《web渗透攻防实战pdf》在圈子里流传了好几年，透攻我手头这份是防实第三版，页脚还带着某安全团队的透攻内部分享水印。第一次翻是防实在2019年，当时刚把DVWA的透攻靶场打通，觉得自己摸到了门槛，防实结果看到第47页的透攻SQL注入绕过WAF那一段，直接卡了三天。防实那三天里我把pdf里的透攻payload抄进burp，反复改大小写、防实插注释、透攻换编码，防实最后用/*!50000select*/这种MySQL版本注释才绕过过滤。透攻这种细节，防实书里不会写，透攻只有pdf里那行手写批注提醒了一句“版本号别写错”。
很多人把这本书当工具手册，翻到命令就抄。我见过一个刚入行的兄弟，照着pdf里的Nmap参数扫内网，-sS -Pn -T4一顿输出，结果触发了IDS告警，被甲方打电话骂了半小时。他漏看了pdf第12页的脚注：生产环境别用SYN扫描，换成-sT加--scan-delay。这种坑，没踩过的人不会在意。我自己后来做项目，习惯先把pdf里的命令在本地虚拟机跑一遍，改几个参数看回显差异。比如sqlmap -r request.txt --level=5 --risk=3，跑起来很爽，但实际遇到云WAF，得加--tamper=space2comment，还得手动调--delay。这些经验，pdf里只给了线索，剩下的靠实战喂出来。
书里讲文件上传那章，有个案例我印象特别深。目标站是PHP，前端校验MIME，后端只查后缀。pdf给的思路是改Content-Type: image/gif，后缀用.php.jpg，但实际测试时发现服务器是Nginx，解析漏洞没生效。后来翻到pdf附录B，有一行小字写着“Nginx+PHP-FPM在特定版本下，.php后跟空格或点会被解析”。我试了shell.php ，果然拿下。这种偏门技巧，正经教材不会收录，只有pdf这种实战笔记才会留痕迹。
再说防御侧。pdf第8章讲WAF规则绕过，但反过来看就是规则怎么写。我拿书里的union select变形payload去测ModSecurity，发现默认规则能拦union/**/select，但拦不住union%0aselect。于是自己写了一条正则，把换行符也加进黑名单。这种攻防互换的视角，pdf里没明说，但读多了自然能串起来。我见过不少只读不练的人，抱着pdf当圣经，结果遇到真实站点就懵。书里给的永远是特定环境下的解，换个中间件、换个数据库版本，可能全废。
最后说个实在的。pdf里有一页被很多人跳过——第203页的“信息收集清单”。上面列了robots.txt、sitemap.xml、crossdomain.xml，还有GitHub泄露、网盘搜索。我按这个清单去挖某电商的子域，从robots.txt里翻出一个/beta/目录，进去是测试环境，弱口令admin/admin123直接进后台。这事让我明白，渗透里最锋利的不是0day，是耐心。pdf给的是地图，走不走得通，看你自己愿不愿意蹲下来看路标。
这本书的pdf版本在网上能搜到，但别只存网盘。打印出来，拿笔划，把每个payload在靶场跑通，再改几个参数看变化。遇到卡住的地方，去翻官方文档，去GitHub搜issue。pdf是起点，不是终点。