網站滲透測試（Web Penetration Testing）是資訊安全領域中最常見的測試類型之一，其目的在於模擬真實攻擊者的行為，找出網站在設計、實作或部署上存在的安全弱點。許多人以為滲透測試需要大量工具與程式技巧，但實際上，許多初期發現漏洞的工作，只需一個功能強大的瀏覽器即可完成。
本篇將從瀏覽器出發，帶你理解如何觀察並初步識別網站潛在的安全問題。
為何從瀏覽器開始？
現代瀏覽器（如 Google Chrome、Firefox）內建的開發者工具（DevTools），已具備觀察請求、檢視原始碼、模擬操作與調試 JavaScript 的能力。這使得許多基礎漏洞的發現不再需要進階工具，只需良好的觀察力與邏輯思維即可。
瀏覽器對滲透測試的幫助包含以下幾點：
.可視化的請求分析（Request/Response）
.即時操作與回應觀察
.JavaScript 行為追蹤與測試
.本地參數、Cookie、Session 的調整與操控
常見可用工具與環境配置
1.瀏覽器開發者工具（DevTools） 位於右鍵選單中的「檢查」或快捷鍵 F12 常用面板：Elements、Console、Network、Storage、Application
2.Burp Suite（搭配瀏覽器 Proxy 使用） 用於攔截與重放請求，進行進一步分析 可將瀏覽器代理設定為 127.0.0.1:8080 將流量導入 Burp
3.開放性靶場練習平台 DVWA（Damn Vulnerable Web Application） bWAPP（Buggy Web App） PortSwigger Web Academy
攻擊面探索與漏洞偵測範例
1. 檢查 HTML 與 JavaScript 原始碼
透過「Elements」或「View Source」功能觀察原始碼，可發現：
.暴露的 API 路徑或後端端點
.JavaScript 中硬編碼的敏感資訊（如 API Key、token）
.隱藏的測試功能或管理路由
範例：某些開發者會留下 admin.html 測試用頁面，但未從導航列移除。
2. 使用「Network」面板觀察請求/回應流量
此面板可協助你觀察網站在執行動作（如登入、查詢、上傳）時送出的 HTTP 請求，並進行分析：
.是否使用 HTTPS？是否有傳送明文密碼？
.是否存在未經驗證的 API？
.回應資料中是否包含過多內部資訊（如 SQL 錯誤訊息）？
針對 REST API，可嘗試重送請求，變更參數觀察反應是否變化。
3. 嘗試 XSS 測試：注入 JavaScript 碼片段
XSS（跨網站指令碼攻擊）常見於用戶輸入未正確過濾的情況。透過瀏覽器直接嘗試輸入：
<script>alert(1)</script>
於搜尋框、留言板等功能欄位，若觸發彈窗，即為反射型 XSS 漏洞。
更進一步可觀察 HTML 是否將輸入正確編碼，或於回應中直接渲染內容。
4. 使用「Storage」與「Application」觀察 Cookies 與 Session 管理
.是否有 HTTPOnly 屬性？
.是否能被 JavaScript 存取？
.是否有過期時間？是否能手動修改？
若發現 Cookie 中含有可預測、可修改的使用者識別資訊，可能會導致「水平權限提升」漏洞。
5. 參數操控與 IDOR 測試（Insecure Direct Object Reference）
於帳號資料、檔案下載、訂單明細等 URL 中若存在明碼 ID，可嘗試將參數手動更換為其他值：
GET /user?id=101
→ 改為 /user?id=102 看是否可讀取他人資料
此類問題可藉由瀏覽器的 URL 改寫與 Network 面板的重送請求測試。
安全警語與道德底線
雖然上列方法多數可於公開網站操作，但任何未經授權的測試都可能觸犯法律。若你想練習這些技巧，請務必使用以下合法靶場平台：
.DVWA
.Hack The Box
.TryHackMe
.PortSwigger Web Security Academy
從觀察到驗證，滲透測試從瀏覽器開始
網站滲透測試的入門不必從繁雜的指令與工具開始，而是從使用者最熟悉的介面——瀏覽器。理解網站如何接收請求、如何回應資料，以及資料在前後端間如何流動，是培養駭客思維與安全意識的第一步。