《渗透学完》

凌晨两点，渗透学完我把最后一个靶机的渗透学完flag提交上去，屏幕上跳出绿色的渗透学完“恭喜”。
那一刻，渗透学完我盯着那行字看了足足有半分钟，渗透学完心里却没什么成就感，渗透学完反而有点空落落的渗透学完。
渗透测试这门课，渗透学完就这么学完了。渗透学完不是渗透学完那种“考试过了”的完，是渗透学完那种“你终于能看懂漏洞报告里每一行英文”的完。

第一次接触的渗透学完时候，觉得黑客特酷。渗透学完敲几行命令就能进别人系统，渗透学完像电影里那样，渗透学完手指在键盘上飞舞，密码就哗啦啦地崩了。
真学起来才发现，大部分时间不是酷，是熬。熬着看TCP三次握手，熬着理解SQL注入为啥闭合引号，熬着在Burp Suite里一遍遍重放请求，就为了找那个藏在响应头里的flag。
记得有次做文件上传漏洞的靶场，我用了整整四个小时。传jpg，被拦；改后缀为php，被拦；双写后缀，被拦；最后试了.htaccess配合图片马，进去了。
那一刻没欢呼，只是长舒一口气，像便秘三天突然通了。

渗透的本质，其实不是“入侵”，是“猜”。
猜开发者偷懒用了默认密码，猜他把备份文件留在了根目录，猜他把token写死在前端代码里。
学完才发现，系统漏洞往往不是技术多高深，而是人的疏忽多明显。一个没做参数校验的接口，一个没设过期时间的session，一个注释里写着“TODO：修复越权”的代码——这些才是真正的突破口。
工具只是放大镜，真正找到裂缝的，是你的脑子。

我印象最深的是一次模拟实战，目标是自家学校的一个测试站。
扫目录扫出个.git泄露，用GitHack扒下来源码，在配置文件里翻到数据库密码。结果那密码居然是“admin123”，连个大小写都没混。
那一刻我突然觉得，黑客这行当，有时候跟捡垃圾差不多。你不需要撬锁，因为主人压根没锁门。

学完之后最大的变化是什么？
不是学会了用什么工具，而是看任何网站都会下意识地看它的登录框、猜它的验证逻辑、想它的cookie怎么设的。
走在路上看到二维码，第一反应是“这会不会带个payload”。朋友发来链接，我脑子里自动跑一遍“这域名是不是仿冒的”。
这不是病，这是职业病。但挺有意思的，因为你看世界的角度变了。别人看到的是页面，我看到的是请求和响应；别人看到的是APP，我看到的是它背后可能存在的API接口。

当然，学完不代表就成高手了。渗透这行，越学越觉得自己菜。
那些真正的大牛，玩的是0day，挖的是内核漏洞，我还在为搞了个弱口令而沾沾自喜呢。
但至少，现在再看到“黑客”这个词，我不会觉得那是电影里的神秘人物了。黑客就是普通人，比你多看了几行日志，比你多试了几次错误，比你多熬了几个夜。

靶机打完了，课程翻篇了。
但真正的渗透，其实才刚刚开始——从你意识到“人”才是最大的漏洞那一刻起。学完，原来是个起点。