很多人以为Web渗透得先学会写代码、小白背协议、入门啃完几本厚书才能动手。透教扯淡。小白我见过完全零基础的入门人，两周内就能独立挖到第一个SQL注入漏洞。透教关键不在于你学了多少，小白而在于你从第一天起就在真实目标上练手。入门

先把环境搭起来。透教别用Windows折腾那些乱七八糟的小白工具链，直接装个Kali Linux虚拟机。入门VMware或者VirtualBox都行，透教分配2G内存、小白20G硬盘足够。入门Kali自带了两百多个渗透工具，透教省得你一个个去配。装好之后打开终端，敲`ifconfig`看看网卡，敲`ping baidu.com`确认网络通。这一步就花你半小时。

接下来你需要一个合法的靶场。别脑子一热去扫学校网站或者公司内网，那是犯罪。去装DVWA（Damn Vulnerable Web Application），或者用在线的靶场比如Pikachu、墨者学院。DVWA用Docker部署最快，两行命令：`docker pull vulnerables/web-dvwa`，然后`docker run -d -p 80:80 vulnerables/web-dvwa`。浏览器打开localhost就能看到登录页，默认账号admin，密码password。

DVWA的难度调到Low。这时候你打开Burp Suite——Kali自带的抓包工具。配置浏览器代理指向127.0.0.1:8080，装好Burp的CA证书。在DVWA的SQL Injection页面输入`1`，Burp里就能看到请求参数。把`1`改成`1' OR '1'='1`，回包直接列出了所有用户。这就是最基础的注入，你刚才手动完成了一次。

别急着高兴。同样的页面，你试试在输入框里写``，这就是XSS。DVWA的XSS（Reflected）模块会弹窗。再试试文件包含漏洞，URL里把`?page=include.php`改成`?page=/etc/passwd`，如果回显了系统文件内容，说明存在本地文件包含。这三个漏洞——SQL注入、XSS、文件包含——覆盖了Web渗透六成以上的入门场景。

有人会问：工具跑一遍不就行了？sqlmap一把梭，XSStrike自动扫。但你得知道工具在干什么。sqlmap跑注入的时候，加个`-v 3`参数看它发的payload，你会发现它先判断注入类型，再猜数据库版本，再爆表名。这个过程你手动走一遍，比看十篇教程都管用。我自己的习惯是：先用工具跑出结果，再关掉工具手动复现，直到能自己构造出完整的利用链。

真实环境比靶场复杂得多。WAF会拦你的payload，参数可能经过编码，Cookie里藏着鉴权逻辑。去年帮朋友看一个站，输入框过滤了单引号，但没过滤反斜杠。构造`\'`让转义失效，照样注进去了。这种细节靶场不会教，得靠你在实战里试。当然，前提是拿到书面授权。

每天花一小时泡在靶场里，比看一周视频强。DVWA通关之后去试试OWASP Top 10里的其他项目，再往后可以打CTF里的Web题。记住一点：渗透测试的本质是理解程序怎么处理你的输入，然后想办法让它按你的意图执行。工具只是帮你省时间的，脑子才是核心。