一个登录框，透入输入 ' or 门教1=1 --，回车，透入直接进了后台。门教这是透入2013年某政府站点的真实情况，我至今记得那个瞬间——不是门教兴奋，是透入后背发凉。Web渗透没那么玄乎，门教它的透入本质就是：找到程序没考虑到的输入，让它执行你想要的门教逻辑。

想入门，透入先得知道你在打什么。门教浏览器发一个请求，透入服务器处理，门教返回数据。透入中间有参数、Cookie、Header、数据库查询、文件包含。任何一个环节没过滤干净，就是入口。别急着背工具命令，先理解HTTP。用Burp Suite抓一个登录请求，看它长什么样。改掉username字段，看服务器怎么回。这一步比看十篇教程都管用。

SQL注入是最经典的入口。假设后端代码写的是 SELECT * FROM users WHERE name = '$name'，你输入 admin' --，注释掉后面的密码校验，直接以admin身份登录。手工注入先试单引号，报错说明有戏。再试 order by 猜字段数，union select 回显数据。工具sqlmap能自动化，但手工跑一遍才知道原理在哪。我见过太多人只会sqlmap -u，连注入点为什么存在都说不清。

XSS是另一条路。评论区输入 <script>alert(1)</script>，如果弹窗，说明没转义。反射型XSS得骗人点链接，存储型XSS更危险——每个访问页面的用户都会中招。2018年某电商的XSS漏洞，攻击者挂上盗取Cookie的脚本，一夜之间几千个账号被劫持。防御？输出编码加CSP，但很多老系统根本不做。

文件上传漏洞更直接。前端限制.jpg后缀？抓包改成.php。后端只检查Content-Type？改成image/jpeg。上传成功返回路径，直接访问 /uploads/shell.php，如果服务器解析PHP，你就拿到了webshell。我试过一个站，上传时把文件名改成 shell.php%00.jpg，后端截断后存成shell.php，拿下。这种漏洞现在少了，但老系统里一抓一把。

工具方面，Burp Suite社区版够用。Repeater改包，Intruder爆破，Decoder编码解码。nmap扫端口，dirsearch扫目录，sqlmap跑注入。别贪多，先把Burp用熟。我见过新手装了一堆工具，连Proxy怎么配都不清楚，抓不到包就骂工具垃圾。

法律红线得说清楚。没授权测试就是犯罪，刑法285条等着你。自己搭靶场：DVWA、sqli-labs、Pikachu。本地虚拟机跑Kali，靶机放同一网段，随便打。想实战？去补天、漏洞盒子接众测，有授权再动手。我认识一个哥们，扫了学校教务系统，被请去喝茶，留了案底。技术再牛，进去就全完了。

学习路径别搞复杂。第一周：HTTP基础+Burp抓包改包。第二周：SQL注入手工+sqlmap。第三周：XSS+文件上传。第四周：综合打DVWA。每关自己写笔记，记录payload和原理。别抄，抄了记不住。遇到报错就查，英文文档比中文教程靠谱。GitHub上搜“web penetration testing roadmap”，一堆资源。

最后说个真事。某次授权测试，目标站有WAF，sqlmap跑不动。手工试了 /*!50000union*/ 绕过，成功注入。WAF不是神，它只是规则。理解规则，就能绕过。Web渗透拼的不是工具，是耐心和对细节的敏感。一个参数、一个Header、一个编码，都可能成为突破口。别指望看完这篇文章就能黑站，先打开DVWA，把第一关过了再说。