巴扎嘿的年度总结
作者：巴扎嘿啦啦啦 | 发布时间：
入行也基本上快一年了，回首后路，展望前路，觉得有必要写一点东西了，顺便水一水
我感觉今年我经历了几个阶段，第一个阶段，明文传输，中间件服务器版本号，弱口令，短信轰炸，基本上前两个月我能挖出来东西就是这个，被经理骂说天天老三样哈哈哈，然后我就主动去写报告，所有人的报告我都写，我就能看他们挖了什么洞，怎么挖的，然后把没见过的记录到一个文件里，然后自己去复现，就像是武侠小说里的，按着拳谱一招一式在练习 。（而且同事们明显擅长的方向从报告里明显不同，就有点读百家拳的感觉，因为没有师傅吗只能这样）
然后第二个阶段是见了一些nday，也会去挖这些nday了，xss，sql注入也能出来一点，就算没见过的漏洞，也可以通过指纹去搜查，有了自己的一套测试思路和方法，善用微信搜索，bing搜索，百度，一边挖洞，一边学新的没见过的漏洞，然后重保蓝队也从啥都不会到，监测-研判-溯源一步一步成长（现在最爽的溯源就是，之前从流量，再打进肉鸡，拿shell，分析肉鸡里的执行文件，找出恶意文件），也可以自己根据自己的需求，写写poc脚本，感觉这个阶段就是，拳谱可以背着不看书一招一式打一下了。
第三个阶段，就是最近测试更加偏向于js，接口的测试，因为项目问题，感觉nday越来越少，就得去审接口，利用组合拳（比如通过接口，任意用户注册+鉴权不严谨接口导致任意权限组用户accountid泄露+审出来之前废弃但是仍然能用的密码修改接口),又或者是之前js解密出数据库密码这种漏洞更多一点，我现在主要学习的方向定位php，java的代码审计。我打算用一年的时间把这两个精通一下。
我感觉这三个阶段属于整个渗透的第一级，就是看山是山，看水是水的阶段，等我代码审计结束之后，我打算把二进制，逆向工程好好学一下，我估计到时候就能进入第二级，看山不是山看水不是水了，等到第二级别再去想第三级是啥，咋进入，我畅想了一下，第三级可能就是那种武功大成，没有刻板的一招一式，见招拆招，自成一体。
以上是技术上的总结畅想，然后我发现售前售后工资好像比我们安服工资高很多，比如我在三线拿个7000，但是这的售前售后缺拿着1w3，包括我们安服项目都是卖设备送的，有点沮丧，有种万般技术皆下品，唯有买卖高的感觉，我是想在技术这条路上一直走的，我想成为专家，我不想转管理，不想去卖东西，因为我喜欢攻击，我会挖到高危，拿到shell而高兴一天，工作干人能遇到自己喜欢的的活很开心很不容易了，我打算再沉淀一年（好好学习代码审计），再去大城市找一份收入高一点的工作（希望能到1w5），这样就能攒点钱了。
须知少年凌云志，曾许人间第一流，不论读者几何，终是我与我自己的周旋，与己共勉，与君共勉。