由于我今天在某课程上听到有人提起多年以前的Web渗透三字经，虽然有人说此WEB渗透三字经过时了，我个人觉得就目前而言，甚至是未来，都还是挺能让人受益非浅的。
WEB渗透三字经具体内容如下：
1、用搜索 找注入
2、没注入 就旁注
3、没旁注 用0day
4、没0day 扫目录
5、找后台 爆账户
6、传小马 放大马
7、拿权限 挂页面
8、放暗链 清数据
9、清日志 留后门
WEB渗透三字经详解如下：
1、使用Google Hack 技术，搜索目标站点可能存在的SQL注入点，一般存在数据交互的地方可能存在，可考虑用：site：url inurl：？搜索，目的利用sql注入查询数据库内容，提升权限，获得webshell。
2、当在目标主站找不到注入点时，可以在主机/服务器的其它站点（旁站）上查找漏洞，从而利用主机上的程序或者是服务所暴露的用户所在的物理路径......等进行入侵。
3、找不到旁注时，如果手上有0DAY漏洞，可以直接利用0DAY漏洞进行渗透。
4、没有0DAY漏洞，也可以对目标站点进行敏感文件扫描（主要是文件目录的扫描），以找到重要目录。
5、扫描到站点敏感目录后找到后台，对登录名和密码进行暴力破解。
6、由于站点可能对上传文件有各种限制，那么此时可想法上传一个具有上传功能且隐蔽性高的shell即小马，利用上传的小马，上传一个能够具有更多权限和功能的大马。
7、拿到权限后能够在目标站点上放上自己写的钓鱼页面等。
8、拿到权限后能在目标站点上的网页中添加暗链，并且清除操作数据。
9、清除记录自己一切活动的日志记录隐蔽自己，然后留下webshell以便再次访问。
