本学期我系统学习了《Web渗透测试》课程，这是一门理论与实操高度结合的网络安全核心课程。从前的我只会简单浏览网页，对网站后台、数据交互、漏洞原理一无所知。经过一学期的学习，我逐步理解了Web运行机制、常见漏洞原理、渗透测试基本流程，掌握了基础的漏洞挖掘与修复思路，真正踏入了网络安全的入门领域，下面是我的完整学习总结与实操感悟。
在课程开篇阶段，我首先夯实了Web基础原理，这是渗透测试的必备前提。我系统复习了HTTP与HTTPS协议、GET/POST请求区别、Cookie与Session机制、网站前后端交互逻辑。以前我不清楚网页弹窗、账号登录、数据提交的底层逻辑，学习后才明白，所有前端操作都会通过请求报文传递给服务器，服务器校验后返回响应结果。很多Web漏洞，本质都是服务器校验不严、过滤不全导致的，这也让我建立了“所有用户可控输入皆有可能存在漏洞”的安全思维。
课程最核心、收获最多的就是常见Web漏洞实操练习，包括SQL注入、XSS跨站脚本、文件上传、目录遍历、弱口令漏洞等基础漏洞，也是入门渗透测试的必学知识点。课堂上我们借助靶场环境进行实操训练，告别枯燥的纯理论学习，真正做到边学、边练、边理解。
其中让我印象最深的是SQL注入漏洞的学习与实操。刚开始我很难理解为什么简单的特殊字符就能绕过登录验证。通过靶场实操我弄懂了原理：网站后台直接拼接用户输入语句，没有做过滤，导致攻击者可以闭合原有SQL语句，篡改查询逻辑，实现免密登录、查询数据库数据。我从最基础的万能密码 or 1=1# 入门，一步步掌握简单注入、字符型注入、注释绕过等基础手法。在反复实操中我总结出，SQL注入的核心就是破坏原有语句逻辑，让条件永久成立。（配图建议：SQL注入靶场通关截图、登录绕过成功界面）
除了SQL注入，XSS跨站脚本漏洞也让我收获很大。XSS主要是网站对用户输入的脚本代码没有过滤，导致恶意JS代码被执行，从而实现窃取Cookie、弹窗钓鱼等攻击。我在实操中尝试输入简单脚本代码，成功触发弹窗效果，直观感受到漏洞的危害。同时也明白了XSS分为存储型、反射型，存储型危害更大，会永久保存在服务器中影响所有访问用户。
在文件上传漏洞的实训中，我也踩了很多坑。很多新手以为直接上传脚本文件即可成功渗透，但实际网站大多有前端后缀校验。我通过修改文件后缀、抓包修改文件类型等简单绕过方法成功上传脚本文件，深刻体会到：前端校验都是可以绕过的，真正的安全必须依靠后端严格校验。（配图建议：Burp Suite抓包修改数据包实操截图）
同时课程教会了我正规的渗透测试流程：信息收集、漏洞探测、漏洞利用、权限提升、痕迹清理、报告撰写。渗透测试不是随意攻击，而是有规范、有流程、合法合规的安全检测，这也让我树立了合法安全测试的底线思维，明白网络安全的核心是防护，而非攻击。
通过这门课程的学习，我不仅掌握了基础的Web渗透技能，更建立了严谨的网络安全思维。同时我也发现自己的不足，漏洞绕过思路不够灵活、工具运用不够熟练、复杂漏洞原理理解不透彻。
在今后的学习中，我会坚持靶场常态化练习，熟练掌握浏览器开发者工具、抓包工具的使用，深入学习漏洞修复方案，做到懂攻击、更懂防御。不断积累实操经验，夯实Web安全基础，朝着专业网络安全运维、渗透测试方向继续精进。
