凌晨两点，系统某金融公司机房里，渗透安全工程师老周盯着屏幕上的测试命令行，手指在键盘上敲击。进行他刚通过一个钓鱼邮件获取了内网某台打印机的系统控制权——这台打印机连接着域控服务器的信任关系。这不是渗透电影情节，是测试真实发生的渗透测试项目。

系统渗透测试的进行第一步，从来不是系统技术，而是渗透边界确认。合同上写清楚测试范围、测试时间窗口、进行允许使用的系统攻击手法，还有最重要的渗透——应急联系人电话。没有这个前提，测试任何技术操作都可能变成违法入侵。老周吃过亏，早年有个项目没签授权书就开测，结果对方安全团队报警，差点进局子。

信息收集阶段，老周习惯先看目标企业的招聘信息。一个正在招Linux运维工程师的公司，说明他们内部正在迁移或扩张服务器集群，攻击面可能变大。再查DNS历史记录，用在线工具翻旧数据，经常能找到未清理的测试子域。这些细节比单纯跑扫描器更有价值——扫描器只会告诉你开放了哪些端口，但不会告诉你哪个端口背后藏着没打补丁的老系统。

漏洞探测要讲究顺序。老周从不直接上重型扫描器，那动静太大，目标的安全设备会立刻告警。他先用手工方式，curl几个常见路径，看返回的响应头信息。服务器版本号泄露了，就去漏洞库比对已知CVE。有时候，一个过期的SSL证书就能暴露内部网络架构——证书里的CN字段往往写着服务器的内部主机名。

真正进入系统后，提权是个分水岭。普通用户权限只能算拿到入场券，root权限才是真正的目标。Linux系统上，老周会先检查sudo配置，看看当前用户有没有被赋予某些免密sudo权限。Windows环境则更依赖枚举——查注册表、看计划任务、翻用户目录下的敏感文件。他遇到过最离谱的一次，某企业把数据库密码明文存在桌面的txt文件里，文件名就叫"不要打开.txt"。

内网横向移动是渗透测试的高潮部分。拿到一台服务器控制权后，老周会先看ARP缓存和路由表，判断网络拓扑。然后尝试用抓到的密码哈希去撞其他机器——很多企业喜欢在所有服务器上设置相同的管理员密码。他曾经只用一组弱口令，就控制了某制造业公司整个生产网段的47台设备，包括那套控制机械臂的工控系统。

测试报告往往比渗透过程更让人头疼。老周写报告有个原则：不堆砌扫描结果，只讲能复现的漏洞。每个漏洞都要写清楚触发条件、影响范围、利用难度，还要附上修复建议。他见过太多报告，列了上百个"高危漏洞"，结果一半是误报，另一半是重复项。那种报告除了让甲方焦虑，没有任何实际价值。

清理痕迹这步常被新手忽略。老周每次测试结束，都会删除上传的工具、清除日志记录、恢复被修改的配置文件。不是为了掩盖什么，而是避免留下安全隐患——万一攻击者顺着他的测试痕迹二次入侵，责任算谁的？

渗透测试不是炫技，是带着镣铐跳舞。规则限制越多，反而越考验真本事。老周常说，最好的渗透测试结果不是"你们系统很安全"，而是"你们系统有这些问题，我帮你堵上了"。测试报告交出去那一刻，工作才真正开始——后续的复测、整改、再验证，才是让系统真正变硬的关键。

技术永远在变，但攻击的本质不变：找弱点，利用它，达成目标。防守方要做的，就是比攻击者更早发现自己身上的弱点。