一个客户曾经问我：“你们做渗透测试，渗透是测试不是就是拿个扫描器跑一遍，然后出一份报告？阶段”我听完笑了笑，没直接回答。渗透后来我带他看了一次完整的测试测试流程，从信息收集到报告交付，阶段他才知道，渗透扫描器只是测试其中很小的一环。真正的阶段渗透测试，有七个阶段，渗透每一步都有它存在的测试理由。

前期交互：把规矩定清楚

很多人跳过这一步，阶段直接开干。渗透结果呢？测试要么测到一半发现目标范围搞错了，要么不小心碰了不该碰的阶段系统。前期交互就是跟客户坐下来，把测试目标、范围、时间窗口、禁止事项、应急联系人全部写进书面授权书里。没有这份东西，你做的所有操作都可能违法。我见过一个团队因为没确认IP段，把隔壁公司的服务器扫挂了，赔了钱还丢了客户。

情报收集：比你想的要枯燥

这个阶段占整个测试40%以上的时间。不是拿着工具乱扫，而是像侦探一样拼图。域名、子域名、邮箱格式、员工姓名、技术栈版本、GitHub上泄露的API key、甚至招聘信息里提到的内部系统名称。有一次我从一个客户官网的“团队介绍”页面拿到了所有技术人员的邮箱前缀，再配合默认密码规则，直接猜中了一个测试账户。情报收集做得好，后面的漏洞利用会轻松很多。

威胁建模：想清楚打哪里

拿到一堆信息之后，不能眉毛胡子一把抓。要根据业务类型判断哪些资产最值钱。比如电商网站，支付接口和用户数据库是重点；工控企业，PLC和SCADA系统才是核心。威胁建模就是画出攻击路径图，标出可能的入口点和横向移动路线。这个阶段不需要动手，但需要动脑。我习惯用白板画一遍，比盯着屏幕强。

漏洞分析：找门，不是砸墙

到了这一步才轮到扫描器和手工测试上场。但注意，漏洞分析不是把Nessus的扫描结果复制粘贴。你要验证每一个疑似漏洞，排除误报，评估利用难度和实际影响。一个低危的SSRF可能通过内网元数据接口拿到云凭证，一个被忽略的旧版Struts2可能直接RCE。我见过太多报告里塞满“低危”漏洞凑数，真正能打进去的只有一两个。

渗透攻击：动手要稳

利用漏洞获取权限的过程。这里的关键词是“可控”。不要用破坏性的exploit，不要留下后门，不要删除日志。每一步操作都要记录时间、命令、返回结果。曾经有个测试人员用了一个会重启服务的漏洞利用工具，结果客户的生产环境断了半小时。渗透攻击的目标是证明风险存在，不是搞破坏。

后渗透：证明你能走多远

拿到一个低权限shell只是开始。后渗透阶段要回答两个问题：能提权吗？能横向移动到核心系统吗？抓密码哈希、找配置文件里的明文凭证、分析域控策略、甚至通过钓鱼邮件测试员工安全意识。这个阶段最能体现测试者的水平。一个普通的Web漏洞，配合内网弱口令，往往能拿下整个域。但记住，所有操作必须在授权范围内，别越界。

报告与修复建议：别写天书

最后一步，把前面所有发现整理成客户能看懂的东西。不是堆砌CVSS评分和技术术语，而是说清楚：这个漏洞怎么被利用、会造成什么业务影响、修复优先级怎么排。我习惯给每个高危漏洞配一个“攻击场景还原”，用讲故事的方式让管理层明白风险。修复建议要具体到补丁版本或配置项，别写“加强安全意识”这种废话。

七个阶段走完，才算一次完整的渗透测试。扫描器能帮你省掉一些体力活，但替代不了人的判断和耐心。下次有人再问我是不是跑个扫描就行，我会让他先看看这七个阶段的名字。