凌晨两点，透攻我盯着屏幕上那个返回的防实200 OK，后背有点发凉。透攻目标站点的防实后台登录框就在眼前，密码字典跑了三轮，透攻毫无收获。防实这不是透攻电影，是防实真实的授权测试——客户给了域名，给了IP段，透攻唯一没给的防实是耐心。

绕过WAF比想象中难。透攻那个云防护厂商的防实拦截页面我认得，每次触发规则，透攻它都会在响应头里多塞一个X-Cache: MISS。防实我换了个思路，透攻不去碰登录接口，改从子域名入手。证书透明度日志是个好东西，用crt.sh拉了一百多个子域，筛出个老旧的测试环境——dev.bank.example.com，连TLS证书都是自签的过期货。

这台机器跑着Tomcat 8.5，管理端口8080直接裸奔在公网上。试了试默认口令，admin/admin，居然进去了。web管理后台能部署war包，这等于拿到了服务器钥匙。我传了个最小化的内存马，不落地文件，只监听一个随机路径。三秒后，目标机器回连了我的VPS，whoami返回root。整个流程不到十五分钟，比绕登录框轻松太多。

但真正的攻防不总是这么顺。上个月帮朋友应急，他们被勒索病毒加密了数据库，攻击者留下的入口让我找了整整两天。后来在日志里翻到一条异常请求——某个老接口的fileName参数带了路径穿越符，配合IIS的短文件名漏洞，硬生生把web.config拖了出来。明文存储的连接字符串里，sa账号密码是P@ssw0rd123。你看，漏洞链往往不复杂，复杂的是人——开发图省事，运维不更新，最后买单的是整个公司。

防守方这边，我见过太多迷信扫描器的团队。装个WAF就以为高枕无忧，结果攻击者绕个编码就能穿透规则。真正的防护得靠日志分析，靠流量回溯。我有次在客户环境里部署了蜜罐，就放在内网DNS服务器旁边。两周后捕获到一个扫描行为，攻击者居然对蜜罐的SSH服务尝试了三十多组口令——那台蜜罐根本不该存在，暴露在扫描器面前本身就是个陷阱。

说回渗透本身。SQL注入依然是老大哥，哪怕ORM框架普及了，总有拼接SQL的漏网之鱼。XSS倒是少了，因为前端框架默认转义，可一旦有人用v-html或dangerouslySetInnerHTML，照样中招。文件上传是另一个重灾区，白名单校验形同虚设，改个Content-Type就能绕过的情况我见得太多了。

最让我警惕的是供应链攻击。去年某次测试中，目标站点用了某个小众的富文本编辑器插件，我翻它的源码发现存在一个隐藏的后门函数——开发者故意留的，版本号还伪装成最新版。这已经不是技术问题了，是信任链的崩塌。

写这些不是为了贩卖焦虑。每个漏洞背后都是业务逻辑的妥协，每道防线都对应着运维的疲惫。攻防不是猫鼠游戏，更像两个棋手在暗处对弈——攻方要找的是那个不为人知的缝隙，守方要护的是那些习以为常的假设。你唯一能做的，就是假设所有输入都是恶意的，假设所有边界都会失守，然后提前想好退路。

那台Tomcat后来被我改了配置，加了访问控制，通知了客户整改。但我知道，下个月换个端口，可能又会有新的疏漏。这就是web安全的常态——没有一劳永逸的解法，只有不断重复的审视、试探、修补。你问我会不会厌倦？说实话，每次看到那个200 OK变成403，或者日志里出现一条干净的审计记录，那种微小的掌控感还挺上瘾的。