一个朋友上周找到我，网址说他们公司的做渗官网被人挂了个赌博链接，首页源码里莫名其妙多了一行iframe。透扫他问我，网址这算不算被入侵了？做渗我说，别急，透扫先做个渗透扫描看看。网址

所谓渗透扫描，做渗不是透扫拿个工具点两下就完事。它更像是网址一次模拟攻击，把网站当成一个靶子，做渗从外部视角去试探它的透扫弱点。你不需要真的网址攻破它，但你要找出那些能被攻破的做渗口子。这活儿，透扫干得糙的和干得细的，差距能隔着一条街。

我习惯先用Nmap扫端口。别小看这一步，很多站点把3389、3306这种管理端口裸奔在公网上，密码还设成Admin123。扫完端口，再用AWVS或者Xray这类Web扫描器跑一遍常规漏洞，SQL注入、XSS、文件上传，这些老掉牙的洞依然年年上榜。但工具只是辅助，真正值钱的是你怎么解读结果。

有一次我扫一个电商站，扫描器报了一堆中危漏洞，看着吓人，其实都是些无关痛痒的版本信息泄露。可我在响应头里发现了一个奇怪的Set-Cookie字段，路径指向一个从未见过的子域名。顺着这个子域名摸过去，居然是一个没做任何鉴权的后台登录页，默认口令直接进。你看，扫描器没告诉你这个，它只会在那儿刷报告，真正的线索得靠人眼去抠。

渗透扫描的核心逻辑，不是把所有漏洞都翻出来，而是找到一条能让你从外部走到数据核心的路径。比如一个简单的文件下载接口，参数里带了文件路径，你试着改成../../etc/passwd，如果返回了内容，那恭喜，你离脱裤不远了。这种测试，扫描器不一定能精准触发，但一个带着点坏心思的测试者，几分钟就能搞定。

当然，扫描不是乱打枪。你得先确认授权，没授权的扫描是违法的，别拿自己前途开玩笑。我见过太多刚入行的，拿个工具对着别人站点一顿狂扫，结果扫出事了，IP被封是小事，被请去喝茶就麻烦了。正经的渗透扫描，第一步永远是签好授权书，明确边界，哪些能测，哪些不能碰。

跑完一轮扫描，你会得到一堆原始数据。别急着下结论，先看看哪些是误报，哪些是真实可利用的。比如一个反射型XSS，如果只是弹个alert框，影响面可能有限；但如果它出现在登录页的参数里，而且没有HttpOnly标志，那就能配合钓鱼拿到用户会话。这种判断，靠的是经验，不是工具能给你的。

最后说个细节。有一次我扫描一个政府网站，发现它用了很老的Struts2框架，网上公开的利用脚本一打一个准。但我没直接打，因为我知道这种系统背后往往连着数据库，一旦被打穿，数据泄露的责任我担不起。我选择在报告里详细写清楚漏洞位置、利用方式、修复建议，然后让甲方自己决定下一步。渗透扫描的终点不是“打进去了”，而是“你知道怎么打进去，并且知道怎么堵上”。

那朋友听完，自己回去用我教他的方法扫了一遍，果然发现了一个测试接口没关，能直接读取用户订单信息。他吓得赶紧关掉了。我告诉他，这才哪儿到哪儿，真正的攻击者不会像你这么温柔，他们可能已经在你站里待了好几个月了。所以，定期做渗透扫描，不是为了应付检查，是给自己留一条活路。