上周三凌晨两点，安全我盯着扫描器吐出的漏洞报告，发现某政务系统的扫描渗透登录接口居然允许SQL注入。这不是测评靶场，是或风真实在用的系统。安全漏洞扫描、险评渗透测评和风险评估，估报告这三样东西经常被混为一谈，安全但干这行的漏洞人知道，它们根本不是扫描渗透一回事。

漏洞扫描像拿金属探测器在沙滩上走一圈。测评它能告诉你哪里有金属，或风但不会告诉你那是险评个硬币还是颗地雷。Nessus、估报告OpenVAS这类工具跑一遍，安全能列出几百条CVE编号。某次我给一家电商做扫描，报告里跳出“Apache Log4j2 远程代码执行漏洞”，客户吓得要命。实际上他们用的是Java 8，而那个漏洞只在特定JNDI配置下才触发。扫描器不管这些，它只认版本号。

渗透测评不一样。那是真有人拿把铲子开始挖。去年帮一家医院做测试，我假装成外包运维人员，用一张过期的门禁卡混进机房。物理渗透只花了二十分钟，然后我在内网里找到一台没打补丁的Windows Server 2008，直接拿到域控权限。这种路径扫描器永远发现不了——它不会知道你走廊尽头的弱电间门没锁。

风险评估更偏向决策层。它不纠结某个端口是不是开着，而是问：如果这个端口被利用，业务停摆四小时，损失多少钱？某次给物流公司做评估，他们的订单系统有个中危漏洞。按CVSS评分只有5.3分，但那个系统支撑着双十一的峰值流量。我算了一笔账：一旦被DDoS利用这个漏洞打瘫，每小时损失约80万。客户当场决定连夜修复。评分是死的，业务是活的。

工具能做的事有限。Burp Suite跑自动化扫描，误报率经常超过30%。我习惯手工验证每一条高危告警。有次扫描器报了个“Struts2远程命令执行”，我花半小时构造payload，发现目标其实用了白名单过滤。但同一台服务器上，一个不起眼的备份文件却泄露了数据库密码——扫描器根本没扫到那个目录。

企业常犯的错是拿扫描报告当验收标准。等保测评要求每季度扫一次，他们就真的只扫一次。某金融客户买了商业扫描器，设置成每周自动跑，结果半年没看报告。直到勒索软件加密了文件服务器，他们才翻出三个月前的报告，上面清清楚楚写着“SMB签名未启用”。

渗透测评的节奏感很重要。一上来就丢Arachni或者SQLMap，WAF立马封IP。我通常先花两天做信息收集：看JavaScript文件里的API路径，翻GitHub上泄露的代码片段，用Shodan找暴露的测试环境。有次在一个子域名下发现Jenkins控制台没设密码，直接拿到生产环境SSH密钥。整个过程没用任何漏洞利用工具。

风险评估的交付物不是漏洞列表，而是一张风险矩阵。横轴是可能性，纵轴是影响。某制造业客户的内网有永恒之蓝漏洞，但他们的工控机跑的是Windows XP，补丁根本装不上。这时候硬修没用，得建议他们做网络隔离，把工控网和办公网彻底断开。修不了漏洞，就改架构。

最后说个真事。某次渗透测评结束，客户问：“你们有没有用AI工具？”我说用了，用ChatGPT写了个Python脚本批量验证SSRF。他笑了：“那下次能不能让AI直接帮我们修？”我也笑了：“AI能告诉你门没锁，但不会帮你把门关上。关门的动作，得人来。”