打开一个陌生网站，网站别急着点来点去。何测先把浏览器地址栏里的网站URL拆开看，协议对不对，何测域名拼写有没有陷阱，网站端口号是何测不是默认值。这一步花不了十秒钟，网站但能筛掉一半的何测钓鱼站。

接着按F12打开开发者工具，网站切到Network面板，何测刷新页面。网站看请求瀑布图，何测哪个文件加载超过两秒，网站哪个接口返回4xx或5xx，何测哪个静态资源走了HTTP而不是网站HTTPS。这套动作下来，网站骨架的承重墙在哪，心里基本有数了。

真正的测试从功能开始，但别按需求文档一条条过——那太理想化了。我习惯直接找最核心的用户路径：注册、登录、发布内容、支付（如果有）。拿电商站举例，我会先加购一件商品，然后改URL里的商品ID，看能不能把价格改成负数。改成功说明后端没做参数校验，这是典型的逻辑漏洞。再试试提交订单时抓包，把数量改成0.5，看看结算金额会不会跟着变化。这些操作听起来刁钻，但真实用户总会以你想不到的方式操作。

测完功能测边界。输入框是重灾区——长度限制、特殊字符、SQL注入语句、XSS脚本，挨个试一遍。别用现成的攻击payload，自己编几个变体，很多网站的过滤规则就死在绕过上。比如把`