去年秋天，漏洞我帮一家做跨境电商的扫描试朋友看服务器。他跟我说网站“应该没啥问题”，及渗因为用了某云的透测安全组，密码也设了大小写加数字。漏洞我扫了一遍，扫描试十分钟后告诉他：你数据库的及渗3306端口对公网敞着，root密码是透测五年前那个，而且后台登录页的漏洞验证码是前端JS校验——抓包改个参数就能绕过。他愣了半天，扫描试憋出一句“那怎么办”。及渗

这事和漏洞扫描、透测渗透测试都沾边，漏洞但两者干的扫描试活不一样。漏洞扫描更像拿一把万能钥匙挨个试锁——用Nessus、及渗AWVS、Xray这类工具，对着IP段或URL跑一遍，看有没有已知的CVE、弱口令、配置错误。它快，覆盖面广，缺点是误报多，而且只能发现“已知的坏”。渗透测试是人去模拟攻击思路，工具只是辅助。比如上面那个验证码绕过，扫描器不会告诉你“这逻辑有问题”，得靠人去看请求响应、去猜开发怎么写的。

很多人把扫描报告当体检单，觉得“高危=要命，低危=没事”。实际不是。我见过一个低危的“信息泄露”，页面报错把数据库表名打出来了，攻击者顺着表名猜出后台路径，最后拿下了整站。反过来，有些标着“高危”的SQL注入点，其实参数做了强类型过滤，工具没识别出来。扫描结果得人工筛，别全信。

渗透测试的流程倒是有个大致路子：信息收集、漏洞验证、权限提升、横向移动、清理痕迹。但真做起来没那么线性。有次我测一个内网系统，信息收集阶段翻到一份离职员工留下的通讯录，里面有个运维的邮箱。拿邮箱去撞库，撞出他某个论坛的旧密码，那密码和他VPN密码一样——直接进了内网。你说这算技术还是算社工？边界很模糊。

工具方面，扫描用Nmap探端口、Nessus扫主机、Burp Suite抓包改包，渗透再加个Metasploit做利用、Cobalt Strike做后渗透。别迷信工具，Burp的主动扫描经常漏逻辑漏洞，sqlmap跑不出二次注入。手测才是核心。我习惯先手动把登录、注册、找回密码、上传、支付这几个功能点过一遍，再看扫描器报了什么，顺序反过来容易被工具带偏。

有个细节值得说：测试前一定确认授权范围。去年有个同行没拿到书面授权就去测某政务云，被请去喝茶了。授权书里写清楚IP段、域名、测试时间窗口、允许用的手段（比如能不能用DoS），别嫌麻烦。真出事，那张纸能保你。

最后给个实在建议：中小企业如果预算有限，先把漏洞扫描跑起来，每月一次，修掉中高危。渗透测试一年做一次，重点测对外业务系统。别等被拖库了才想起来找安全公司——那时候花的钱够做十年渗透了。我那个朋友后来把端口关了，密码换了，验证码改成后端校验，花了不到两小时。但要是被爬了用户数据，两百万都未必兜得住。