渗透测试不是渗透拿着扫描器一通乱扫就完事。我见过太多人把漏扫报告直接当渗透结果交差，测试客户还觉得挺专业。渗透真打进去才知道，测试那些高危漏洞十有八九是渗透误报，而真正能撕开口子的测试配置缺陷，扫描器压根不吭声。渗透

先得把目标摸清楚。测试域名、渗透IP段、测试子域、渗透邮件服务器、测试甚至离职员工在GitHub上泄露的渗透VPN账号，都算情报。测试我习惯从公开信息入手，渗透用whois反查注册邮箱，再用邮箱去社工库碰运气。有一次客户只给了一个主站域名，我通过SSL证书的SAN字段翻出七个内部测试环境，其中一个跑了两年没打过补丁的Jenkins，直接成了入口。

信息收集完别急着上工具。手动翻一遍网站，看看登录框有没有验证码，URL里有没有id=这种参数，响应头里Server字段暴露了什么版本。这些细节比扫描器准得多。我通常开个代理，把整个站点的请求全过一遍，边点边记。有回点到一个“下载报表”的按钮，URL是/download?file=../../etc/passwd，连扫描器都不用开，直接读文件。

漏洞验证得动手。SQL注入别光看报错，试试延时盲注，sleep(5)能卡住才是真的。文件上传绕WAF，改Content-Type、加%00截断、传.htaccess，总有一款适合你。我印象最深的一次，目标用了某国产WAF，上传php被拦，但传phtml就放行了。这种细节，自动化工具根本不会告诉你。

拿到低权限shell只是开始。提权靠的是信息差。翻/etc/passwd看有没有可写用户，查crontab有没有定时任务调用用户可控脚本，找SUID文件里有没有nmap、find这种能执行命令的。Windows下更简单，whoami /priv看有没有SeImpersonate，土豆系列一把梭。有次在域环境里，用BloodHound跑了一遍，发现一个普通域用户对某台文件服务器有WriteDacl权限，直接改ACL拿到控制权。

横向移动要稳。别一上来就扫内网全网段，流量异常容易触发告警。先用arp -a看邻居，再翻翻浏览器历史、RDP连接记录、甚至共享文件夹里的快捷方式。我习惯在每台机器上留个后门，但不用meterpreter这种大块头，写个计划任务调powershell下载执行，体积小还免杀。内网里最值钱的是域管哈希，抓到之后别急着psexec，先DCSync拖一份krbtgt，黄金票据揣兜里，随时能回来。

清理痕迹这事看客户要求。红队演练要留报告，真渗透得擦屁股。删日志、清事件、卸载工具，别用rm -rf留一堆碎片。Windows下用wevtutil cl system清系统日志，但注意别把Security日志清了，那等于告诉管理员“我来过”。最后写报告，别堆CVSS分数，直接说“从外网到域控，我用了哪三步，哪步最致命，怎么修”。客户要的是能落地的建议，不是漏洞列表。

渗透测试的节奏感很重要。急的时候一天打穿内网，慢的时候蹲一周就等一个运维重启服务。工具是死的，人是活的。扫描器告诉你有什么，你得判断能干什么。这行干久了，看到登录框就想试admin/admin，看到报错就想构造payload，算职业病。