内容摘要：拿到授权书之前，任何扫描行为都算违法。这话我说过很多遍，但总有人觉得“我只是看看又不改数据”。去年有个同行扫了家电商站的备份目录，结果被按非法侵入计算机信息系统罪立案，虽然最后判了缓刑，但案底跟一辈子

拿到授权书之前，目标任何扫描行为都算违法。网站这话我说过很多遍，进行但总有人觉得“我只是渗透看看又不改数据”。去年有个同行扫了家电商站的测试备份目录，结果被按非法侵入计算机信息系统罪立案，目标虽然最后判了缓刑，网站但案底跟一辈子。进行

渗透测试的渗透第一步不是打开Burp Suite，是测试确认授权范围。甲方给你的目标授权书里会写明目标IP段、域名列表、网站测试时间段。进行我见过最离谱的渗透授权书只写了“测试公司官网”，结果运维把整个C段都划进来了。测试你扫了隔壁公司的服务器，这锅谁背？所以拿到授权先干一件事：用nslookup和whois确认目标资产归属，把边界画清楚。

信息收集阶段我喜欢用被动方式起步。Shodan、Censys、Fofa这些空间测绘引擎能直接告诉你目标开了哪些端口、跑了什么服务。有次测一个政府站，Fofa显示它有个8080端口跑着Tomcat 7.0.81，这版本有CVE-2017-12615任意文件上传漏洞。但直接打过去太粗暴，我先用Google搜site:target.com filetype:jsp，翻出几个后台登录页，再用Wappalyzer看技术栈，确认是Spring Boot + Tomcat的组合。

主动扫描要控制节奏。Nmap的-T4模板速度够用，但别一上来就全端口扫描。我先用masscan快速过一遍1-65535，找出开放端口，再用nmap -sV -sC做服务识别。有个细节：如果目标有WAF，masscan的高并发会触发封禁。这时候换成--max-rate 100，或者直接上代理池。我习惯在VPS上挂Tor做扫描，虽然慢但不容易被溯源。

漏洞验证才是真功夫。Nikto扫出来的东西一半是误报，SQLMap跑出来的注入点可能被WAF拦了。去年测一个金融站，SQLMap报了个布尔盲注，但手工验证时发现返回包长度没变化——WAF把payload吃了。后来换成时间盲注，sleep(5)确实延迟了，但WAF日志里全是告警。这时候得换编码绕过，比如把union select写成union%0aselect，或者用/*!50000union*/这种MySQL内联注释。

提权环节最容易翻车。Linux提权先看sudo -l，有次发现运维给www-data配了NOPASSWD的vim，直接vim里执行:!bash就拿到root。Windows提权先看补丁，systeminfo里缺KB4012212的，MS17-010直接上。但别急着用mimikatz，那玩意儿一跑杀软就报警。我习惯先用PowerShell的Invoke-Mimikatz，或者直接读注册表里的LSA Secrets。

写报告比打点还累。甲方要的不是“发现高危漏洞”这种废话，他们想知道具体怎么复现、影响范围多大、修复要改哪行代码。我习惯在报告里放Burp的请求响应截图，再附上修复后的验证结果。有个客户看完报告说：“你们连我数据库备份文件的路径都写出来了，这要是被坏人看到怎么办？”——所以报告交付前记得加密，密码通过另一渠道发送。

最后说个真事。某次测试完清理痕迹时，发现同事在目标服务器上留了个webshell当后门。我当场删掉并上报了项目经理。渗透测试的底线是：你走了之后，系统要比你来之前更干净。那些留后门、改密码、删日志的，不叫渗透测试，叫破坏计算机信息系统。