学习渗透测试，不要看到别人用AI扫出漏洞赚到钱，就一窝蜂跟风

原创

kider
kider

芳华绝代安全团队

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

最近这半年，我发现安全圈有个特别明显的变化。

以前新人学渗透测试，大家讨论最多的是靶场、协议、漏洞原理。QQ群里经常有人为了一个SQL注入语句争论半天，也有人抱着《Web安全深度剖析》啃到凌晨。那时候学得慢，但大多数人都知道自己在学什么。

现在打开短视频平台，画风变了。

满屏都是“AI自动挖洞”“零基础漏洞赏金”“不会代码也能做渗透测试”之类的内容。视频里几分钟扫出一堆漏洞，配上赏金到账截图，看起来确实很有吸引力。

评论区更热闹。

有人问工具怎么下载，有人问提示词怎么写，还有人直接问能不能把整套配置打包发一份。

说实话，我并不觉得大家关注AI有什么问题。技术发展本来就是这样，从手工测试到自动化测试，从脚本工具到智能分析平台，每一次技术进步都会改变行业的工作方式。

但有一点我越来越明显地感觉到，很多新人把顺序搞反了。

他们希望先拥有AI，再学习渗透测试。

而实际上，往往应该先学会渗透测试，再利用AI提高效率。

这两个顺序看起来只差几个字，最后产生的效果却可能完全不同。

AI确实很强，但它解决的是效率问题

先说结论，我并不反对AI。

恰恰相反，在日常工作中，我几乎每天都在使用AI辅助测试。

以前接手一个大型项目的时候，最耗时间的事情之一就是整理接口。一个稍微复杂一点的系统，几百个API是很正常的事情。光是梳理接口关系、分析参数含义、整理测试清单，往往就要花费不少时间。

现在有了AI之后，很多机械性的工作确实轻松了不少。

它可以帮忙分析接口文档，可以自动提取请求参数，可以协助生成测试思路，也能帮助整理测试报告。对于一些重复性工作来说，效率提升非常明显。

以前可能需要两三天完成的工作，现在几个小时就能得到初步结果。

这一点没人能否认。

但问题也恰恰出在这里。

很多新人看到的是效率提升，却误以为AI代替了技术本身。

这就像有人买了一把专业级电钻，以为自己瞬间变成了装修师傅。工具确实变先进了，但墙体结构、施工工艺、线路布局这些知识，并不会因为换了工具就自动进入脑子里。

网络安全也是一样。

AI能帮助你发现风险点，却不能替代你理解风险。

真正困难的地方，从来不是找到接口

很多刚入门的人会认为，渗透测试最难的是找到目标接口。

实际上，工作做久了就会发现，找到接口往往只是开始。

真正困难的是理解接口背后的业务逻辑。

举个很常见的例子。

某个用户信息接口：

GET /api/user/info?id=1001

很多AI工具看到这种参数，都会提示存在IDOR越权风险。

这个建议没有问题。

因为从经验上来说，带有用户ID的接口确实值得重点关注。

但接下来怎么办？

AI告诉你这里可能有风险，然后呢？

你需要知道系统的权限模型是什么；需要知道普通用户、管理员、运营人员分别拥有什么权限；需要分析接口返回的数据是否敏感；还要验证参数修改后是否真正突破了授权边界。

这些工作，最终还是需要测试人员自己完成。

有时候AI提示的风险最后被证明只是误报。

有时候AI完全没有发现异常的地方，反而隐藏着真正的问题。

而这些区别，往往来自测试人员自身的判断能力。

我见过太多“扫出漏洞”的误报

前段时间有个刚入行的朋友拿着一份扫描结果来找我。

他说AI发现了十几个高危漏洞。

说话的时候特别兴奋，已经开始考虑提交漏洞平台了。

我帮他简单看了一遍。

结果十几个所谓的高危漏洞里面，大部分都是误报。

有的是公开接口被识别成未授权访问。

有的是正常业务逻辑被判断为越权。

还有几个甚至只是接口返回字段比较多，就被标记成敏感信息泄露。

当时我问他一个问题。

“你觉得这个漏洞为什么成立？”

结果他回答不上来。

因为从头到尾，他看到的只是AI给出的结论。

至于漏洞形成原因、利用条件、影响范围，他其实并不清楚。

这也是很多新人最容易遇到的问题。

当结果正确的时候，看起来一切都很好。

可一旦结果出现偏差，就不知道该怎么继续分析了。

真正值钱的漏洞，很多时候并不显眼

这些年我接触过不少漏洞案例。

如果单纯从技术角度看，SQL注入、命令执行、文件上传这些漏洞当然很重要。

但随着开发规范越来越成熟，这类漏洞在很多大型企业里的数量其实已经明显下降了。

反而是业务逻辑漏洞，越来越成为漏洞赏金平台上的常客。比如优惠券重复领取，比如订单金额篡改，比如支付状态绕过，比如库存竞争条件，再比如会员权限提升。

这些漏洞有一个共同特点。

它们未必存在危险函数，也未必存在特殊Payload。

很多时候，问题隐藏在业务流程本身。

我曾经测试过一个电商系统。

自动化工具没有发现问题，AI分析结果也基本正常。

权限控制正常，参数校验正常，接口看起来没有明显风险。

但测试过程中，我注意到订单创建和支付确认之间存在一个比较特殊的时间窗口。

于是我开始不断重复测试，创建订单，取消订单，修改请求，重新支付，再观察订单状态变化，整个过程持续了几个小时。

最后发现，在特定条件下，用户能够利用业务流程缺陷，以远低于商品实际价格的金额完成购买。

这个漏洞后来被确认有效。

回过头来看，整个漏洞链条里没有SQL注入，没有RCE，也没有上传漏洞。

真正的问题出在业务逻辑设计上。

而这种问题，单靠扫描器或者AI分析，往往很难直接发现。

为什么我一直强调基础能力

很多新人觉得学习基础知识很枯燥、HTTP协议枯燥、认证机制枯燥、数据库原理枯燥、权限模型分析也枯燥。

相比之下，看别人挖洞的视频显然更刺激。

几分钟发现漏洞，几分钟获得赏金，谁都会觉得这种方式更有吸引力。

可现实情况是，那些视频往往只展示了最后几分钟、没有展示前面几百个失败的测试、没有展示研究业务流程的过程、更没有展示大量阅读文档、分析代码和验证逻辑的时间投入。

很多人看到的是领奖励的截图。

而真正有价值的部分，恰恰藏在截图出现之前。

如果连HTTP请求都看不明白，AI给你分析结果，你很难判断是否可信。

如果不了解权限控制模型，AI提示存在越权风险，你可能连验证思路都没有。

如果不理解数据库工作原理，AI告诉你可能存在注入点，你也不知道该从哪个方向继续分析。

基础知识平时看起来作用不明显。

但当你真正开始测试复杂系统的时候，它会在每一个细节里体现价值。

关于AI挖洞，我其实一直有个观点

我觉得AI最适合扮演的角色，不是主驾驶，而是副驾驶。

它可以帮你节省大量重复劳动、可以帮你整理信息、可以帮你拓展思路。、可以帮你发现那些容易被忽略的细节。

但最终决定漏洞质量的，依然是测试人员自己。

同样一个文件上传接口，新人看到的可能只是一个上传按钮，有经验的人看到的却可能是文件解析链、存储逻辑、访问路径、权限控制、图片处理组件、对象存储配置以及后端调用关系。

AI看到的是数据，而测试人员看到的是攻击面。

这种差距，不会因为换了更强的大模型就自动消失。

写在最后

这些年网络安全行业变化很快，工具越来越强，自动化程度越来越高，大模型也正在改变很多传统测试流程。

这些变化都是好事。

因为技术的发展，本来就应该帮助我们提高效率。

但无论工具如何变化，有些东西始终不会过时。

对协议的理解、对系统架构的理解、对业务逻辑的理解、对漏洞原理的理解。

这些能力才是真正属于测试人员自己的东西。

AI当然值得学习，也值得投入精力研究。

但如果刚进入这个行业，我还是更建议把时间优先花在基础能力建设上。

当你真正理解一个漏洞为什么产生，理解一个系统为什么这样设计，理解一个业务为什么会出现风险的时候，你会发现AI带来的提升远比想象中更大。

因为那时候的AI，不是在替你思考，而是在放大你的思考能力。

这两者之间，看似只差一句话，实际却隔着一条很长的路。