我花了三个月才搞明白，透自所谓“web渗透自学”，透自核心就一句话：别急着学攻击，透自先学会怎么当个合格的透自“管道工”。管道工得知道水从哪来、透自往哪走、透自哪段管子容易堵。透自你连HTTP请求和响应都没亲手抓过包，透自就去背什么SQL注入语句，透自纯属自欺欺人。透自

我的透自第一课是修自家路由器。那玩意儿有管理后台，透自默认密码admin/admin。透自我试着登录，透自抓包一看，透自密码居然明文传输。那一刻我突然懂了——渗透不是玄学，就是找别人设计时偷懒留下的缝隙。后来我逛CTF论坛，看到有人分享经验：“你不需要成为程序员，但你必须能读懂别人代码里的坏习惯。”这话糙理不糙。

自学路径其实很枯燥。我最初照着《Web应用安全权威指南》啃，前两章讲HTTP协议和Cookie机制，看得我直打瞌睡。但熬过去之后，再看那些“漏洞复现”文章，突然像戴上了透视眼镜。比如你看到某个网站URL里有?id=1，心里就该咯噔一下——这地方八成能塞点东西。这感觉不是背出来的，是练出来的条件反射。

别迷信那些“七天速成”的课。我见过最离谱的教程，上来就教你用sqlmap一把梭，结果连报错信息里的“syntax error”都看不懂。真实渗透里，八成时间花在信息收集上——查子域名、翻JS文件、看响应头。有次我为了测一个站，光它的robots.txt和sitemap.xml就研究了俩小时，最后突破口居然藏在它网页最底部的版权年份里——那年份是旧的，说明后台可能没更新，顺手一试，后台管理路径还是默认的。

工具只是拐杖。Burp Suite我到现在也就用个Proxy和Repeater，但每次看到有人晒“神器”，我都想问：“你清楚它发的每个包长啥样吗？”有回我帮朋友看个站，他装了六个扫描器，扫出来一堆“高危”，结果全是误报。我手动发了个畸形请求，服务器直接吐出了版本号——那才是真漏洞。工具能帮你扩大攻击面，但判断力得靠自己的脑子。

踩坑是必经之路。我第一个靶场环境是DVWA，连“Low”难度都卡了三天——卡在“文件包含”那个题上，怎么都读不到/etc/passwd。后来发现是路径没加../，活活被自己蠢哭。这种时刻特别容易泄气，但你要记住：渗透测试的本质是“假设验证”，错了就换假设，跟解谜游戏一样，急不得。

最后说点实在的。合法练手的地方很多：HackTheBox、PortSwigger的Web Security Academy、还有各类CTF平台。别去碰真实网站，那是犯罪。我见过有人拿学校选课系统练手，结果被记过处分——这行最讲究边界感。你学的是“如何发现漏洞”，不是“如何利用漏洞搞破坏”。这两者之间的线，比你想的细得多。

自学web渗透，最大的敌人不是技术难度，而是“以为懂了”的错觉。我到现在看半年前的笔记，还觉得写得像小学生涂鸦。但这正是乐趣所在——你永远有下一层没掀开的地板。保持好奇，但别当莽夫。就这样。