挖
2018-07-21
漏洞本来是存在的，只不过被别人挖出来后，才被人知道。要不然它就一直呆在那里，风平浪静，这个世界可能都是美好的。既然被挖出来了，那说明是真实存在的。也有一种情况是，它没有被挖出来，或者被少部分人挖了出来，在一个小范围传播。
漏洞。你不但去研究它的原理，更要去实践，怎么去挖。纸上谈兵终归是个懦夫，到了战场就是死的节奏。
纸上得来终觉浅，绝知此事要躬行。
对一个漏洞理解深刻之后，看到一个网站，从整体的架构看，这个服务器是什么版本，什么语言写的，框架是什么？每个功能的实现以及每个URL的请求是要干什么？哪一个参数容易出现漏洞，比如SQLi、XSS等，是否会存在业务逻辑漏洞。
每个功能点都看看，多点击啊，报错注入/盲注，没有捷径。
要知道每个功能点干嘛用的。先测机制。先知道漏洞原理，先测机制，再找漏洞。不是拿代码到处x就能找到漏洞的。
漏洞原理你都是知道的，为什么自己却挖不出来漏洞呢？原因是你 懒。
怎一个懒字了得，还有一个怕字。
思考懒惰，遇到问题只是表面的理解，没有深入理解它的本质和原理，一层一层的拨开云雾，终能明白其中的原理。
懒得思考。手还是懒，懒得去挖洞，你说怕挖不出来，不知道怎么去做。越是怕，就越不去做，越不去做，就越害怕。一个恶性循环，一直在原地徘徊拧巴着，没有进步。
接下来要做的就是，多去做，少去看。在实战中成长最快，不是你在那一天到晚的看。多去做，在做的过程中，思考原理，思路要开阔一些。最后学会总结，这个过程中的新的和收获，经验就是慢慢的积累的。
- 每当读到优质博客文章时，请细心通读整篇文章。
- 要想把各种线索串起来并找出别人错过的机会的话，收集不同来源的信息是至关重要的。
- 诸如参加CTF比赛和编写Web应用程序等经验，对于拓宽视野也是非常有帮助的。
- 最糟糕的陷阱之一，就是仅仅认为某想法行不通就不去尝试。没有任何想法是愚蠢的
- 迭代，发现，分享
最终还是要多动手去做，一遍遍的重复日站，开发，思考，总结。
路漫漫其修远兮，吾将上下而求索。
以后的路还很长很苦，努力的去追求吧。