web渗透入门教程自学

别急着装Kali，透入先学会看“门”

我见过太多新手，门教下载了Kali Linux，程自打开Metasploit，透入对着靶机敲两行命令就觉得自己是门教黑客了。结果连一个最简单的程自SQL注入都搞不明白原理，更别说自己写Payload。透入真实世界里的门教渗透测试，八成时间花在信息收集和逻辑分析上，程自只有两成是透入“炫技”式的漏洞利用。

所以，门教你的程自第一步不是装工具，而是透入学会“看门”。所谓看门，门教就是程自搞清楚一个网站有哪些入口——URL参数、登录表单、搜索框、上传点，甚至响应头里的某个字段。拿一个普通博客站练手，先别急着扫漏洞，手动把每个链接点一遍，观察URL变化，比如从index.php?id=1变成index.php?id=2，这就是一个“门”。

拿Burp Suite当你的“听诊器”

安装Burp Suite Community版，免费够用。设置好代理，浏览器流量走它。然后随便点几个页面，看HTTP请求历史。你会发现每个请求都像一封挂号信，有收件人地址（URL），有正文（POST数据），还有落款（Cookie）。这时候你该做的，是试着改改这些“信”的内容。

比如那个id=2，改成id=3，看看页面变了没。变了说明服务器信任你的输入，没变就换下一个参数。这种“改参数看反应”的笨办法，比任何扫描器都靠谱。扫描器只会告诉你“可能有洞”，但手动改包能让你理解“为什么有洞”。

SQL注入不是玄学，是拼字符串

当你发现id=2'报错，而id=2''正常时，恭喜，你找到了一个SQL注入点。原理特简单：开发者把你的输入直接拼进了SQL语句，比如SELECT * FROM news WHERE id='2''，多了一个引号就语法错误。你不需要背什么万能密码，只要记住：输入被当成代码执行了。

接下来用ORDER BY猜字段数，用UNION SELECT找显示位。这个过程像开锁，一齿一齿试。我当年练这个，拿自己搭的DVWA靶场，反复试了三天才彻底搞懂联合查询的字段对齐。别嫌慢，慢就是快。

XSS：把脚本塞进别人的浏览器

反射型XSS最容易理解。找个搜索框，输入<script>alert(1)</script>，如果弹窗，说明服务器没过滤就返回了。但别高兴太早，反射型XSS只能打自己，没实际危害。存储型XSS才可怕——比如评论区，你把脚本存到服务器，别人访问页面就执行。这就像在公共饮水机里下药，喝的人全中招。

练习XSS别用真实网站，去PortSwigger的Web Security Academy，有免费的靶场实验，每个漏洞都配了讲解。我在那儿刷了十几个XSS实验，才明白DOM型XSS和反射型的区别——前者是前端JavaScript直接操作DOM导致的，连HTTP请求都不用发。

文件上传：最直接的后门

有些网站允许传头像，但没检查文件类型。你传个shell.php.jpg，服务器如果只认后缀，那就尴尬了。更骚的操作是传.htaccess文件，把jpg解析成php。但这类漏洞现在越来越少了，主流框架都会做白名单校验。所以别指望一击必杀，多关注上传后的路径回显和文件重命名规则。

有次我测试一个内部系统，上传点把文件存在/uploads/2024/11/，文件名是时间戳加随机数。我传了个图片马，却猜不到完整文件名。后来发现响应包里有JSON返回，包含了完整URL。你看，漏洞往往不在上传本身，而在信息泄露。

学不会？那就去“抄”

别觉得丢人，我到现在还常翻PayloadAllTheThings这个GitHub仓库。里面按漏洞类型整理了各种Payload，比如SQL注入的绕过技巧、XSS的编码方式。但抄也有抄法——抄完必须自己复现一遍，在靶场上改参数、换编码，直到能解释每个字符的作用。否则你只是复制粘贴的搬运工。

遇到卡壳就去读公开的渗透报告，像HackerOne上的Hacktivity，看别人怎么找漏洞、怎么写报告。有次我读了篇关于密码重置逻辑漏洞的报告，才发现自己之前忽略了一个“验证码不过期”的测试点。这种案例比教程有用十倍。

最后说句实在话：渗透测试的核心不是工具多牛逼，而是你能否像开发者一样思考——他们哪里偷懒了，哪里信任了不该信任的输入。把每个参数当敌人，把每个响应当线索，练够一百小时，你会突然开窍。