上周三凌晨两点，渗透我盯着Burp Suite的测试流量日志，发现某个API接口的培训响应时间异常——正常请求耗时80毫秒，带单引号的渗透参数却飙升到1.2秒。这就是测试典型的SQL注入延时盲注特征。培训教室里经常有人问“怎么判断漏洞是培训否存在”，其实答案就藏在这些微小的渗透差异里。

渗透测试不是测试拿着扫描器跑一遍就完事。我见过太多人把AWVS报告直接当渗透结果交差，培训连误报都懒得验证。渗透真正的测试测试得从信息收集开始，像拼图一样把碎片凑起来。培训比如目标官网的渗透“关于我们”页面留了个HR邮箱，用Hunter一查，测试发现同一域名下还有dev、培训test、staging三个子域。其中test环境居然挂着phpMyAdmin，默认密码root/root直接进去了。这种案例在培训里讲一次，学员能记一辈子。

工具链的选择要看场景。内网渗透时，Cobalt Strike的beacon比Metasploit的meterpreter更隐蔽，但后者写起后渗透模块更顺手。Web方向，Burp Suite的Intruder模块配合自定义payload，能跑出sqlmap扫不到的注入点。有次客户系统用了WAF，sqlmap被拦得死死的，我手动构造了id=1%20union%20select%201,2,group_concat(table_name)%20from%20information_schema.tables，把空格换成/**/，注释符换成#，直接绕过去了。WAF规则是死的，人是活的。

漏洞利用环节最考验经验。拿到一个文件上传点，别急着传webshell。先看返回包有没有路径，再试.php5、.phtml、.php.jpg这些扩展名。有次目标只允许.jpg，我在图片EXIF里写入了<?php @eval($_POST['cmd']);?>，配合文件包含漏洞成功执行。这种思路扫描器永远给不了你。

权限维持要做得干净。Windows下用schtasks创建计划任务比注册表自启动更不容易被EDR发现。Linux环境往/etc/ld.so.preload写个so文件，连ps命令都看不到进程。但记住，测试完必须清理干净。去年有个同行在客户生产环境留了后门，结果被勒索软件利用，赔了三十万。

报告撰写是很多人忽视的环节。别堆砌漏洞名称和CVSS评分，客户要的是“这个漏洞会导致什么业务损失”。比如“订单系统存在越权访问”比“水平权限绕过漏洞”更直观。修复建议要具体到代码层面，别写“加强输入验证”这种废话，直接给PreparedStatement的示例代码。

培训时我常让学员做靶机实战。DVWA太基础，推荐VulnHub上的Kioptrix系列和HackTheBox的退休靶机。有次一个学员在Brainfuck靶机上卡了三天，最后发现是SSH私钥藏在图片的steghide隐写里。这种挫败感比听十节课都管用。

渗透测试的边界感很重要。客户给了测试范围，就别去碰关联系统。有次我扫描时不小心触发了某政务云的告警，对方直接打电话到客户公司。后来学乖了，所有扫描都加上--delay=2，并发数控制在5以内。慢就是快，这句话在渗透里同样成立。

最后说个真实案例。某次测试电商系统，发现优惠券接口可以遍历coupon_id。正常用户只能领一张，我写了个脚本批量领取，十分钟刷了八千张满减券。提交报告时客户还不信，直到我当面演示了用这些券零元购了一台iPhone。漏洞危害不是理论值，是能直接换算成钱的。