去年冬天，渗透我帮一家小电商做安全评估。测试他们用的入门开源商城系统打了最新补丁，WAF也开着，教程但我在半小时内拿到了管理员权限。渗透方法说出来有点丢人——后台登录页的测试验证码是前端生成的，抓包直接看JS就能算出来。入门这就是教程渗透测试的日常：最坚固的堡垒往往从最蠢的地方被攻破。

渗透测试不是渗透你想象中的黑客电影。没有满屏绿色代码，测试没有急促的入门键盘敲击声。更多时候，教程你坐在那里翻文档、渗透画流程图、测试对着一个参数发呆。入门它的本质是模拟攻击者的思维，用合法手段找出系统弱点。重点在“合法”二字——你得有书面授权，范围写清楚，时间定死。我见过有人拿扫描器随便扫了别人的站，结果被请去喝茶。别干这种事。

入门阶段，别急着学Metasploit。先把HTTP协议吃透。请求方法、状态码、Cookie机制、同源策略——这些基础不牢，后面全是空中楼阁。我当时花了三周，用Burp Suite抓包，手动改每一个参数，看服务器怎么回应。比如把user_id=123改成user_id=124，页面返回了另一个人的订单。这就是最典型的越权漏洞，也叫IDOR。很多SRC漏洞平台里，这种问题占了快三成。

信息收集比漏洞利用重要。你得像侦探一样摸清目标：用了什么框架、开了哪些端口、有没有泄露的Git仓库、员工邮箱格式是什么。有一次我通过目标官网的“团队介绍”页面，拿到技术负责人的名字，然后去GitHub搜他的提交记录，发现测试环境数据库密码硬编码在代码里。整个过程没碰任何漏洞扫描器。工具是辅助，脑子才是核心。

学渗透测试有个坑：很多人沉迷于收集工具和Payload。硬盘里存了几百个脚本，真到实战时连Nmap的-sV和-sS区别都说不清。我的建议是，选一个方向深挖。Web安全入门快，反馈直接；内网渗透复杂但更有挑战。先别贪多。把OWASP Top 10里的每个漏洞手动复现一遍，用DVWA或者Pikachu靶场。自己写PoC，别复制粘贴。失败了就看日志，调参数，再试。这个过程很枯燥，但比看一百个视频都管用。

法律红线必须刻在脑子里。未授权的测试就是犯罪，不管你有没有恶意。我习惯在开始前把授权书打印出来，确认目标IP范围、测试时间窗口、禁止使用的技术（比如拒绝服务攻击）。有一次客户临时加了一个子域名，我坚持让他补发邮件确认。多花十分钟，省掉几年牢狱之灾。

最后说个真实案例。某次测试中，我发现目标用了Shiro框架，默认密钥没改。用工具一把梭，直接反弹shell。客户很惊讶，说“我们买了商业扫描器，没报这个”。商业扫描器不是万能的，它依赖规则库。而渗透测试员会去看代码逻辑、去猜开发者的习惯。这种“人味”才是这行的门槛。别指望自动化工具能替代思考。你越懒，漏掉的东西就越多。

入门书单就两本：《Web安全深度剖析》和《白帽子讲Web安全》。看完就动手，搭个虚拟机，装个靶场，从今天开始。别等“学完所有知识再实战”——你永远学不完。

(责任编辑：娱乐)