渗透测试的第一步往往是从域名探测开始的。当你对目标发起一个请求，服务器返回的状态码、使用的协议类型，这些看似基础的信息，实际上直接决定了你后续的测试思路。很多新手拿到目标就急着上扫描器，却忽略了状态码里透露的关键线索。这篇文章围绕域名状态码和协议两个核心概念，结合渗透测试的实际场景，把这块知识讲透。
什么是HTTP状态码
HTTP状态码是服务器对客户端请求的响应标识，由三位数字组成，第一位数字表示响应的类别。在渗透测试中，状态码是我们判断目标存在性、访问权限、漏洞可能性最直接的依据。比如目录爆破工具dirsearch、ffuf的核心判断逻辑，就是基于状态码和返回内容长度的组合分析。
状态码分为五大类：1xx表示信息提示，2xx表示请求成功，3xx表示重定向，4xx表示客户端错误，5xx表示服务器错误。每一类在渗透测试中都有不同的利用价值，下面逐一展开。
2xx系列：请求成功类
200是最理想的状态码，表示请求成功，服务器正常返回了内容。在目录扫描中发现200响应，说明该路径存在且可以直接访问，需要进一步分析页面内容，寻找敏感信息、参数、接口等。除了200之外，还有几个2xx状态码值得关注。
201 Created表示请求成功且服务器创建了新资源，常见于RESTful API的POST请求。如果你在测试接口时发现某个POST操作返回201，说明你有能力在服务器上创建资源，这时要检查是否存在越权创建、批量创建等逻辑漏洞。206 Partial Content则表示部分内容返回，通常出现在断点续传场景，某些情况下可以用来绕过WAF对完整请求体的检测。
3xx系列：重定向类的安全意义
3xx系列在渗透测试中出现频率很高，也是最容易被忽视的一类。301是永久重定向，302是临时重定向，两者的区别在于浏览器和搜索引擎是否缓存跳转。如果目标站点大量使用301跳转到https，那么http版本的历史页面、缓存内容可能还留存着敏感信息，值得单独测试。
在目录扫描中，很多工具会把301、302当作“存在”的信号，但也可能是伪装。有些WAF或防护设备会对可疑路径统一返回302跳转到登录页或告警页，造成大量误报。判断方法是比较跳转前后页面的内容长度和Set-Cookie字段。另外，开放重定向漏洞本身就与302密切相关，如果跳转地址可以被用户参数控制，就存在被利用于钓鱼攻击的可能。
4xx系列：客户端错误类的利用价值
404表示资源不存在，这是扫描中最常见也最“无用”的状态码，但有个技巧：如果某个路径返回的不是404而是其他4xx状态码，往往说明该路径被特殊处理过，反而更值得关注。
403表示服务器理解请求但拒绝执行，这是渗透测试中的重点。403不代表没有漏洞，恰恰相反，它告诉你资源存在但被权限控制拦截了。常见的绕过思路包括：修改请求头伪造内网来源，比如添加X-Forwarded-For: 127.0.0.1、X-Original-URL覆盖路径、使用路径变换技巧如双斜杠、URL编码、大小写变换、路径穿越符号等。很多真实案例中，一个403接口通过这些手段就能拿到未授权访问的数据。
401表示需要身份认证，通常会伴随WWW-Authenticate响应头。可以尝试弱口令、默认凭据，或者检查认证逻辑是否可被绕过。400表示请求语法错误，如果是在Fuzz参数时收到400，说明参数格式不对，需要调整payload格式再试。
5xx系列：服务器错误类
500是内部服务器错误，在渗透测试中这是黄金信号。它意味着你的输入触发了服务器端的异常，可能存在SQL注入、命令注入、反序列化等漏洞。当payload导致页面从200变成500时，基本可以判断输入被带入了后端处理逻辑。遇到500时应当检查错误页面是否泄露了堆栈信息、物理路径、框架版本等敏感内容。
502和503通常与后端服务有关。502 Bad Gateway说明后端服务无响应，可能存在SSRF的利用空间；503 Service Unavailable在限速场景常见，也可能是服务器过载。504是网关超时，如果某个参数会导致长时间不响应，可以尝试命令注入中的延时验证思路。
协议层面的知识点
渗透测试中接触最多的协议是http和https。https在http基础上加了TLS加密，抓包时无法直接看到明文内容，需要通过配置代理证书的方式解密。测试https站点时要留意证书信息，证书中的SAN字段可能暴露子域名，这是子域名收集的一个免费渠道。
除了传输协议，还要关注版本和头信息。HTTP/1.1和HTTP/2在请求走私漏洞的表现上差异很大，HTTP请求走私正是利用了前后端服务器对请求边界解析的不一致。另外，HSTS头会强制浏览器使用https，这意味着某些基于http降级的劫持思路会失效，测试前要先确认目标的协议策略。
实战中的组合分析思路
单独看一个状态码意义有限，真正有价值的是组合分析。做目录扫描时，建议同时记录状态码、Content-Length、响应时间三个维度。比如同为200，长度明显不同的路径值得优先查看；响应时间异常长的路径可能存在延时注入。遇到全站返回同一状态码的情况，要怀疑防护设备的统一拦截，此时可以更换User-Agent、降低扫描速度、改用少量精准字典验证。
协议与状态码也要结合判断。https站点上出现http明文提交的登录表单，就是典型的混合内容风险。理解这些基础概念，渗透测试的信息收集阶段才能真正做到有的放矢，而不是盲目地跑工具碰运气。