去年有个朋友接了个渗透测试的做渗私活，给一家本地电商平台做安全评估。透测活干完了，试需报告也交了，向网漏洞清单清清楚楚。做渗结果两个月后，透测那家平台被拖库了，试需用的向网正是他报告里写过的注入点。平台方转头就把他告了，做渗理由是透测"你发现了漏洞为什么不帮我们修好"。这事最后虽然没闹上法庭，试需但足够让人后背发凉。向网

做渗透测试，做渗技术只是透测入场券。真正决定你职业寿命的试需，是知不知道边界在哪。

授权书不是护身符，但没它你连门都进不去

很多人觉得拿了客户签字的授权书就万事大吉。授权书当然要有，但它只解决"能不能测"的问题，不解决"测到什么程度"的问题。我见过一份授权书写着"对目标系统进行安全评估"，结果测试人员顺手把内网横向渗透也做了，还导出了员工工资表。客户翻脸比翻书快——授权书里没写内网，你越界了。

签授权书的时候，测试范围、时间窗口、允许使用的技术手段、禁止触碰的敏感数据，这些都得白纸黑字写清楚。别嫌麻烦。真出了事，这张纸就是你的唯一退路。

你发现的每一个漏洞，都是一颗定时炸弹

渗透测试和黑客攻击在技术层面几乎没有区别。区别在于：黑客干完就跑，你得留下来写报告。但报告怎么写，大有讲究。

我习惯把漏洞按利用难度和影响范围分成三档。高危且可利用的，报告里写清楚复现步骤，但截图打码、IP脱敏。中危的，描述现象和修复建议，不提供完整payload。低危的，一笔带过。这不是藏私，是防止报告本身变成攻击手册。有些甲方内部管理混乱，你的报告可能在多个部门之间流转，最后落到谁手里你根本不知道。

还有个细节：测试过程中拿到的任何数据，测试结束必须销毁。我见过有人把客户数据库导出来留着"以后参考"，这已经踩到法律红线了。《网络安全法》第二十七条写得明明白白，非法获取数据这事，不管你是不是"白帽子"，该进去还是得进去。

和甲方沟通，比挖漏洞难多了

技术好的人容易犯一个毛病：觉得甲方什么都不懂，懒得解释。但渗透测试本质上是服务，不是炫技。

有个同行给一家医院做测试，发现挂号系统存在越权漏洞，能查到其他患者的就诊记录。他直接在报告里写"可获取大量敏感医疗数据"，把院方吓得不轻。后来沟通才发现，这个漏洞利用条件很苛刻，需要特定的网络位置和已认证的会话。他要是提前跟信息科的人对一下，双方都不会那么紧张。

我的做法是：测试过程中发现高危漏洞，先口头同步，让对方有个心理准备。报告里再按严重程度分级，附上修复优先级建议。甲方要的不是漏洞列表，是"我该先修哪个"。

别把自己当救世主

渗透测试能发现已知风险，但没法证明系统绝对安全。有些甲方会问："你测完了，是不是就没漏洞了？"这时候千万别打包票。你能做的，是在给定的时间和范围内，尽可能多地暴露问题。剩下的，靠甲方自己的安全运维体系。

还有个现实：很多甲方找你做测试，只是为了应付合规检查。报告拿到手，往柜子里一锁，该干嘛干嘛。遇到这种情况，把该做的做完，该说的说到，别太往心里去。你改变不了所有人的安全意识，但至少能保证自己经手的每一个项目，都经得起回头看。

这行干久了会发现，技术天花板其实不高，真正难的是在灰色地带里找到那条白线，然后死死守住它。