面试官把电脑推过来时，渗透生我盯着屏幕上的应届终端窗口，手心全是渗透生汗。那台ThinkPad键盘缝隙里还卡着前一个应聘者留下的应届面包屑——后来我才知道，那是渗透生技术总监自己吃的。

“给你二十分钟，应届拿到root权限。渗透生”他说完就靠在椅背上刷手机，应届但余光始终没离开我的渗透生屏幕。我敲了几条命令，应届ls、渗透生cat、应届ifconfig，渗透生手指在键盘上滑得像踩了冰。应届渗透测试的渗透生题目其实不难，一个典型的LFI加日志注入，但脑子里全是学校实训课上老师念PPT的场景。那时我们管这叫“黑客课”，实际上连个真正的靶场都没碰过。

终于在第十分钟，我找到了日志文件里的PHP代码，构造payload弹了个shell。屏幕上跳出“uid=0(root)”时，我差点从椅子上蹦起来。面试官放下手机，嘴角抽动了一下：“还行，比刚才那个只会用sqlmap的强。”

后来入职才知道，那场面试考的根本不是技术。HR后来告诉我，那个岗位收了三百多份简历，能走到技术面的只有十二个人。大部分人挂在第一轮——不是不会渗透，而是把“渗透测试”理解成了“用工具扫漏洞”。有人连Burp Suite的代理都没配过就开始抓包，有人对着一个纯静态网站硬跑目录扫描跑了两小时。

真正让我适应下来的，是入职第三周那次实战。甲方是个做智能门锁的厂商，官网看着挺正规，结果后台管理入口直接暴露在公网上，密码还是admin/admin。我提交报告时觉得这活儿太没挑战性，带我的师傅老周却皱着眉：“你只看了Web端，他们的移动APP呢？固件呢？蓝牙协议呢？”

我愣住了。学校教的渗透测试，终点是拿到服务器权限，但真实世界里的攻击面比教科书宽得多。那天下午我蹲在实验室拆了一把他们的门锁，用逻辑分析仪抓蓝牙通讯数据包，发现配对密钥是硬编码在固件里的——任何拿到设备的人都能算出管理员密码。这个发现直接让甲方改了整套认证方案，我也因此提前转正。

现在想想，应届生做渗透最大的坎不是技术，是心态。总想着一步到位拿权限、拖数据库、发截图，但甲方要的是你帮他们发现所有可能被利用的路径，而不是表演黑客秀。有个同事擅长编写漏洞利用代码，写得很漂亮，但他从不看业务逻辑——结果有一次测试一个电商平台，他费劲绕过了WAF打进后台，却发现订单金额计算漏洞才是真正能导致百万级损失的问题。

老周说过一句话我一直记着：“渗透测试是门手艺活，不是打靶比赛。靶场里的flag是死的，现实中的系统是活的。”这话糙，但理不糙。真正的成长是学会在千疮百孔的系统里分清主次，在甲方说“这个系统很安全”时，依然坚持要一份完整的功能清单。毕竟，漏洞永远藏在你看不见的地方，而应届生最缺的，恰恰是知道该往哪儿看的经验——这玩意儿，急不来，只能挨个系统喂出来。

(责任编辑：时尚)