渗透测试这活儿，渗透手动手动做和拿工具扫，渗透手动完全是渗透手动两码事。工具跑一遍，渗透手动报告里列一堆中危高危，渗透手动甲方看着热闹，渗透手动真正能打进去的渗透手动路径往往一条都没找到。手动渗透的渗透手动核心在于：你得像攻击者一样思考，而不是渗透手动像扫描器一样枚举。

我见过太多人一上来就开AWVS、渗透手动Xray，渗透手动等报告出来再逐条验证。渗透手动这顺序反了。渗透手动手动渗透的渗透手动第一步，是渗透手动搞清楚目标暴露了哪些面。域名、子域名、IP段、端口、指纹、员工邮箱、GitHub泄露、API文档——这些东西扫描器不会帮你串起来。你得自己动手。

拿子域名来说。工具能跑出几百条，但哪条是测试环境、哪条是旧版系统、哪条挂着内部OA，得靠人判断。比如test-、dev-、uat-前缀的子域名，大概率防护薄弱。我习惯先把这些挑出来，手动访问一遍，看返回头、看报错页、看证书信息。很多时候，一个没做鉴权的Swagger UI或者Jenkins控制台就摆在那儿。

端口扫描也一样。nmap结果出来，80和443谁都会看，但8080、8443、9090、6379这些非标准端口才是金矿。有一次目标主站防护严密，WAF拦得死死的，但我在一台边缘服务器上发现开放了6379，Redis未授权。直接写shell，内网横向，两小时拿到域控。扫描器当时只标了个“Redis未授权访问——中危”。

手动渗透的另一个关键是理解业务逻辑。扫描器看不懂“优惠券可以叠加使用”、“订单金额前端校验”、“密码重置token可预测”这类问题。这些漏洞只有你真正走一遍业务流程才能发现。注册、登录、下单、支付、退款、改密码——每一步都停下来想：如果我是攻击者，这里能怎么滥用？

举个具体的。某电商网站，密码重置功能用手机号接收验证码。我抓包发现，验证码校验接口返回的响应里带了一个reset_token，而这个token的生成规则是md5(手机号+时间戳)。时间戳精确到秒。也就是说，只要知道手机号和大概时间，就能暴力枚举出token。扫描器永远发现不了这个，因为它不理解“token可预测”意味着什么。

再说说信息收集的深度。很多人拿到一个登录框就开始爆破，这是最蠢的做法。先看JS文件。前端代码里经常硬编码API密钥、内网地址、测试账号。我习惯把目标站点的所有JS下载下来，grep一遍key、secret、token、password、internal。有一次在一个app.js里翻到一个AWS Access Key，权限还挺大，直接列了S3桶。这比什么SQL注入快多了。

手动渗透还要求你懂点开发。知道Spring Boot Actuator有哪些端点、知道GraphQL introspection怎么开、知道JWT的alg:none怎么构造。这些不是工具能自动化的，得靠经验积累。我手机里常年存着一份payload清单，不是用来无脑打，而是用来提醒自己：这个参数有没有可能命令注入？这个JSON body能不能改成XML试试XXE？

最后说一句，手动渗透不是不用工具。nmap、Burp、ffuf、sqlmap该用还得用。但工具是手的延伸，不是脑的替代。你脑子里得有一张攻击路径图，工具只是帮你验证某个节点能不能走通。走不通就换一条，别死磕。

这行做久了会发现，真正有意思的漏洞，都是手动挖出来的。扫描器报告里的那些，不过是给甲方交差的材料罢了。