1、看源码可以右键-查看网页源代码，也可以用火狐和谷歌浏览器的按F12键，按F12键可以修改源代码方便构造一些值提交，但如果不需要的话直接右键查看源代码更直观，看网页里面的注释之类的都很方便。
2、抓包这几天接触到的抓包一般是用burpsuite，如果要多次尝试可以右键衡痕贤伎send to Repeater，如果要对某个字段爆破可以右键s髫潋啜缅end to Intruder，这是我比较常用的两种burpsuite的功能。
3、关注的几个地方有时候打开网页后感觉没有可疑的地方，首先查看下源代码，看有没有注释之类的提示信息，之后重新打开网页，抓抓包看下请求包响应包的包头数据有没有可疑的地方。
4、include漏洞遇到php代码中有include的，一般有关，$file值就要用post表单构造数据，如果就用下面的payload读取文件base64加密后的源代码，解密后查看源代码。
5、代码审计需要多次动态调试来尝试，以及要关注里面出现的函数，出现在关键位置的函数一般都是有用的，搜索一下有没有相关的漏洞。
6、编码JS的几种编码（如JSFUCK）都可以在浏览器F12之后的控制台执行，这样可以省去找解密网站的时间。编码都可以在burpsuite上的decoder栏解决。
