Web渗透测试教程

一个登录框，渗试教输入 ' or 透测1=1--，直接进了后台。渗试教这是透测2019年某地级市政府网站的真实情况。渗透测试不是渗试教电影里敲几行代码就黑掉五角大楼，更多时候，透测它像检查自家门窗有没有关好——只不过检查的渗试教是网站。

先搞明白你在测什么

拿到一个目标，透测别急着掏工具。渗试教打开浏览器，透测F12，渗试教看看请求和响应。透测网站用什么语言写的渗试教？PHP还是Java？服务器是Nginx还是IIS？有没有CDN？这些信息决定了你后面用什么路子。

我习惯先跑一遍 whatweb，透测再手动翻几个页面。渗试教有一次测一个电商站，whatweb显示是ThinkPHP 5.0.22，这个版本有个经典的RCE漏洞。直接上exp，十分钟拿到shell。如果当时没看框架版本，可能还在那傻乎乎地试SQL注入。

信息收集不是走过场

很多人觉得信息收集就是跑个whois、查个子域名，然后就开始扫目录。方向错了。

子域名收集用 oneforall 或者 subfinder，但别只跑一遍。把结果丢进 httpx 里筛出存活的主机，再拿 nmap 扫端口。去年帮朋友看一个站，主站防护做得严严实实，结果子域名里有个 test.xxx.com，跑着同样的代码，数据库连接还是弱口令。从子站拿到数据库配置，再回头打主站，一气呵成。

目录扫描别迷信字典。先看看robots.txt，再看看网站有没有sitemap。有时候开发者会把备份文件扔在根目录，www.zip、backup.tar.gz 这种，手动试几个比跑一万条字典管用。

漏洞挖掘：别只盯着OWASP TOP 10

SQL注入、XSS、文件上传这些老生常谈的东西，网上教程一抓一大把。说点实际的。

测SQL注入，sqlmap 确实方便，但别上来就 -u 加 --batch。先手工测几个点，判断是字符型还是数字型，有没有WAF。有次遇到一个站，sqlmap跑半天没结果，手工加了个 %df 就绕过了——宽字节注入，WAF没拦住。

文件上传更看细节。前端JS校验？Burp抓包改后缀就行。后端MIME校验？改Content-Type。黑名单？试试 .phtml、.php5。都不行？看看有没有解析漏洞，IIS 6.0的 test.asp;.jpg 到现在还有站中招。

逻辑漏洞才是重头戏。越权、支付篡改、验证码复用，这些SQL注入扫不出来的东西，往往能直接造成业务损失。测过一个理财平台，修改订单金额的时候只在前端做了限制，Burp一改，100块变1块，直接充值成功。

工具是死的，思路是活的

Burp Suite 是标配，但别只当抓包工具用。Intruder 跑爆破，Repeater 手工测，Scanner 扫被动漏洞，各有用处。有个技巧：把 Burp 的代理设成上游代理，配合 proxychains 走 Tor，测一些敏感目标时能藏一下真实IP。

Nmap 别只会 -sV -sC。--script 里有一堆好用的脚本，http-enum 能扫目录，smb-vuln-ms17-010 能直接查永恒之蓝。但记住，扫描流量大了容易被封，调 -T2 慢点跑。

拿到shell之后

别急着截图炫耀。先看权限，whoami、systeminfo。Windows下试试 wesng 提权，Linux下 linpeas 跑一遍。提权成功再考虑留后门——但正规渗透测试里，这一步通常不需要，除非客户明确要求。

清理痕迹这事，说实话，在授权测试里没必要。你删了日志，客户反而不知道你干了什么。正确做法是记录每一步操作，写报告的时候截图、贴命令、说明影响。

最后说点实在的

渗透测试的核心不是工具用得多溜，是你对Web应用的理解。知道PHP的 $_REQUEST 怎么取值，知道Java的反序列化怎么触发，知道Node.js的 child_process 怎么调用——这些底层知识决定了你能不能找到别人找不到的漏洞。

多搭环境练手。DVWA、Pikachu、Vulnhub 上的靶机，挨个打一遍。打完了别急着删，回头看看源码，想想为什么这里会有漏洞。下次遇到类似场景，肌肉记忆就出来了。

合法授权是底线。没授权就测，那不叫渗透测试，叫非法入侵。进去踩缝纫机的滋味，应该没人想尝。

很赞哦!（93）