很多人学渗透测试，网络第一步就走错了。渗透抱着《Metasploit渗透测试指南》啃了三个月，技术靶机打了二十个，自学一遇到真实环境还是网络懵。问题不在工具，渗透在于没搞懂“渗透”到底在干什么。技术

说白了，自学渗透就是网络找漏洞、利用漏洞、渗透拿权限、技术留后门。自学这四步听着简单，网络但每一步背后都是渗透一整套知识体系。你不可能靠一个SQL注入走天下。技术

先把地基打牢

我见过太多人跳过网络基础直接学工具。结果呢？连TCP三次握手都说不清楚，nmap扫出来的端口状态都看不懂。这不是开玩笑。

网络协议得吃透。HTTP/HTTPS是重中之重，请求头、响应码、Cookie机制、Session管理，这些不理解，Web渗透根本没法做。TCP/IP也得熟，端口扫描原理、三次握手、SYN Flood是怎么回事，搞明白了才知道nmap那些参数在干嘛。

操作系统层面，Linux命令行要熟练。别觉得会用kali就算懂Linux了，文件权限、进程管理、日志分析，这些在日常渗透中天天用到。Windows的域环境、注册表、组策略同样绕不开，内网渗透大部分场景都在Windows域里。

编程能力不用到开发级别，但至少能看懂PHP、Python、JavaScript的代码。看不懂代码怎么审计漏洞？怎么改exp？Python写脚本是基本功，requests库、socket编程得会用。

Web渗透是主战场

现实中八成以上的渗透入口都在Web应用上。OWASP Top 10不是让你背的，是让你一个个动手复现的。

SQL注入，别只会在sqli-labs里跑union。盲注、报错注入、堆叠注入、二次注入，每种场景的利用方式不同。更关键的是，真实环境有WAF，你得学会绕。大小写混写、内联注释、编码绕过，这些技巧在靶场里学不到，得在实战中积累。

XSS也是。反射型、存储型、DOM型，原理不难，难的是绕过过滤和CSP。文件上传漏洞更有意思，前端校验、MIME校验、内容检测、解析漏洞，一层层绕过去的感觉确实上瘾。

还有SSRF、CSRF、命令执行、反序列化。Java反序列化这几年简直是漏洞重灾区，Shiro、Fastjson、Log4j2，每一个都炸出过惊天动地的CVE。这些漏洞的利用链不是看两篇文章就能掌握的，需要反复调试。

工具是手段不是目的

Burp Suite必须熟练。不是会用Intruder跑字典就叫熟练，要理解Proxy的拦截改包逻辑、Repeater的手动测试流程、Scanner的被动扫描原理。很多老手其实主要用Burp的Proxy和Repeater，Scanner反而用得少，因为自动化扫描出来的东西误报太多。

nmap、sqlmap、dirsearch这些工具，知道什么时候用什么比会用本身更重要。sqlmap一把梭确实爽，但有时候手工注入更精准，尤其是需要绕WAF的时候。

Metasploit呢？说实话，在Web渗透里用得没想象中多。它更适合内网阶段的漏洞利用和权限维持。别把时间全砸在MSF上。

合法练习的途径

靶场是最安全的起点。DVWA、sqli-labs、Pikachu适合入门，VulnHub和HackTheBox适合进阶。HTB的机器质量很高，每台靶机都模拟了真实的渗透场景，从外网打点到内网横向，完整走一遍收获很大。

CTF比赛也值得参加。不用追求名次，重点是看别人的Writeup，学习不同的思路。同一个漏洞，十个人可能有十种利用方式。

最后说一句，所有技术必须在授权范围内使用。未授权的渗透测试在《刑法》第285条里写得清清楚楚。技术本身没有对错，但用技术的人有。