渗透不抓包

抓包是渗透渗透测试里最常被神话的动作。仿佛不打开Burp Suite，不抓包不盯着一串十六进制流量看半天，渗透就不配叫渗透。不抓包可现实里，渗透真正决定一个系统生死的不抓包漏洞，往往不需要抓包。渗透

去年做某政务系统测试，不抓包目标是渗透个老旧的Java应用。同事熟练地挂上代理，不抓包配置好证书，渗透准备对登录接口来一轮爆破。不抓包我绕到后台看了一眼——管理员的渗透账号密码直接写在前端注释里。那行绿油油的不抓包代码躺在HTML中间，像故意留下的渗透暗号。登录进去，后台连个IP白名单都没设。

抓包在干嘛？在跟加密的登录请求较劲，在分析token的生成规律。可人家把门钥匙挂在门口垫子下面，你却在研究怎么撬锁。

这类案例太多了。文件上传接口没做类型校验，直接传个jsp上去；重置密码的验证码是四位纯数字，而且不限制尝试次数；某个内网接口干脆没做鉴权，用curl一打就返回全量用户数据。这些漏洞有个共同点——它们都写在业务逻辑里，藏在开发者的疏忽中，而不是藏在网络协议层。

抓包当然有用。它能帮你理解客户端和服务端之间到底传了什么，能发现参数篡改的机会，能定位那些不该暴露的内部接口。可它只是工具，不是仪式。很多人把抓包当成了渗透的全部，仿佛不抓包就无从下手。这种思维很危险——它让你把注意力全放在传输通道上，却忽略了应用本身。

真实世界的攻击者，没几个会老老实实抓包。他们用扫描器扫目录，用字典怼登录页，甚至直接谷歌搜索site:target.com filetype:sql。这些手段糙得很，但有效。因为防守方的弱点往往不在协议层，而在开发规范、配置管理、安全意识这些更基础的地方。

我见过最离谱的一次渗透，目标是个金融系统。甲方要求必须用Burp抓包验证漏洞，可那个漏洞明明是越权——普通用户直接改URL里的ID就能查看他人订单。抓包能抓出什么？抓出的只是HTTP请求里那个孤零零的user_id参数。真正的问题在于服务端没校验当前用户和资源属主是否一致，这跟包没什么关系。

抓包是个好习惯，但不该是唯一动作。很多测试人员被工具绑架了，离开Burp就不会干活。他们忘了渗透的本质是模拟攻击者思路，攻击者的核心诉求是找到一条能打进系统的路。这条路可能藏在加密流量里，也可能就明晃晃摆在响应页面的某个角落。

别把手段当目的。拿到一个目标，先看看它暴露了什么，想想它最可能在哪摔跟头。抓包留到需要深挖协议层的时候再用，那才是它的主场。