获课地址：小迪安全 2023版(全套无删减 )
2023年，小迪安全更新到第29期的时候，弹幕区有人问了一个问题：
“老师，SQL注入现在还能挖到吗？”
屏幕那头沉默了两秒。
然后小迪的声音响起来，不是直接回答，是反问：
“你问的是‘还能挖到’，还是‘还有人用’？”
弹幕区静了几秒。
“这两件事，不是一回事。”
那是我第一次意识到，这套课和别的渗透测试教程不太一样。
它不讲“漏洞大全”，不讲“神器一把梭”，不讲那些让你觉得自己装上Kali就能黑掉世界的速成神话。
它讲的是：当那些网红漏洞都被修复了，你手里还剩什么。
第一层拆解：入口不是“漏洞”，是“功能”。
很多新手学渗透，第一反应是扫漏洞。Nmap扫端口，AWVS扫Web，Nessus扫主机。扫出一片红，兴奋；扫不出东西，绝望。
小迪第3期，标题叫“信息搜集与功能点发现”。
他不扫漏洞。他打开目标网站，像普通用户一样，注册账号、浏览商品、提交订单、申请退款。
每一步操作，他都在心里画一张图：这个功能用了什么参数？参数传到哪个接口？接口返回了什么数据？数据有没有被拼接过？
“漏洞不是长在系统里的蘑菇，”他说，“漏洞是你把一个正常功能，用不正常的顺序、不正常的数据、不正常的身份，触发了一遍。”
你不需要知道目标有没有SQL注入。你需要知道的是，目标有没有一个搜索框、一个登录口、一个上传点。
入口就在那里。漏洞只是入口被滥用之后的结果。
第二层拆解：注入不是“万能密码”，是“闭合语句”。
SQL注入，新手入门第一道坎。
很多教程讲注入，甩一句'or 1=1#，页面登进去了，学员欢呼：我黑了网站！
小迪第8期，花了四十分钟讲一个引号。
不是'or 1=1#，是那个单引号本身。
“你输入一个引号，页面报错，你知道为什么报错吗？”
台下沉默。
“因为服务端把用户输入拼进了SQL语句。你输入一个引号，把前面的单引号提前闭合了，语句多出一个引号，语法错误，数据库把错误吐回给前端。”
“页面报错不是漏洞——页面报错是数据库在告诉你：这里拼过我的语句，而且没过滤。”
他拿出一张白纸，画了三行代码：
$id = $_GET['id'];
$sql = "select * from users where id = '$id'";
$result = mysqli_query($conn, $sql);
“你看，问题在哪？”
台下有人开麦：“id变量外面包了引号。”
“对。它包了引号。所以你要做的不是输'or 1=1#，是先让这个引号闭合。你输入1'，语句变成where id = '1''，多一个单引号，语法错误。”
“然后你用and '1'='1补上。语句变成where id = '1' and '1'='1'。语法对了，查询跑通了，你看到了不该看的数据。”
“这叫闭合。不是什么万能密码。”
那四十分钟之后，我再看报错页面，不再是“完蛋了出bug”，是“谢谢你告诉我”。
第三层拆解：权限不是“越高越好”，是“够用就行”。
新手拿到一个webshell，第一反应是提权。提不动，卡住，放弃。
小迪第21期，标题叫“Windows提权思路与降权利用”。
他不只讲怎么提权，他讲：你为什么要提权？
“你想读系统文件？当前用户权限可能已经够了。你想安装后门？Users组在某些目录本来就有写权限。你想横向移动？一个低权限账号反而更容易混在日志里。”
“提权的目的是解决问题，不是满足虚荣心。”
然后他讲了一个案例：某次渗透，拿到一个IIS匿名用户权限，死活提不了system。他没用提权漏洞，而是在这个低权限账号下，找到站点备份文件，里面明文存着另一台服务器的管理员密码。
“那个IIS用户从头到尾没变过权限，”他说，“但它替我把隔壁服务器的门钥匙递出来了。”
那节课之后，我不再对着whoami输出system就沮丧。
够用，就继续走。
第四层拆解：XSS不是“弹窗”，是“模拟”。
XSS入门第一课，几乎是固定的：在输入框里输，弹窗，成功。
小迪第15期，前十分钟也在弹窗。
然后他把弹窗关了，打开一个空白页。
“现在你告诉老板，这个漏洞有什么危害？”
台下沉默。
“弹自己不是漏洞。你要弹别人。”
他开始演示：用XSS平台生成一个恶意脚本，构造一个短链接，发给目标管理员。管理员点开，cookie被偷，后台被登录。
然后他把这个场景又拆了一遍。
“不是所有XSS都需要用户交互。反射型需要，存储型不需要。你把恶意脚本存在评论区，每个看评论的人自动执行一遍。”
“不是所有XSS都能偷cookie。HttpOnly标记了，cookie偷不到。那偷什么？偷页面源码、偷表单输入、偷内网探测结果。”
“XSS不是弹窗脚本，XSS是你租用受害者浏览器的临时代理。”
那节课最后，他放了一张截图：某安全论坛上，有人提问“XSS还能干什么”。底下最高赞回答是：
“XSS还能让你明白，为什么有些公司坚持用内部聊天工具发敏感信息。”
第五层拆解：内网不是“迷宫”，是“关系网”。
Web渗透入门时，内网是很多人的心理禁区。端口、服务、域控、组策略，名词不熟，工具不熟，不敢动。
小迪第31期，标题叫“内网信息搜集与横向移动”。
他不讲域信任关系，不讲黄金票据、白银票据。他从一条命令开始：
net view。
“你看，内网不是迷宫，是公司通讯录。这台机器叫什么名，隔壁机器叫什么名，谁和谁在一个工作组——net view都告诉你了。”
然后他演示怎么从一台跳板机，通过IPC$连接另一台机器，复制过去一个扫描器，继续扫下一批IP。
“横向移动不是黑客电影里那些花哨的操作。就是你从A屋走到B屋，从B屋走到C屋。每个门可能锁着，也可能没锁。你试试把手，拧得开就进去。”
他顿了顿，补了一句：
“大多数企业内网，很多人进门不锁门。”
第六层拆解：报告不是“交差”，是“翻译”。
课程尾声，小迪花了一整节讲渗透测试报告。
不是教格式模板，是教怎么写人话。
“你把漏洞描述写成CVE-2023-XXXX、CVSS评分9.8、攻击向量N/A——客户看得懂吗？”
“客户想知道的是：这个漏洞会让我丢数据吗？会让我被同行笑话吗？修它要花多少钱？不修会怎样？”
他翻出一份真实的报告案例。
漏洞名称栏写着：“后台登录接口存在用户名枚举风险”。
漏洞危害栏写着：“攻击者可通过遍历用户ID，获取平台注册手机号，用于短信轰炸或社工攻击。”
修复建议栏写着：“建议将登录失败提示统一为‘用户名或密码错误’，不再区分用户是否存在。”
台下有人发弹幕：
“原来写报告不是在写论文，是在做翻译。”
后来有人问：小迪这套2023版，和之前版本最大的区别是什么？
答案不在课程大纲里。
2023年，自动化扫描工具越来越强，AI辅助代码审计开始落地，N-Day漏洞披露到全网公开的时间从几天压缩到几小时。
会点工具的人越来越多，能手工走完一次完整渗透的人越来越少。
小迪在这版课里反复强调一件事：
“工具替你省时间，但不能替你想问题。”
他演示Sqlmap跑注入，跑完出数据，然后把–level和–risk参数挨个拆开：这个参数发多少payload、那个参数发哪些类型、为什么有的场景必须用–os-shell。
他不是反对工具。他是反对把工具当黑箱。
你不知道Sqlmap怎么工作的那一天，Sqlmap跑不出结果的那一天，就是你职业生涯停在那一天。
2025年，小迪安全更新到第47期。
新内容涵盖云原生渗透、容器逃逸、Serverless安全。早期那些古典SQL注入、基础XSS的章节，在课程体系里占比越来越小。
但老学员硬盘里还存着2023版。
不是因为那些漏洞还没被修复。
是因为那一年，有人在一个引号上讲了四十分钟。
四十分钟，足够一个新手从“复制粘贴payload”变成“看一眼报错就知道为什么闭合”。
课程会迭代，漏洞会消亡，工具会更新。
但那个从引号里读出数据库回音的下午，不会消亡。
评论(0)