凌晨两点，网站我盯着终端里滚动的漏洞绿字，心跳漏了一拍。网站那台运行着Kali Linux的漏洞旧ThinkPad，风扇嘶吼得像个哮喘病人，网站而屏幕上的漏洞sqlmap刚刚吐出一个带星号的数据库名——目标站点的用户表，就在那里，网站裸奔着。漏洞

这不是网站什么高深的攻击。对方用的漏洞是老掉牙的PHP框架，参数过滤形同虚设。网站我不过是漏洞把常见的注入payload丢进去，它就缴械了。网站那一刻我突然觉得，漏洞所谓“渗透测试”，网站很多时候不是技术对抗，而是耐心和常识的较量。Kali里几百个工具，真正常用的也就那么十来个，但每一个都像瑞士军刀上的不同刃口，得知道什么时候用哪一把。

很多人把Kali当玩具，装上就开始乱敲nmap。扫描结果刷了满屏端口，然后呢？没有然后。我见过最典型的菜鸟操作，是拿nikto扫出一个“可疑目录”，就兴奋得截图发朋友圈。可那目录十有八九是站长留着测试用的空文件夹，连个动态脚本都没有。真正的漏洞挖掘，得先理解业务逻辑。你猜一个电商站点的订单查询接口，是用GET还是POST传参？如果开发偷懒用了前者，那订单号遍历就是家常便饭。

说个我自己的糗事。有次接了个授权测试，目标是个政府信息公开平台。我花了三个小时折腾wpscan和hydra，毫无进展。最后烦躁地打开浏览器，随手点开一个附件下载链接。URL里赫然躺着?file=upload/2023/xxx.pdf。我手一抖，把路径改成../../../../etc/passwd，服务器居然把文件内容吐了回来。那一刻我盯着屏幕骂了句脏话——不是骂服务器，是骂自己，折腾半天，漏洞就在眼皮底下。Kali工具再全，也替你挡不住这种“裸奔式”开发。

工具链里最被低估的其实是burpsuite。很多人只拿它抓包改参数，却忽略了它的Intruder模块能做精细的模糊测试。我习惯先抓一个正常请求，然后把所有数字参数标记出来，跑一遍字典。有时候漏洞不是藏在深奥的代码里，而是藏在开发者的“想当然”里。比如某个分页参数page=1，你试试改成page=0或者page=-1，有些老代码会直接报错，把SQL查询语句完整地打印在错误页上。那玩意儿比任何扫描器都直观。

当然，Kali也不是万能的。它的工具更新快，但依赖关系经常搞得一团糟。我遇到过msfconsole装到一半，系统直接崩了的情况。后来学乖了，重要工具都装在自己编译的目录里，不碰系统自带的版本。还有那个metasploit，框架本身没问题，但攻击载荷容易被杀软识别。真到实战，我反而更喜欢手写Python脚本，配合requests库和paramiko，比套工具灵活得多。

有一次在测试一个内部系统时，我发现wireshark抓到的流量里，有个登录请求的密码字段居然是明文。开发为了省事，没启用HTTPS。更讽刺的是，这个系统是给财务部门用的。我坐在椅子上发了会儿呆，然后默默关掉了抓包窗口。技术漏洞有时候是次要的，人的惰性才是核心。Kali给你提供了武器，但瞄准哪个靶子，什么时候开枪，永远是你自己的判断。

凌晨四点半，我关掉了那台ThinkPad。屏幕黑下去的瞬间，桌面壁纸上的Kali绿色Logo闪了一下。我摸了摸发烫的键盘，心想，这玩意儿最厉害的地方不是预装了八百个工具，而是它逼着你不断去思考——漏洞从来不在代码里，漏洞在人心里。你要做的，只是用工具把人心的疏忽放大到屏幕上而已。

(责任编辑：休闲)