web渗透思路

入口：别总盯着漏洞库

我见过太多新手，透思一上来就翻CVE，透思拿扫描器怼着目标跑。透思说实话，透思这路子走不远。透思真正的透思渗透测试，第一步是透思搞清楚“这网站到底怎么搭的”。你连后端是透思Java还是PHP都没摸清，扫出来的透思漏洞列表再长，多半是透思白费功夫。

有一次我接了个目标，透思扫出来一堆“高危”，透思结果全是透思WAF的蜜罐响应。真正突破口反而是透思从招聘页面的技术栈描述里找到的——他们招Go开发，顺手用了某开源框架，透思那个框架有个已知的路径穿越。你看，信息收集做到位，比瞎打有用得多。

业务逻辑：最容易被忽略的后门

技术漏洞越来越难打，但业务逻辑永远有缝。优惠券能不能重复领取？密码重置流程能不能改包跳过验证？订单金额能不能传负数？这些不需要多高深的技术，纯粹是看你怎么“玩”这个系统。

记得测过一个电商站，注册时选“企业用户”，上传营业执照后审核通过就能开票。我没传图，直接把响应包里的审核状态字段从0改成1，返回200。系统信了。就这么简单，不是SQL注入，不是XSS，就是开发者偷懒，前端校验完就以为万事大吉。

权限绕过：从低危到高危的跳跃

拿到一个普通用户权限，别急着提权。先看看你能访问哪些接口。很多系统把“用户ID”直接放在URL里，改个数字就能看别人的订单、改别人的资料。这叫水平越权，属于逻辑漏洞里最实在的一种。

有一次我改了个ID，直接看到了管理员的个人中心。里面有个“导出数据”功能，参数里带了数据库表名。我试着把表名换成`users`，结果真给导出来了。那一刻我明白，渗透这事儿，胆大心细，比工具贵重要。

后渗透：别把路走绝

拿到webshell或者服务器权限，别急着拖库。先看看内网拓扑，有没有域控？有没有其他业务系统？很多时候，你打下的这台机器只是个跳板，真正的核心数据在隔壁网段。

我通常会先翻配置文件，数据库密码、Redis密码、OSS密钥，全在这。有一次就靠一个`.env`文件里的阿里云AccessKey，直接接管了对方整个对象存储。整个过程没碰任何漏洞，纯粹是运维习惯差。

收尾：痕迹清理是素养

渗透测试不是搞破坏，收尾得干净。删掉上传的临时文件，清理日志里明显的异常记录，恢复被你改过的配置。别留后门，除非客户明确要求。这行口碑很重要，你留下的每一个痕迹，都可能成为日后法律纠纷的凭证。

说句实在话，web渗透的思路，核心就一句话：别按部就班，多问“如果我是开发者，我会在哪偷懒”。系统是人写的，人的疏忽就是你的入口。