黑盒测试，测试说白了就是黑盒把自己当成一个啥都不懂的坏蛋，对着系统一顿乱捅。系统你不知道里面代码长啥样，漏洞也不关心数据库怎么设计，测试你只管输入、黑盒点击、系统提交，漏洞看它会不会炸。测试我见过太多人一上来就掏扫描器，黑盒扫完一堆报告，系统全是漏洞误报。真正的测试黑盒漏洞测试，靠的黑盒是脑子，不是系统工具。 先干一件事：摸清系统到底在保护什么。拿个电商网站举例，购物车、订单、支付接口，这是钱袋子。论坛的话，私信、头像上传、管理员后台，这是命根子。你连保护对象都没搞明白，测个锤子？我习惯先注册两个普通账号，一个叫“受害者”，一个叫“攻击者”。这俩账号就是我的左右手，所有越权测试都靠它们互相捅刀子。 然后开始玩逻辑漏洞。别急着测SQL注入，先试试业务逻辑能不能绕过去。比如修改密码的流程，抓包看看，提交的时候把用户ID字段改成别人的。很多系统压根没校验，你直接就把管理员密码改了。这种漏洞，比什么注入都致命，因为扫描器根本扫不出来。我前阵子测一个政务系统，就是通过找回密码接口，把手机号参数改成目标手机号，然后验证码直接发到我这儿来了——你说蠢不蠢？但人家系统上线三年，愣是没人发现。 接着测输入点。每个能填东西的地方，都是突破口。搜索框、登录框、留言板，统统扔进去一堆特殊字符。别只会单引号，试试`