渗透测试的渗透本质，不是渗透拿工具扫一遍然后交报告。它是渗透一场对抗性的信息博弈，目标只有一个：找到那个“不设防的渗透瞬间”。

你问渗透要什么？渗透第一要务不是技术，是渗透授权。没有书面授权的渗透渗透叫犯罪，有授权才叫工作。渗透我见过太多刚入行的渗透愣头青，拿着SQLMap对着非目标站点一顿猛灌，渗透最后把自己灌进了派出所。渗透这行当里，渗透红线比漏洞值钱得多。渗透

有了授权，渗透接下来要的渗透是时间。真正的渗透测试，80%的时间花在信息收集上。不是说你拿到一个IP就开始爆破，那是脚本小子的玩法。你要去翻DNS记录，找子域名，查历史证书，看GitHub上泄露的代码片段，甚至去搜目标员工的社交媒体——有人把公司内网拓扑图当头像发出来过，你信吗？信息收集做得越细，后面攻击就越顺。有一次测试，我花了三天在LinkedIn上分析目标公司的IT部门人员结构，最后通过一个离职员工的旧博客，找到了仍在生效的VPN账号。那天的晚饭，我给自己加了鸡腿。

技术呢？技术当然要。但渗透要的技术不是“全知全能”，而是“够用且灵活”。你会用Metasploit打MS17-010，可目标早就打了补丁，你怎么办？你得会读代码，至少能看懂PHP和Java的常见框架漏洞。你得懂网络，知道VLAN跳跃和端口镜像的区别。更重要的是，你得会写脚本——不是那种几百行的工具，而是十几行就能把Burp Suite抓到的数据包改头换面的小玩意。工具是死的，思路是活的。上次碰上一个内网，所有主机都装了EDR，常规免杀全被拦。最后怎么进去的？用PowerShell调用系统自带的Certutil下载文件，再配合白名单软件MSBuild执行payload。全程没用任何第三方工具，杀软连个屁都没放。

渗透还要一点运气，这点没人愿意明说。你精心构造的钓鱼邮件可能被对方的邮件网关拦了，但也许某个粗心的管理员会把密码贴在显示器边上。你打了一周的Web应用，可能敌不过对方临时上线的一个未打补丁的中间件。运气这东西，没法量化，但确实存在。我自己的经验是，运气往往倾向于准备更充分的人——你收集的信息越多，碰巧撞上弱点的概率就越大。

最后，渗透要的是心理素质。半夜三点，你刚拿下域管权限，对方的SOC（安全运营中心）突然发出告警，你屏幕上跳出了“检测到异常行为”的红色弹窗。这时候手抖不抖？我见过新手直接拔网线，结果留下大量日志，第二天被人顺着网线找上门。冷静下来，评估风险，要么快速撤离，要么利用已有权限清除痕迹——但清除痕迹本身也是技术活，做不干净反而暴露更多。

说到底，渗透要什么？要脑子清醒，要手上有活儿，要心里有敬畏。工具遍地都是，教程满天飞，但真正能在这行站住脚的，永远是那些愿意在细节里死磕、在规则内跳舞的人。漏洞是死的，人是活的。你准备好了吗？