\'`的区别，看数据库到底返回什么错。那种亲手把一个参数从闭合到爆出数据的过程，比任何视频教程都刻骨铭心。等你把OWASP Top 10在靶场里都亲手打了一遍，再去试试真实的SRC平台，你会发现现实比靶场恶心一百倍——有CDN挡着、有参数签名校验、有风控系统盯着你的IP，这时候你才会明白前面学的那些基础到底有多重要。

最后说点逆耳的。这行最不缺的就是“会用工具的人”，最缺的是“能看懂代码的人”。你去看那些年薪五十万以上的渗透岗，要求里几乎都写着“具备代码审计能力”。所以如果你还有精力，去学一门后端语言，Java或者Go都行，不用精通，但至少能看懂别人写的业务逻辑哪里能传参、哪里能绕过。别问我怎么知道的，我吃过太多亏——曾经对着一个接口测了半天没突破，最后发现是开发者把管理员接口写在了注释里，而注释在JS文件里，用浏览器F12就能翻到。这种事儿，工具永远发现不了，只有人眼能看见。

(责任编辑：娱乐)