Web渗透测试说白了就是透工模拟黑客攻击，工具选对了，透工事半功倍。透工我见过太多新手一上来就装一堆重型武器，透工结果连目标都不清楚，透工纯属浪费生命。透工下面直接按实战场景给你捋一捋。透工

信息收集阶段，透工Nmap是透工绕不开的。它不只是透工扫端口，还能探测服务版本、透工操作系统指纹，透工甚至能跑NSE脚本做漏洞初筛。透工有一次我拿它扫一个内网靶机，透工发现445端口开着，透工直接调了smb-vuln-ms17-010脚本，秒出永恒之蓝的告警。这玩意儿就像侦察兵，不带它出门，你连敌人阵地在哪都不知道。

光有Nmap还不够，Burp Suite才是Web渗透的“手术刀”。它的代理功能能截获所有HTTP/HTTPS流量，你可以手动改包、重放请求、测试SQL注入和XSS。我最常用的场景是登录接口，先抓包看参数结构，然后用Intruder模块做字典爆破，再配合Repeater手工验证。Burp的插件生态也夸张，比如Autorize能测越权，Logger++能记录所有请求。说句实话，没有Burp，很多精细的Web漏洞根本没法挖。

说到SQL注入，sqlmap是自动化神器。但别指望它全自动就完事，我见过有人拿它跑一个需要登录的站点，忘了带cookie，结果跑半天全是401。正确姿势是先用Burp抓包拿到session，再sqlmap -u "http://target/page?id=1" --cookie="session=xxx"，加上--batch自动选默认选项。它还能直接拖库，--dump-all能把整个数据库拉下来。不过，工具越强，越要谨慎，别拿它打没授权的站，这玩意儿动静太大，WAF一拦就废了。

XSS和CSRF这类客户端漏洞，XSS Hunter或者BeEF更对口。BeEF能把浏览器变成僵尸，弹个对话框都算轻的，厉害的是能配合Metasploit打内网穿透。我印象深的一次，是在一个留言板塞了BeEF的hook脚本，管理员一查看留言，浏览器就被控制了，直接拿到他的会话cookie。这招虽然老，但依然有效，因为很多人只防服务端，忘了浏览器也是攻击面。

目录扫描别用dirb那种老古董了，dirsearch或者ffuf是当前主流。ffuf速度快，还能做参数模糊测试。比如你怀疑某个API接口有隐藏参数，用ffuf -u http://target/api/v1/user?FUZZ=1 -w params.txt，几秒钟就能跑出异常响应。有一次我靠这个找到个debug参数，直接开启了详细报错，数据库信息全漏出来了。

别小看Wfuzz，它不只是目录爆破，还能测HTTP方法、头注入、子域名枚举。它的过滤器特别灵活，可以按响应码、字数、正则过滤结果，适合在大量响应里挑出“不一样”的那个。我常用它来测REST API的幂等性，比如PUT和DELETE方法是否被错误地允许。

最后说个常被忽略的——浏览器开发者工具。F12打开，Network面板看请求，Console看报错，Sources里断点调试JS逻辑。很多前端验证只是摆设，直接改JS变量就能绕过。有一次遇到一个支付页面，金额参数是前端算的，我用开发者工具改了POST包里的价格，从100块改成1分钱，居然下单成功了。这算是最基础的逻辑漏洞，但工具就在你手里，就看你会不会用。

工具只是外挂，真正值钱的是思路。Nmap扫完，Burp抓包，sqlmap拖库，ffuf挖参数，BeEF打浏览器，这一套流程走下来，大多数Web站点的防线都能撕开个口子。但记住，工具越顺手，越要守住法律红线，没授权的测试，碰都别碰。