很多人以为渗透测试就是渗透知识拿着扫描器跑一遍，然后交一份报告。渗透知识我见过太多这样的渗透知识“测试”——打开AWVS，输入网址，渗透知识等半小时，渗透知识导出PDF，渗透知识收工。渗透知识这不叫渗透，渗透知识这叫自动售货机。渗透知识

真正的渗透知识渗透从信息收集开始，而且这一步能占掉整个工作量的渗透知识六成以上。我有个习惯：拿到一个目标域名后，渗透知识先不碰任何扫描工具，渗透知识而是渗透知识手动去翻。翻什么？渗透知识翻它的GitHub仓库、翻它的招聘信息、翻它的SSL证书透明度日志、翻它的DNS历史记录。去年做一家电商的授权测试，我在他们前端JS里发现了一个注释掉的API路径/api/v1/internal/debug。直接访问，返回403。但把请求方法从GET改成POST，加一个空的JSON body，返回200，并且吐出了数据库连接串。这个口子扫描器永远扫不出来，因为扫描器不会去读被注释掉的代码。

信息收集的另一个关键是“人”。技术堆栈再厚，最终操作它的是人。我去LinkedIn上看目标公司运维工程师的简历，发现他三年前在一家小公司用过Jenkins，而且那家小公司的Jenkins是开放注册的。我试着用同样的用户名和密码组合去撞目标公司的VPN入口——失败了。但这件事提醒我：很多企业的内部系统用的是同一套LDAP。后来我通过一个暴露的Confluence页面拿到了一个普通员工的邮箱，用“姓名拼音+123”去试OA系统，进去了。密码策略形同虚设，因为管理员图省事。

漏洞利用阶段，别迷信CVE编号。一个未授权的Redis，比一个需要复杂利用链的RCE好用得多。我遇到过一台Redis，bind 0.0.0.0，没密码。直接写SSH公钥，三分钟拿到root。也遇到过一台MySQL，root空密码，但只监听127.0.0.1。这时候用gopher协议打内网的FastCGI，比等一个反序列化漏洞快得多。工具是死的，思路是活的。nmap扫端口，看到8080开着，先别急着上目录爆破。curl一下，看看Server头，看看返回的HTML里有没有框架特征。如果是Spring Boot，直接打/actuator/env；如果是ThinkPHP，试试?s=index/\think\app/invokefunction。这些比扫字典快。

权限维持这块，很多人忽略。拿到一个webshell就以为结束了。实际上，你得考虑：目标会不会重启？会不会杀进程？我习惯在Linux上写一个crontab，每五分钟从我的VPS拉一次脚本。在Windows上，注册表Run键或者计划任务。但别用明显的关键字，update、svchost这种名字反而扎眼。我用过一个叫WindowsFontCacheService的计划任务，跑了三个月没被发现。

最后说报告。别写“存在SQL注入，建议修复”。要写：“在/product?id=1处，参数id未过滤，使用1' AND SLEEP(5)-- 可延迟5秒响应。进一步利用sqlmap可跑出当前数据库用户为db_user，权限为FILE，可读取/etc/passwd。修复方案：使用参数化查询，并限制数据库账户权限。” 具体，可复现，有证据。客户要的是能直接甩给开发修的东西，不是一份哲学论文。

渗透测试的终点不是拿到域控，是让客户在下次攻击来临前，把该堵的洞堵上。你留下的每一个未修复的漏洞，都是下一个攻击者的入口。