想了很久要不要开周刊。博客文章零零散散，翻回去看总觉得少了个”当时在干嘛”的线索。索性开个栏目，想到什么写什么，当周记用。第一期先写写刚学安全那阵子——2024 年底到 2025 年初，那段时间现在回想还挺有意思的。

先从最开头说起。2024 年底那阵子，我在跟一门 Web 安全的课。

说实话，最开始完全是被那个弹窗震住的。老师演示反射型 XSS，在输入框里敲了一行 <script>alert('xss')</script>，页面就弹了。就这么一行字，我在宿舍里愣了好几秒。写代码写了大半年，从没想过我的输入框还能这么玩。

那天晚上回去就搭了个 DVWA，Docker 几分钟跑起来。从反射型 XSS 一路打到 Impossible 级别，中间最卡的是 Medium 那个 <script> 标签过滤——当时完全没思路，试了半天，后来才知道还有 <img src=x onerror=...> 这条路。

然后就是 SQL 注入。第一次看 admin' -- 的时候我是不信的，怎么可能这么蠢。结果在自己搭的环境里试了一遍，真的就绕过去了，一行注释符，密码都不用输。

不过说实话，那阵子我其实没学完多少东西。OWASP Top 10 到现在还没过完一半，虚拟机里的渗透环境搭了又删删了又搭，笔记写了一堆没整理。计划永远是完美的，执行起来就两回事。

但那段时间最大的变化确实是真的——心态。以前写个搜索功能：接输入、拼 SQL、返回结果，跑通就 commit。现在写代码前会多想几步，这个输入会不会被注入，这个参数要不要 urlencode，这个接口能不能被未授权调用。我一度严重到给每个字段加六层校验，写完自己都笑了。矫枉过正。

最近还在 GitHub 上看别人开源项目的 issue，找已披露的漏洞案例。有个 Markdown 渲染器配置不当导致任意文件读取的，看得我头皮发麻——我自己的博客也用过 Markdown 渲染。

下个月的计划还是那两件：过 OWASP Top 10，搭渗透实战环境。不知道能不能完成，反正计划这种东西，每年都差不多。