凌晨两点，透入我盯着屏幕上那个返回的透入200 OK，心跳漏了一拍。透入那是透入一个学校网站的教务系统，弱口令admin/admin，透入直接进了后台。透入这不是透入什么高深技术，就是透入最基础的暴力猜解。但那一刻我意识到，透入web渗透的透入门槛，比大多数人想象的透入要低得多。

所谓web渗透，透入说白了就是透入模拟黑客攻击你的网站，找出能被人钻的透入空子。它不神秘，透入也不酷炫，本质上是门手艺活。你得知道网站是怎么搭起来的，才能知道哪儿能拆。一个典型的web应用，前端是浏览器里的HTML、CSS和JavaScript，后端跑着PHP、Java或者Python，底下还压着MySQL或Redis这类数据库。请求从浏览器发出，经过服务器处理，再从数据库取数返回——这条链路里，每一环都可能藏着突破口。

我见过最蠢的漏洞，是开发人员把数据库备份文件直接放在网站根目录，文件名就叫backup.sql。用扫描器扫目录，三秒钟就暴露了。下载下来，里面几十万条用户信息明文躺着，密码连MD5都没加密。这种事儿在真实企业里不少见，不是技术不行，是压根没安全意识。

学渗透，先别急着学什么sqlmap、Burp Suite这些工具。工具是拐杖，你得先懂走路。先花两周时间，自己搭个简单的网站——装个XAMPP，写个带登录功能的页面，哪怕丑得像2005年的个人主页都行。然后你试着在用户名框里输入一个单引号，看会不会报错。如果报错了，你就亲手制造了一个SQL注入点。这种体验比看十篇教程都管用。

我刚开始学的时候，最头疼的是不知道从哪儿下手。后来发现，所有攻击都围绕三个核心问题：用户输入是否被信任？权限边界是否清晰？敏感数据是否暴露？把这三个问题记在心里，渗透思路就清晰了。输入框里能不能塞进去一段脚本？普通用户能不能访问管理员接口？报错信息里是不是泄露了数据库结构？每个问题背后都对应着具体的攻击手法。

有个朋友在甲方做安全，他跟我讲过一件特搞笑的事。他们公司请了家渗透测试公司来测，结果对方工程师用谷歌搜了下公司域名的子域名，发现有个测试环境挂在公网上，用的是默认口令。前后没花十分钟，就拿到了内网权限。这事儿被写进报告里，甲方领导脸都绿了。你看，最有效的攻击往往不是最复杂的。

想入门，路径其实很直白。先学HTTP协议，搞清楚请求头和响应头的含义；再学前端基础，至少看得懂JavaScript在干嘛；然后后端语言选一门，Python最省事；最后数据库必须会基本的查询语法。这四样东西凑齐了，你就能看懂大部分漏洞的原理。剩下的就是练，去DVWA、Pikachu这些开源的靶场环境里练，反复打，直到闭着眼都能说出每个漏洞的触发条件。

别指望速成。我见过太多人收藏了一堆教程，结果连Burp Suite的代理都配不好。渗透是门实践的学问，动手踩坑比什么都重要。真正上手之后你会发现，那种找到漏洞的快感，跟解出一道数学难题差不多——但更刺激，因为你是在跟真实世界的代码缺陷打交道。

最后说句实在话，这行当水不浅，但入口确实不宽。只要你愿意花时间折腾，三个月足够让你入门。但记住，技术本身没有善恶，用它在授权范围内测试是专业，越界就是犯罪。别拿学到的本事去干蠢事，得不偿失。