渗透测试这行，渗透什工外行听起来像黑客，渗透什工内行知道它更像“合法入室盗窃”。渗透什工客户把自家系统的渗透什工大门钥匙交给你，让你在限定时间内，渗透什工用尽手段闯进去，渗透什工偷走“机密文件”，渗透什工然后写份报告告诉他：你家锁哪儿不行、渗透什工窗户哪扇没关、渗透什工狗为什么没叫。渗透什工

我入行第三年接过一个单子。渗透什工客户是渗透什工家做在线教育的公司，规模不大，渗透什工但用户数据不少。渗透什工合同签的渗透什工是黑盒测试，只给了一个域名和测试时间窗口。头两天我像个普通用户一样注册、登录、点遍每个按钮，没什么收获。第三天凌晨两点，我盯着登录接口的返回包，发现密码错误时提示“密码不正确”，但用户名不存在时返回的是“用户不存在”。这个细微差别意味着我可以枚举出所有注册用户的账号——包括管理员。拿到管理员账号后，我试了试弱口令，没成。但密码找回功能有个逻辑漏洞：验证码校验只在第一步做，第二步重置密码时根本不检查验证码是否匹配那个手机号。我直接改了管理员的密码，登进后台。整个过程没写一行攻击代码，全是业务逻辑上的疏忽。

这就是渗透测试和黑客入侵的本质区别：黑客拿到权限就收手，或者搞破坏；渗透测试拿到权限只是开始，接着要证明这个漏洞能造成多大影响，然后写清楚复现步骤、风险等级、修复建议。报告交上去，开发团队得能照着步骤重现问题，运维得知道怎么临时封堵，产品经理得明白哪个功能设计有问题。

日常干活的内容很杂。有时候是Web渗透，SQL注入、XSS、文件上传这些老几样，但更多时候是逻辑漏洞——比如优惠券能不能无限领、订单金额能不能改成负数、越权能不能看别人的订单。有时候是内网渗透，客户给个VPN账号，让你从外网打进去，再横向移动到核心数据库。还有时候是移动端App测试，反编译看代码、抓包改参数、检查本地存储有没有明文密码。最枯燥的是写报告，一份中危漏洞的描述得写清楚请求包、响应包、影响范围、修复代码示例。最刺激的是拿到域控那一刻，整个内网所有机器都在你手里，但你不能碰任何真实数据，只能截图证明“我能碰”。

这行有个不成文的规矩：测试过程中发现的任何真实用户数据，看一眼就得忘掉。我见过同行因为把客户数据库里的用户手机号导出来“留作证据”被吊销认证。渗透测试员的权限比系统管理员还大，但自律要求也更高。客户信任你，把系统最脆弱的一面暴露给你，你不能拿这份信任换钱。

收入方面，初级渗透测试员月薪一万出头，能独立带项目的两万到三万，顶尖的按天收费，一天五千到一万。但别光看钱，这行知识更新太快。今天还在用SQL注入，明天WAF就升级了；刚学会绕某云WAF，人家规则库就更新了。我每周至少花十个小时看新漏洞、复现CVE、搭靶场练习。不学？下一个项目就卡壳。

想入行的话，先别急着考证书。把OWASP Top 10每个漏洞在靶场上亲手打一遍，再用DVWA、Pikachu这些练习平台把常见场景过一遍。然后去漏洞盒子、补天这些众测平台接点小单子，感受真实环境。最后才是OSCP、CISP-PTE这些认证。面试的时候，面试官不看你有几张证，直接扔给你一个IP让你现场测，能挖出漏洞才是硬道理。

这工作说到底就一句话：用攻击者的思维，干防御者的活。你得比开发更懂代码，比运维更懂网络，比产品更懂业务逻辑。但你不能比他们更贪心。