web渗透测试流程

一次正经的渗试流渗透测试，本质是透测模拟攻击者的思考路径。你把自己当成一个贼，渗试流先踩点，透测再撬锁，渗试流进去翻东西，透测最后还得把现场恢复原样——当然，渗试流报告得写清楚你翻过什么。透测

踩点：信息收集是渗试流地基

我见过太多新手上来就扫端口，扫完一脸懵。透测信息收集没做透，渗试流后面全是透测瞎猜。这一步别偷懒，渗试流域名Whois、透测子域枚举、渗试流搜索引擎缓存、GitHub泄露代码，甚至LinkedIn上员工晒的工牌照片都可能藏着密码规律。有一次测试，目标公司把内部Wi-Fi密码贴在茶水间照片里，背景糊得亲妈都认不出，但放大后能看到“C0ffee@2024”这种格式——这比扫一万个端口有用。

技术工具上，subfinder拉子域，amass做被动枚举，httpx探测存活。但工具只是手，脑子才是发动机。你得问自己：这家公司最值钱的数据在哪？是后台订单库，还是源代码仓库？顺着这个思路去收集，效率翻倍。

扫描与枚举：别急着打点

端口扫描不是跑完nmap -sV -p-就完事。每个开放端口背后是服务，服务背后是版本，版本背后是已知漏洞——但更关键的是服务之间的逻辑关系。比如8080端口跑着Jenkins，8090端口跑着Nexus，俩服务用同一个数据库账号，那攻击面就串联起来了。

目录爆破也是重头戏。别只盯着admin.php这种显而易见的路径。试试/api/v1/swagger-ui.html、/actuator/env、/.git/config。有一次我靠爆破到/backup/目录，里面躺着上周的数据库备份文件，明文密码直接送分。

漏洞利用：精准打击，别乱开枪

这里最考验耐心。SQL注入别上来就' or 1=1--，先试试id=1和id=2的响应差异，再判断是数字型还是字符型。XSS也别急着弹窗，先找输入点在哪，输出点是否经过编码。每个漏洞利用都要有依据，而不是碰运气。

我吃过亏。有次对一个文件上传点直接传了PHP马，结果被WAF拦了。后来发现对方允许上传SVG，而SVG里能嵌脚本——绕过了黑名单，还拿到了存储型XSS。这教训就是：别用蛮力，用组合拳。单一漏洞往往打不透，但几个低危漏洞串联起来，常常能直捣黄龙。

提权与横向移动：真正的分水岭

拿到一个webshell只是开始。低权限用户看啥都像迷宫，你得找sudo配置错误、计划任务里的可写脚本、内核漏洞（不过现在内核漏洞利用成功率低，别死磕）。Windows上试试SeImpersonatePrivilege，Linux上翻/etc/crontab和suid文件。

横向移动更考验对业务的理解。数据库服务器和Web服务器之间总有信任关系，抓取内存里的明文密码（mimikatz老当益壮），或者用ssh密钥复用。记得有个案例，攻击者从Tomcat弱口令一路打到域控，中间只靠一个被遗忘的Redis未授权访问——因为运维图省事，把Redis绑定到了内网所有接口。

痕迹清理与报告：体面收尾

渗透测试不是黑客攻击，你得清掉自己加的账号、删掉上传的Webshell、恢复被改的配置。但别过度——有些客户要求保留现场证据，提前沟通好。

报告才是真正交付物。别写“发现一个SQL注入，已修复”这种废话。要写清楚：漏洞URL、参数、利用步骤、影响范围、修复建议。最好附上时间线，比如“14:23 获取到管理员session，14:25 访问到订单数据”。我见过最好的报告，连攻击者的每条命令都贴出来，客户拿着就能复现。

最后说句实在话：这套流程不是死板的流水线。有时候信息收集阶段就发现了硬编码密钥，直接省掉后面所有步骤。有时候漏洞利用阶段卡壳，回头补信息收集反而豁然开朗。渗透测试像写小说——大纲是死的，但情节得活。工具会过时，但思路永远值钱。