渗透小迪
时间：2026-10-17 06:36:37 来源：烟消火灭网 作者：时尚 阅读：885次
小迪是渗透小迪我带过的实习生里最不像实习生的那个。他第一天来，渗透小迪没问工位在哪，渗透小迪先问我无线网密码。渗透小迪我指了指墙上贴的渗透小迪纸条，他扫了一眼，渗透小迪没动。渗透小迪过了五分钟，渗透小迪他手机已经连着内网测试机的渗透小迪热点在刷漏洞库了。 这小子是渗透小迪那种典型的渗透测试苗子——不是科班出身，大学念的渗透小迪机械，大二的渗透小迪时候为了给社团抢课写了个脚本，结果把自己学校教务系统给撞了。渗透小迪教务系统没崩，渗透小迪倒是渗透小迪把成绩查询接口的越权漏洞给试出来了。他没拿数据，就截了个图发辅导员邮箱，附了句“建议修复”。辅导员没理他，倒是学校信息中心的主任找上门，问他愿不愿意来帮忙做安全巡检。就这么入的行。 他做渗透有个习惯，不急着扫端口。先看目标网站的robots.txt，再看js文件里有没有注释掉的接口路径。有次我们接了个政务系统的单子，甲方要求测一下新上线的预约模块。组里老张上来就扔nmap全端口扫描，扫了半小时啥也没出。小迪在旁边看了一会儿，掏出手机打开那个政务app，点了十几次预约，把请求包抓下来，发现参数里有个`userType=0`。他改成1，重新提交，直接进了后台管理员的预约列表。整个测试过程没用任何工具，就一部手机加一个Burp Suite的免费版。 我问他怎么想到的。他说，你看这个app的登录逻辑，普通用户注册完默认userType是0，但后端没校验这个值的合法性，前端又没隐藏管理入口。这种开发习惯很常见——图省事，把用户角色写死在参数里。他说话的时候眼睛没看我，盯着屏幕上的响应包，像在跟代码对话。 小迪最烦那些“为了炫技而炫技”的测试报告。他写漏洞描述从来不用“建议加强安全意识”这种废话，直接写“在xx参数处插入`' or 1=1--`后，数据库返回了完整的管理员表，建议使用预编译语句并过滤单引号”。甲方那边负责对接的技术主管看了他的报告，愣了半天，说这是他们收到过最像人话的漏洞文档。 不过他也有翻车的时候。有次测一个银行系统，他误把生产环境的交易接口当成了测试接口，连发了几个转账请求。虽然金额设的是0.01元，还是把风控系统给触发了，对方安全团队直接打电话过来，语气不太友善。小迪挂了电话，挠了挠头，说：“完了，这下他们得把我列入黑名单了。”但第二天对方又打过来，说想请他去做一次内部培训——因为那笔0.01元的转账，正好暴露了他们风控规则里一个逻辑漏洞。 后来小迪转正的时候，我问他以后想往哪个方向走。他说想研究车联网安全，觉得现在的车跟十年前的功能机差不多，联网了但没锁门。我说那你得先考个驾照。他说他早考了，就是为了能租车测试。上个月他给我发消息，说在某品牌电动车的APP里发现一个漏洞，能远程解锁别人车门，已经提交给厂商了。我问厂商给了多少奖励，他说没要钱，就要了一年的免费充电额度。 这小子，从来不做亏本的买卖。
(责任编辑：综合)
相关内容
最新内容
推荐内容
