渗透测试不是渗透拿着扫描器跑一遍就完事。去年有个客户找我，测试说他们刚做完“渗透测试”，渗透报告三十页，测试结论是渗透“存在若干中低危漏洞”。我问了一句：攻击者能不能从外网直接拿到数据库权限？测试对方愣住。那台暴露在公网的渗透MySQL，弱口令，测试3306端口敞开，渗透扫描器确实报了“中危”——因为没直接跑出数据。测试可实际上，渗透任何人用hydra跑五分钟就能进去。测试这就是渗透典型的工具依赖症：把渗透测试做成了漏洞扫描。

真正有效的测试渗透测试，第一步永远是渗透信息收集。不是打开Nmap随便扫两下，而是像攻击者一样思考。目标公司有几个域名？子公司呢？收购过哪些小团队？那些被遗忘的资产往往最脆弱。我习惯先手动翻一遍目标的官网、招聘页面、GitHub仓库，甚至LinkedIn员工动态。有次从一份招聘JD里看到“熟悉Jenkins”，顺手试了试`jenkins.目标.com`，默认口令admin/admin直接进去了。扫描器不会告诉你这些，它只认IP和端口。

拿到入口点之后，别急着上exploit。先做横向移动的路径规划。比如你通过钓鱼拿到一个普通域用户，接下来要判断：这个用户能访问哪些共享目录？有没有保存的凭据？BloodHound跑一遍，往往能发现从普通用户到域管的攻击链。我见过最离谱的一条路径：普通用户→可写脚本目录→计划任务→域管登录脚本。全程不需要任何漏洞利用，全是配置错误。渗透测试的核心是逻辑漏洞和配置缺陷，不是CVE编号。

提权环节最能区分新手和老手。新手喜欢直接上脏牛、CVE-2021-4034，一顿操作把服务器搞蓝屏。老手会先看`whoami /priv`，看`systeminfo`补丁列表，看服务权限。Windows下`SeImpersonatePrivilege`开着，JuicyPotato直接上；Linux下sudo -l列出来，说不定某个脚本能写。有一次目标机器上跑着旧版Apache，但`/tmp`目录挂载了noexec，脏牛根本没法编译。最后靠的是MySQL的`SELECT ... INTO OUTFILE`写了个so提权。工具是死的，场景是活的。

权限维持这块，很多测试报告根本不写。但真实攻击者一定会留后门。我通常会加一个计划任务，或者改一个不显眼的服务二进制路径。不是为了破坏，而是为了证明：如果这是真实攻击，你根本发现不了。有个客户坚持说他们的EDR能拦截一切，我在目标机器上把Mimikatz改名成`svchost_update.exe`，放在`C:\Windows\Temp`下，运行了三天没人告警。渗透测试的终点不是拿到域管，而是拿到域管之后还能不被发现地待下去。

报告怎么写？别堆砌漏洞列表。按攻击路径写：从外网到内网，从普通用户到核心数据，每一步截图、命令、时间戳。客户要的是“攻击者能做什么”，不是“你扫出了什么”。我习惯在报告开头放一张攻击路径图，红色箭头标出关键跳板。结尾给修复建议时，别写“建议更新补丁”这种废话。直接说：把那个Jenkins关掉外网访问，或者至少改掉默认口令。具体，可执行，别让客户猜。

最后说个反直觉的观点：渗透测试的质量和时长不成正比。有人做两周，不如别人做两天。关键在思路。你盯着扫描器报告看一天，不如手动翻一遍目标员工的GitHub提交记录。攻击者不按套路出牌，你也不能。

(责任编辑：知识)