总结一下大二上学期的经历吧
先唠嗑几句
大一结束了之后我去实习了，我本来认为实习这件事是大三才能去做的，问了班主任之后才明白，大一也可以去实习，这波信息差，让我开始重视了起来，就业这一途径正在发芽。我本来只是为了学习而学习，转换成了面向就业而学习。当时实习的时候，不了解一些东西，都不知道实习要签合同，啊哈哈哈
实习期间
实习的时候我总感觉我太弱了，什么也干不了，只能整理日志报告(按格式看态势感知后台流量填写)或者是学习，后来公司里的大佬们给了我学习的方向，这次实习需要自己学习OWASP TOP 10漏洞、PHP、JAVA和用任意语言开发学生管理网站，还有实习快结束的时候要写报告汇报一下自己的学习进度和自己开发的网站。我当时觉得学习这些没问题，但是自己开发网站这件事我是真没做过，也有一点怕做不了，不会写。写网站这件事我当时第一时间想到的是一堆功能，因为我没怎么在后台玩过，也不知道网站咋写的，我当时想的很复杂，也想不到什么架构，包括数据是怎么从后端传到前端的，后端是要干嘛的。。。后来问了AI，给了个框架，说要学数据库知识、前端三件套（HTML、JavaScript、CSS）、PHP或者是Java亦或是Python。没办法了，我又从HTML开始重新学了一遍在菜鸟教程，JavaScript看黑马程序员基础课一段，CSS也在菜鸟教程里简单看了一下，PHP死磕菜鸟教程用了几周边学边写笔记，后面发现用来写网站的时候，还是不太会写，start_session()这个这个函数挺精，没有它就会未授权访问，写了个有增删改查功能的网站，前端页面用豆包优化，后端自己学者b站上的博主写，后面也是放手可以自己写了，渲染也是可以自己调，做出来看起来算还行，毕竟第一次做，没什么经验，功能点也不多。因为我参加了MS08067的暑假课(免费的)，我也试着学习打靶机，觉得挺有意思的，不过也没学多久，因为要学习PHP。中途还有其他大佬安排的任务，打VulnHub靶场里的CVE，我打了Minio其实当时也不知道就跟着网上文章操作，没有深入理解学习清楚到底是作用，但是最后也是实现RCE，然后就是按要求写漏洞报告，其实不难就是如果环境没弄好就会遇到很多问题。发现VulnHub里面的漏洞基本上都是可以RCE的漏洞，我就感觉到都是RCE漏洞，难道？我瞬间悟了，打HW需要的是RCE才能打的那么精彩，SRC打的是各种漏洞。要成的任务Java学习没有完成，只看了一部分，也是看黑马程序员讲的也很可以。总结阶段，我的报告写的个人感觉还行，不太会讲，而且还紧张，偶尔说话吞吞吐吐。最后一周时间，要求我们将开发的网站开放，相互渗透，看谁的网站漏洞多，报告多。哈哈哈，瞬间就觉得挺好玩的，不出意外的，我的网站还是出意外了，我以为可以完全没漏洞，结果冒出来了两个存储型XSS漏洞。因为我不太会挖漏洞，我只能挖一些有脑子就行的漏洞，也就是业务逻辑漏洞和未授权漏洞。他们的网站我也挖了几个，基本上都是未授权执行操作功能多一点。最后不情愿的结束了实习，回到学校上哪些无聊的课了。
学校期间
我慢慢的回忆实习期间的种种事迹，我的网站居然会出现存储型XSS漏洞，我没有对用户输入内容进行过滤和输出内容没有进行干预以及数据库给的长度太多了。这个时候因为我打过XSS-labs全关恰，我慢慢悟了存储型XSS漏洞原来如此，这种地方可能会存在存储型XSS漏洞。毕业的学长有项目，我参加进去了，挖了一个存储型XSS漏洞，我当时特别开心，第一个自己挖的存储型XSS漏洞，学长也为我高兴，但更多的是勉励我，后续不出意外在其他单位也纷纷爆出存储型XSS漏洞，有些网站有WAF拦截，没法打，我抽空的时候，就会像难道Payload被WAF拦截，就没有其他办法了吗？我向AI发问、向百度探索，老天不负绝人之路，我找到了更多标签Payload，有些过了WAF，有些没过，发现alert()函数可以替换，替换成confirm()、prompt()、print()......挺多函数，随后就是利用这些时间研究XSSpayload的构造，FUZZ出WAF拦截的东西，一步一步，一次次被WAF拦截，接触的WAF都各不相同，身经百战，每次过了WAF我都十分的激动，我的XSS漏洞挖掘造诣变高了，有时候不是没有漏洞，而是就算有漏洞你也挖不出。后面我按项目要求写报告的时候，学长看见我都是同一个系统挖的XSS漏洞，告诉我说会不会是0day？我这个时候才后知后觉，原来这就是0day，我找了个时间筹够了10个英雄碎片，开始招募我的CNVD漏洞，我一直期待能有个中危，可以拿个CNVD证书，哈哈哈，结果越等焦虑，后面我就不理了，指到2026年过了几天才有结果，结果是低危哈哈哈，我都笑自己，不过也好，有经验了。等待期间我就在学习SQL注入漏洞和打靶机，打靶机的时候我加了一个群，群里人特别牛福，个个都是励志人，虽然我这个低能者被踢出群了，也是应得的，见识到了getshell的爽感，以及各种提权方法，太忙了怕挂3科数学就只能学习SQL注入，发现SQL注入漏洞学起来没什么，SQLBypass学习的时候，我是在自己电脑上Mysql上自己敲命令的时候，一敲一个大跳，觉得太神奇了，这样的命令Mysql数据库居然也能执行，后面发现学完MySQL有MSSQL，学完MSSQL有SQLite、Redis.....各种数据库，我后面觉得广度学习会感觉到十分的焦虑，深度学习就不会感到焦虑，偶尔还会十分有激情，我甚至彻夜难眠，因为Bypass学起来太爽了！这种感觉，让我一个学期学三科数学痛苦越加，因为都拿去研究了，后面在一个网站系统里面出了10多个SQL注入漏洞，一看就是通用的系统，直接上FOFA找，哈哈哈，老天爷眷恋我，我连续交了４个CNVD，为什么我挖出那么多SQL注入漏洞只交了４个？因为其他的我给我同学了，给他们丰富自己的简历，要太多有时候对自己来说也没啥用，给他们反而可以激励他们一起学习。三科数学太难了，现在是放寒假，祈祷不会挂科吧。
战绩
这是2025年的战绩，因为懒得挖洞，都拿时间去研究了
这个寒假打算
这个寒假打算进击其他漏洞（RCE、文件上传、SSRF）、试着开发工具（目前开发了个端口扫描）、用Java开发网站（目前开发了一个渗透测试平台系统）、PHP代码审计、Java代码审计、研究AI、研究安全证书、打探各大安全厂商、继续学习漏洞报告、积累漏洞知识和引导其他同学学习