近期，我围绕 OWASP Bricks 靶场开展了 Web 渗透测试实战训练，重点完成了文件上传漏洞绕过、敏感目录探测、SQL 注入漏洞验证三大核心任务，全程使用 Burp Suite 工具完成请求拦截、修改、重放与攻击测试。通过亲手操作、反复调试与结果验证，我对 Web 漏洞原理、工具使用方法与攻防逻辑有了更直观、更深刻的理解，也真正体会到渗透测试 “细节决定成败、思路决定方向” 的核心要义。
一、文件上传漏洞绕过：前端校验不可信，流量分析是关键
本次训练的第一项任务是文件上传漏洞绕过，这也是 Web 应用中最常见、风险极高的漏洞类型。在 OWASP Bricks 的 Upload-2 模块中，页面直接限制文件上传类型，直接上传图片文件失败，上传 HTML 文件同样被拦截，前端校验表现得十分严格。起初我以为防护严密，但开启 Burp Suite 代理拦截请求后，问题立刻暴露出来：系统仅通过前端与请求头中的Content-Type字段判断文件合法性，并未对文件内容、后缀、文件头做深度校验。我将上传 test.html 时的Content-Type:text/html手动修改为image/png，再次放行请求后，文件直接上传成功。这一过程让我清晰认识到，前端校验完全不可靠，仅校验 MIME 类型是典型的弱防护，攻击者只需简单修改请求包即可绕过限制，一旦上传恶意脚本，极易导致服务器被控制、网页被篡改等严重后果。也让我明白，做渗透测试不能被页面表象迷惑，必须深入流量底层分析防护逻辑。
- 浏览OWASP板块并练习Upload2
- 启用请求拦截
- 尝试上传图像文件
- 尝试上传HTML文件
- 使用Burp Suite绕过文件类型验证
- 修改Content-Type
- 验证上传结果
二、敏感目录探测：信息收集为基础，批量探测提效率
第二项任务是使用 Burp Suite Intruder 模块探测敏感目录，这是渗透测试中信息收集的关键环节。信息收集越充分，后续漏洞挖掘越高效。我先抓取正常访问请求，将其发送至 Intruder 模块，在 URL 路径位置设置攻击点位，选择 Sniper 攻击模式，加载目录字典作为攻击载荷，随后启动攻击。工具会自动批量发送请求，通过返回的状态码、页面长度判断目录是否存在。训练中我发现，返回 200 状态码代表目录可访问，404 为不存在，302 为跳转，403 为权限禁止。这种批量探测方式，比手动访问效率提升数十倍。这次操作让我掌握了暴力破解与目录扫描的基本思路，也意识到敏感目录未做访问控制，会直接导致配置文件、源码、数据库信息泄露，成为攻击者入侵的突破口。
- 选择请求并发送到Intruder
- 设置修改点
- 设置攻击载荷
- 启动攻击
三、SQL 注入漏洞验证：手工重放析原理，参数校验是核心
第三项任务是利用 Repeater 模块重放请求，测试 SQL 注入漏洞，这是本次训练最具逻辑性的环节。我先访问index.php?id=0页面，页面正常返回用户信息，将该请求发送到 Repeater 后，开始手工修改参数测试。当把id=0改为id=a时，页面返回数据库报错信息，说明参数未做过滤，直接带入 SQL 语句执行；当把参数改为id=-1时，页面成功返回其他用户数据，明确存在 SQL 注入漏洞。在反复修改参数、发送请求、对比响应的过程中，我直观理解了数字型注入的原理，也掌握了手工验证注入漏洞的基本方法。相比直接使用工具扫描，手工重放能更清晰地看到参数变化对结果的影响，理解漏洞形成的根本原因，这是单纯依赖工具无法获得的收获。
- 访问目标页面
- 选择请求并发送到RePeater
- 切换到RePeater选项卡
- 分析请求和响应
- 测试非数字参数
- 测试表达式参数
四、实战总结：攻防兼备守底线，以攻促防护安全
通过这三项实战训练，我彻底摆脱了 “只懂理论、不会操作” 的困境，对 Burp Suite 的Proxy、Intruder、Repeater三大核心模块运用更加熟练。Proxy 负责抓包改包，是绕过弱校验的基础；Intruder 负责批量攻击，高效完成信息收集；Repeater 负责请求重放，精准验证漏洞存在性，三者配合覆盖了 Web 渗透测试的常用流程。同时，我也深刻认识到，Web 应用的漏洞大多源于开发人员安全意识不足、校验逻辑缺失、权限配置不当。文件上传只验类型不验内容、SQL 参数不做预处理、敏感目录不设访问控制，这些看似微小的疏忽，都会成为攻击者利用的跳板。
作为安全学习者，本次训练让我树立了正确的渗透测试思维：一切用户输入皆不可信，一切请求参数都需校验，一切功能点都存在风险可能。渗透测试不是为了攻击而攻击，而是以攻击者的视角发现系统短板，帮助开发者修复漏洞、加固防护，最终实现 “以攻促防” 的安全目标。在操作中我也体会到，耐心和细致至关重要，一个字符的修改、一个状态码的忽略，都可能错过漏洞；同时，合规意识必须牢记心中，所有测试都必须在授权环境下进行，绝不越权、不破坏、不滥用技术。
此次 Web 渗透实战训练，是我从理论走向实践的重要一步。我不仅提升了工具操作与漏洞挖掘能力，更建立了完整的攻防思考框架。未来，我将继续深耕 Web 安全领域，多做实战、多复盘总结，深入学习更多漏洞原理与高级利用技巧，同时强化防御思维，努力成为一名懂攻击、更懂防御的网络安全实践者，用专业能力守护网络空间安全。
https://mp.csdn.net/mp_blog/creation/editor/160627694
