去年帮一家电商做渗透测试，何渗运维给我开了个测试账号，透测权限只够看订单列表。试网三天后我拿到了他们数据库的何渗 root 权限，顺便把支付回调的透测密钥也翻了出来。这不是试网炫技，是何渗真实发生的——问题出在一个忘了删的测试接口上，路径是透测 /api/v1/debug/user_info，没鉴权，试网传个 id 参数就能读任意用户信息。何渗渗透测试的透测本质就一句话：用攻击者的思路，把系统里那些“忘了删”“没想过”“应该没事”的试网东西一个个翻出来。

信息收集是何渗第一步，但别把它想成拿着扫描器一顿跑。透测我习惯先手动点一遍目标网站，试网看响应头里有没有泄露框架版本，比如 X-Powered-By: Express 4.17.1，这玩意儿能直接告诉你该找哪个版本的已知漏洞。然后去 GitHub 搜公司域名，经常能捡到开发人员误传的配置文件，里面躺着数据库密码或者云服务 AK。有一次我在某个仓库的 commit 历史里翻到一串被删掉的 AWS 密钥，试了一下，居然还能用——他们只删了文件，没去 AWS 后台作废密钥。

扫端口这事，别只盯着 80 和 443。我遇到过一台机器开着 6379 端口，Redis 没设密码，直接写 SSH 公钥进去就能拿 shell。还有 27017 的 MongoDB，连上去发现整个用户表都在里面，密码字段是明文。这些服务默认配置就是给内网用的，一旦暴露到公网，等于把大门钥匙插在锁孔上。

漏洞利用阶段最考验耐心。SQL 注入现在少了，但逻辑漏洞一抓一大把。比如某次测试一个积分兑换接口，正常流程是 POST /exchange 带 item_id 和 quantity，我试了把 quantity 改成负数，结果积分没扣反而加了。还有越权，把 URL 里的 user_id=123 改成 user_id=124，就能看到别人的收货地址和手机号。这种漏洞扫描器扫不出来，得靠人一个个参数去试。

拿到低权限 shell 之后，别急着上扫描器扫内网。先看 /etc/passwd、~/.bash_history、环境变量里的数据库连接串。我习惯跑一个 ps aux，看看有没有以 root 跑的定时任务脚本，脚本路径如果可写，直接改内容就能提权。有一次发现一个备份脚本调用了 tar，而 tar 在 PATH 里被替换成了我上传的恶意版本——这种野路子比内核漏洞好用多了。

清理痕迹这事，真实渗透测试里其实不用太在意，因为你有授权。但得记录每一步操作，截图、保存请求响应、记下时间戳。报告里别只写“存在 SQL 注入”，要写清楚：哪个 URL、哪个参数、payload 是什么、返回了什么数据、能造成什么影响。客户要的是能直接拿去修的东西，不是一堆 CVSS 评分。

最后说个观察：大部分被攻破的系统，不是因为漏洞多高级，而是因为开发觉得“这个接口没人知道”“内网很安全”“测试代码上线前会删”。渗透测试就是专门打脸这些想法的。你不需要成为黑客，但得学会像黑客一样怀疑一切——包括你自己写的代码。

(责任编辑：知识)