不属于渗透测试的是

上周帮一个朋友看他们公司的安全服务合同，里面赫然写着“渗透测试”四个字，于渗但交付物清单里却列着“资产测绘报告”“弱口令扫描结果”“合规差距分析表”。透测我问他：你到底买的不属是渗透测试，还是于渗买了一堆扫描器套餐？他愣了半天说，销售告诉他这些都是透测渗透测试的一部分。

这行干久了就会发现，不属渗透测试这个词被用得太随意了。于渗很多本该叫“漏洞扫描”“安全评估”甚至“IT审计”的透测活儿，都往渗透测试这个筐里装。不属筐大了是于渗好事，但装错了东西，透测甲方拿到的不属报告可能连一个真实攻击路径都还原不出来。

先拿漏洞扫描来说。于渗用Nessus或者AWVS跑一遍，透测导出一份带CVE编号的列表，这能叫渗透测试吗？不能。扫描器干的事情是特征匹配——它看到Apache版本是2.4.49，就报一个CVE-2021-41773，但它不会去构造/.%2e/.%2e/.%2e/.%2e/etc/passwd这样的路径穿越请求，更不会去判断这个漏洞在当前业务上下文里是不是真的能被利用。我见过太多扫描报告里躺着几十个“高危”，结果手工验证下来一个都打不穿，因为WAF挡着，或者服务根本不在那个端口上。

那合规性检查呢？等保测评、PCI DSS审计，这些本质上是对着清单打勾。防火墙策略有没有、日志留存够不够180天、口令复杂度策略开没开——这些是管理动作，不是攻击动作。渗透测试的核心是模拟真实攻击者的思维和手法，去回答一个具体问题：如果我现在要黑进这套系统，我能从哪儿进去，进去之后能拿到什么？ 合规检查回答的是另一个问题：你有没有按照标准把该做的做了？ 两个问题的答案经常不重合。一个完全合规的系统可能被一个简单的逻辑越权打得千疮百孔，一个到处是漏洞的系统可能因为网络隔离做得极好而让攻击者无处下手。

还有一种更隐蔽的混淆：把渗透测试等同于“打点”。有些团队拿着一个域名，跑完子域名收集、端口扫描、目录爆破，然后报告里写“发现大量敏感信息泄露”。这顶多叫信息收集，是渗透测试的第一步。真正的渗透测试至少要走到漏洞利用和权限维持。你发现了一个后台登录页面，这不叫渗透测试结果；你用一个弱口令登进去，上传了一个webshell，然后从web服务器提权到域控，这才叫渗透测试。只收集不利用，跟拿着地图不出发有什么区别？

我自己的判断标准很简单：一份渗透测试报告里，如果没有一条完整的攻击链——从外网入口到内网核心资产——那它就不是渗透测试。 攻击链可以是短的，比如一个SQL注入直接拿到数据库权限；也可以是长的，比如钓鱼邮件→C2上线→横向移动→域管权限。但必须有“利用”这个动作。扫描器不会利用漏洞，合规工具不会利用漏洞，资产测绘平台更不会。只有人，带着攻击者的思维，坐在键盘前面，才会去尝试admin' OR '1'='1，才会去改JWT里的alg字段，才会去翻JS源码找隐藏的API端点。

所以下次有人跟你说“我们做个渗透测试”，先问一句：你们打算怎么利用发现的漏洞？ 如果对方回答“我们会生成一份详细的漏洞列表”，那你心里就有数了——那不属于渗透测试。