去年秋天，何寻我帮一个做电商的找网站漏朋友看他的网站。他在页面上加了个优惠券领取功能，何寻用户输入手机号就能领。找网站漏我随手在手机号框里敲了段SQL语句，何寻页面直接弹出了数据库错误——用户表结构、找网站漏字段名全暴露了。何寻这不是找网站漏什么高深攻击，就是何寻没做输入过滤。网站漏洞大半都藏在这种不起眼的找网站漏细节里。

想找漏洞，何寻先得知道漏洞长什么样。找网站漏最常见的何寻是注入类问题，SQL注入、找网站漏命令注入都算。何寻原理很简单：你写的代码把用户输入当成了指令执行。比如登录框，后端拼SQL语句时如果写成"SELECT * FROM users WHERE name='" + input + "'"，那输入' OR '1'='1就能绕过密码。你不需要背下所有注入语句，只要记住一个原则——凡是用户能输入的地方，都试着塞点特殊字符，单引号、分号、双横杠，看页面反应。报错、延迟、内容变化，都是线索。

跨站脚本（XSS）是另一大类。你在搜索框里输入<script>alert(1)</script>，如果页面弹窗，说明它直接把你的输入当HTML渲染了。更隐蔽的是存储型XSS，比如评论区提交一段脚本，所有访问该页面的用户都会中招。我见过一个论坛，用户昵称没过滤，结果有人把昵称改成窃取Cookie的脚本，管理员一登录后台就被盗了权限。测XSS不用太复杂，先试最简单的弹窗，不行再试<img src=x onerror=alert(1)>，看能不能绕过某些过滤。

文件上传功能是重灾区。很多网站只检查文件后缀，你把shell.php改成shell.php.jpg就能传上去。或者利用解析漏洞，比如上传shell.php;.jpg，某些服务器会当成PHP执行。我试过一个站，上传图片后返回的路径里带上了原文件名，直接访问那个路径就能运行代码。测这个功能时，先传正常图片看返回什么，再改后缀、改Content-Type、加特殊字符，观察服务器怎么处理。

越权访问也常见。你登录普通用户，把URL里的user_id=123改成user_id=124，如果能看到别人的订单，就是水平越权。垂直越权更严重，普通用户直接访问管理员页面。我见过一个后台，登录后把Cookie里的role=user改成role=admin，刷新页面就进了管理界面。测越权不需要工具，手动改参数就行，关键是你要有两个不同权限的账号做对比。

信息泄露往往被忽略。访问/.git/config、/robots.txt、/phpinfo.php，可能直接拿到源码或服务器配置。有些网站备份文件叫www.zip放在根目录，下载下来就能审计代码。我习惯先跑一遍目录扫描，看看有没有admin、backup、test这类路径。工具用dirsearch或者御剑都行，但别指望扫出所有东西，手工猜几个常见路径有时比字典更管用。

找漏洞不是靠工具堆砌。Burp Suite抓包改包是基础，但更重要的是理解业务逻辑。比如密码找回功能，验证码是不是能爆破？修改密码时有没有校验旧密码？支付时金额能不能改成负数？这些逻辑漏洞扫描器扫不出来，得靠人脑。我习惯把网站每个功能点都走一遍，记录下所有请求，然后逐个参数去试。改数字、改字符串、删参数、加参数，看返回包有什么不同。

最后说句实在的，别拿这些技术去搞破坏。找漏洞的目的是修补它。我每次发现什么问题，都会写清楚复现步骤和修复建议发给对方。技术本身没有善恶，用在哪才决定性质。