《网络安全法》第二十七条，禁止无授权入侵、窃取网络数据；。：学习必须自建靶机（iWebShop电商CMS+宝塔Linux面板），禁止直接测试淘宝、京东等线上电商平台。

工具：Fofa、鹰图测绘平台，挖掘二级域名（如目标企业官网、公开备案域名作为基础入口工具：dirsearch、7kbscan/admin/manage/login/reg/register辅助手段：浏览器插件Find Something提取页面隐藏URL、接口路径工具：潮汐指纹识别、AI渗透平台（TRAE Work）作用：识别CMS、Web框架，针对性复现Nday历史漏洞基础弱口令组合：admin

核心攻击链可控参数 → 传入恶意序列化字符串 →重建对象 → 自动触发魔术方法 → 执行恶意代码/读取文件/XSS。高频坑点代码顺序：变量定义位置决定目标值；影响序列化格式与URL传输；版本漏洞：CVE-2016-7124 绕过__wakeup；\00空字符在URL中需编码，易解析失败。基础防御严格过滤的入参，不接收用户可控的序列化数据；升级PHP版本，修复已知反序列化漏洞；对敏感类、魔术方法做权

核心规律：客户端校验（JS、文件后缀、类型）均可被抓包/改代码绕过；服务端校验存在逻辑缺陷，也存在各类绕过方式。攻击链路：上传恶意文件 → 绕过服务端校验 → 中间件解析/文件包含执行脚本 → 远程控制服务器。安全警示：本内容仅限合法靶场学习，严禁针对公网真实网站实施攻击，触犯法律法规。防御方向（反向考点）：服务端白名单校验、过滤特殊字符(空格/点/%00)、重命名上传文件、禁用危险中间件配置、限

渗透测试本质是信息收集，目的摸清目标资产、系统、弱点，扩大攻击面；可依托企业名、域名、IP单一或多项线索开展收集。：企业工商/备案资产、域名IP资产、Web技术栈（操作系统/中间件/开发语言/数据库）、敏感目录与后台地址。