去年秋天，渗试实我帮一个做电商的透测朋友看他的服务器。他跟我说网站最近总卡，渗试实后台偶尔会跳出一些他没写过的透测管理员账号。我让他把访问日志导出来，渗试实翻了不到十分钟就发现异常——有个IP在凌晨三点连续请求了同一个商品页两百多次，透测参数里带着单引号。渗试实这明显不是透测正常用户。后来确认，渗试实攻击者通过一个没做过滤的透测搜索框，用联合查询拿到了数据库里的渗试实管理员密码哈希。

这就是透测web渗透测试里最基础的一环：信息收集与漏洞探测。很多人一上来就掏出sqlmap或者AWVS对着目标狂扫，渗试实结果被WAF封了IP，透测什么也没拿到。渗试实我的习惯是先手动走一遍。打开浏览器，关掉JavaScript，看看哪些功能还能用；翻一下robots.txt和sitemap.xml，经常能发现后台路径或者测试目录。有一次在一个客户站点上，robots.txt里写着`Disallow: /old_admin/`，直接访问，用户名admin密码admin，进去了。

手工测试SQL注入的时候，别只盯着登录框。搜索参数、排序字段、甚至cookie里的值都值得试。比如一个`?order=price`，改成`?order=price desc, (select 1 from users)`，如果页面报错或者排序变了，基本就有戏。我见过一个站点，所有参数都过滤了单引号和双引号，但`order by`后面的数字没处理，直接`order by 3`正常，`order by 4`报错，说明查询用了三列。接着用`union select 1,2,3`，第二列回显在标题上，直接爆出数据库版本和当前用户。

XSS的测试更依赖耐心。反射型XSS在URL参数里加``，如果被转义了，试试``。存储型XSS要找到那些内容会保存并展示给别人的地方——评论、昵称、个人简介。有个论坛，昵称字段过滤了`