很多人搜“如何挖网站漏洞视频”，何挖点进去一看，网站全是漏洞录屏工具广告，或者拿DVWA这种靶场演示一遍SQL注入就完事。视频真到实战里，何挖连个登录框都找不到。网站我最早学这个，漏洞是视频跟着一个老哥的录屏，他对着一个政府站点了根烟，何挖说“你看这个参数，网站id=123，漏洞后面加个单引号，视频报错了，何挖说明没过滤。网站”视频总共七分钟，漏洞没讲原理，没讲工具，就看他手动测了三个点，最后没挖到，关了。那视频我反复看了十几遍，比后来那些“全套渗透教程”有用得多。

挖漏洞这事，视频能教你的只有两样：怎么看流量，怎么试参数。剩下的靠你自己泡在浏览器开发者工具里。我习惯用Burp Suite抓包，但新手别急着上神器，先装个Firefox的“HackBar”，按F12调出来，对着URL里的数字、字符串挨个改。比如`?page=1`改成`?page=1'`，页面返回SQL语法错误，那就有戏。视频里通常到这就开始跑sqlmap了，但实战中你跑sqlmap可能直接把站跑挂——我干过，一个学校官网，`--risk=3`下去，数据库锁死，十分钟后网站502。所以视频不会告诉你的是：先手动确认注入类型，再决定用不用工具。

文件上传漏洞的视频更离谱。UP主们喜欢拿一个没有任何防护的上传点，传个.php文件，然后连上菜刀。现实里你传个.php，服务器直接返回“不允许的文件类型”。这时候得看视频里没剪进去的部分：改Content-Type为image/jpeg，改文件名后缀为.php5、.phtml，或者用00截断——但00截断在PHP 5.3.4之后已经修了。我去年帮朋友看一个站，上传点只检查了后缀，我传了个`.php.jpg`，它把文件名重命名为`时间戳.jpg`，但Apache解析漏洞还在，访问`/upload/123.php.jpg`照样执行。这个细节，十个视频里九个不提。

XSS的视频倒是实在，因为没法自动化。一个输入框，你打``，弹窗了，就完事。但视频不会告诉你，很多站过滤了`