渗透测试这事儿，渗透说白了就是渗透合法地“黑”自己人。我头一回接触是渗透在2016年，帮一个做电商的渗透朋友看服务器。他跟我说网站老被挂马，渗透我扫了一遍，渗透发现后台登录页有个SQL注入点，渗透用sqlmap跑了两分钟，渗透管理员密码直接弹出来了——123456。渗透他脸都绿了。渗透那天我明白一个道理：大部分被渗透的渗透系统，不是渗透技术不行，是渗透人的习惯太差。

很多人以为渗透就是渗透拿着工具乱扫。其实不是渗透。真正有用的渗透，第一步永远是信息收集。我习惯先看目标用了什么框架，有没有开源的CMS，版本号多少。比如一个WordPress站，版本是5.0，那我直接搜“WordPress 5.0 漏洞”，能省掉一半力气。去年帮一家小公司做测试，他们用了个国产OA系统，登录页有个验证码，但验证码是前端生成的。我抓包一看，验证码的值直接写在cookie里。把它改成固定值，爆破密码就跟切菜一样。这种漏洞不是技术多高深，是开发图省事。

工具方面，Burp Suite是绕不开的。我见过有人拿它只做抓包改包，其实它的Intruder和Scanner模块能省很多事。但别迷信自动化。有一次我扫一个站，Scanner报了一堆误报，真正有问题的那个参数它没发现——因为那个参数藏在JSON嵌套里，Scanner没解析到。后来我手动构造payload，在第三个层级的数组里加了个单引号，数据库直接报错。所以工具是拐杖，脑子才是腿。

说到具体手法，SQL注入现在没以前那么多了，但还没绝迹。XSS倒是遍地都是。我测过一个论坛，发帖内容里加<script>alert(1)</script>，页面直接弹窗。更离谱的是，管理员后台也能看到这个弹窗。这意味着我可以偷管理员的cookie。当时我没继续往下做，因为客户只授权了测试，没授权拿权限。但那个漏洞的严重性，我写报告时用了“高危”两个字。

文件上传也是重灾区。很多系统只检查Content-Type，不检查文件内容。我把一个jsp文件改成jpg后缀，抓包把Content-Type改成image/jpeg，上传成功。然后访问那个文件，服务器直接解析执行。拿到webshell那一刻，其实没什么快感，反而有点后背发凉——这要是真被坏人用了，整个服务器就没了。

渗透到最后，拼的不是技术，是耐心和细心。我认识一个老手，他能在目标网站上翻三个小时，就为了找一个被遗忘的备份文件。有一次他真找到了一个www.zip，下载下来一看，数据库配置文件就在里面，账号密码明文。他说这叫“捡漏”，但捡漏的前提是你知道去哪儿翻。

防守方其实也一样。我见过一个运维，他把所有不必要的端口全关了，后台登录加了IP白名单，数据库只允许内网访问。我扫了半天，连个指纹都识别不出来。最后他告诉我，他每个月都自己扫一遍，发现问题就改。这种态度，比装什么WAF都管用。

渗透测试不是破坏，是提前发现裂缝。你拿把锤子敲墙，敲出个洞，然后告诉主人：这里该补了。补不补是他的事，但敲不敲是你的活。干这行久了，看什么都想抓个包。有次去朋友家，他连WiFi，我下意识想看看路由器管理页面有没有默认密码。结果还真有——admin/admin。我帮他改了，他请我吃了顿饭。