web安全 漏洞初体验

**感受：**这两天，老师拿了授权的网站给我们这些新手试试手，让让我们找找漏洞。自己用的sql xss 上传比较多，也只熟悉这些，试了很多次，人就憨了，网站一检测到你的入侵行为，就报“waf检测到恶意注入”，“你存在hack行为，已禁你ip，若误封请与管理员联系”，“你的hack行为，以保存你的特征码”等等不友好信息，人就呆了，有点不知所措，有时有些网站做的很差，接口没写完，功能没实现，用户体验极差，感觉网站就只做了一半就跑，有点不好吧。回到检测漏洞，我感觉我所知道的检测方法太贫穷了，我就晚上又学了点kali的nikto和御剑和burp爆破，想去扫网站目录，拿后台，第二天发现扫出来一两个网站，但大多目录都是不具有权限的，发现有些网站就是别人的博客程序改过来的，使用两个工具结合用差不多整个网站的重要目录和网站信息都扫出来了，顺着线索走，直接就在CNVD发现有关这个程序的十几个且没有补丁的漏洞，看了看这些漏洞以我能力都找不出来，于是还是规规矩矩回去做我自己的，但后台爆破我一个都没有成功过。
总结：检测网站，和以前过关找漏洞，相差很多，以前有明确的目标和判断标准，但是拿到实际的网站你是模糊的，你是不知道一条路能不能走到黑，也不知道方法有没有问题，也不知道会不会大意写错代码，而且网站的保护很狠，给你的信息很少很模糊，对你稍有怀疑就会拦截你，此时就会感觉已知的一般检测方法是不够用的，如常见的xss的payload，是不管用的，要不断收集信息，一次次地更改，还有常见的字典也是要不断收集的，还有应该学会工具的灵活使用，像今天的御剑和nikto就帮了我很多，御剑扫不出来的nikto能扫出来，综合起来一个网站的隐藏目录admin和user phpinfo都被扫出来了，第一次接触河挖漏洞，挺有趣的，也充分认识了自己的知识的欠缺，也知道了接下来的问题，waf经常出现，动不动就拦截，要学习waf的绕过，和其他漏洞的使用，冲冲冲。