周二凌晨两点十七分，网页我盯着屏幕上的漏洞一个输入框发呆。那是网页本地搭建的一个测试站点，一个看似普通的漏洞搜索框，却藏着一个经典的网页SQL注入点。我随手输入了一个单引号，漏洞页面立刻报错，网页数据库的漏洞报错信息像剥了壳的鸡蛋一样裸露在眼前。这场景我见过太多次了——kali里的网页sqlmap只需要一条命令就能搞定，但真正让我着迷的漏洞，是网页那个报错背后暴露出的逻辑漏洞。

很多人以为kali是漏洞一把万能钥匙，装个系统就能黑遍全网。网页实际上它更像一个军火库，漏洞里面堆满了各种工具，网页但怎么用、什么时候用，全看你的脑子。就拿最常见的网页漏洞来说，XSS、CSRF、文件上传，每一个都像是一道精心设计的谜题。有一次我测试一个上传点，前端限制了jpg格式，但后端根本没检查文件头。我改了个后缀，传了个PHP一句话木马上去，几秒钟后，服务器就乖乖交出了shell。整个过程甚至不需要任何高级技巧，纯粹是开发者的疏忽。

但漏洞挖掘最迷人的地方在于，它永远没有标准答案。同一个参数，在不同框架里可能有完全不同的解析方式。有时候你盯着Burp Suite的抓包记录看了半小时，突然灵光一闪——原来那个看似无害的Cookie里藏着路径穿越的可能。这种时刻的兴奋感，比任何游戏通关都来得强烈。

当然，现实世界里的漏洞往往没那么纯粹。我见过一个政府网站，用的是十年前的老框架，后台密码是admin/admin。这种漏洞根本不需要技术含量，纯粹是管理员的懒惰。可恰恰是这种懒惰，让kali里的hydra工具都显得多余。你甚至不需要爆破，直接猜就能进去。这种案例让我觉得，网络安全最大的敌人从来不是黑客，而是那些连基础安全习惯都不愿意养成的运维人员。

话说回来，kali本身也不是万无一失的。有一次我更新完工具包，发现msfconsole打不开，查了半天是依赖库冲突。折腾了一晚上，最后用了个土办法——重装。这工具就像一把双刃剑，用得好能刺穿目标，用不好反而伤了自己。所以每次测试前，我都会在虚拟机里先跑一遍流程，确认没坑再上真机。

漏洞挖掘这条路，走得越深越觉得自己无知。你以为掌握了SQL注入就万事大吉，结果现在全是参数化查询。你以为XSS已经烂大街，结果人家用CSP把路堵得死死的。但总有新的绕过技巧冒出来，就像打地鼠一样，你永远不知道下一个漏洞会藏在哪个不起眼的角落。

凌晨四点，我关掉终端，那个测试站点的shell还挂在后台。窗外天快亮了，我伸了个懒腰，想着明天该换个目标练练手了。毕竟漏洞这玩意儿，跟街边小吃一样，尝过一家，总想试试下一家。