内容摘要：渗透测试的第一步不是扫端口，是搞清楚“我是谁”。听起来像废话。但你随便找个刚入行的，问他目标系统里最可能被忽略的资产是什么，十有八九答不上来。去年有个客户，防火墙配得滴水不漏，外网扫描连个开放端口都找

渗透测试的渗透定位第一步不是扫端口，是渗透定位搞清楚“我是谁”。听起来像废话。渗透定位但你随便找个刚入行的渗透定位，问他目标系统里最可能被忽略的渗透定位资产是什么，十有八九答不上来。渗透定位去年有个客户，渗透定位防火墙配得滴水不漏，渗透定位外网扫描连个开放端口都找不着。渗透定位结果呢？渗透定位他们忘了自己三年前收购的那家小公司，那台老旧的渗透定位VPN设备还挂在公网上，固件版本停留在2016年。渗透定位

这就是渗透定位定位的意义。不是渗透定位定位漏洞，是渗透定位定位“战场边界”。

资产测绘比漏洞扫描更致命

我习惯把渗透前期分成两层：一层是技术层面的信息收集，另一层是业务层面的逻辑推演。很多人只做第一层。子域名爆破、C段扫描、指纹识别，跑完一堆工具，导出一份Excel，觉得自己掌握了全局。但工具不会告诉你，那个dev-api.example.com其实连的是测试环境，里面跑着三年前的用户数据备份。

有个细节我印象很深。某次内部渗透，目标是一家电商公司。常规扫描没发现什么高危漏洞，但我在他们OA系统的登录页面上，注意到一个不起眼的“帮助文档”链接。点进去，是一份PDF，讲的是如何配置内部GitLab的SSH密钥。文档里夹了一张截图，截图左上角有个浏览器书签栏，里面赫然躺着一个内网IP地址。

就这么个东西。没有漏洞扫描器会把它标红。但它比任何CVE都值钱。

人永远是最大的定位变量

技术资产是死的，人是活的。我越来越觉得，渗透定位的核心不是找系统，是找“人留下的痕迹”。领英上的员工动态、GitHub上的代码提交、招聘网站上的JD描述——这些碎片拼起来，比Nmap扫描结果精确得多。

前阵子帮一个朋友看他们公司的安全状况。我没动任何扫描器，先花了一个下午翻他们技术团队的GitHub。有个后端工程师，个人仓库里放了一个“公司项目脚手架”的模板，config目录下留了一个database.yml的示例文件。用户名是admin，密码是admin123。我当时就笑了。后来一问，他们生产环境的数据库密码还真是这个，只是加了个年份后缀。

你说这算漏洞吗？算。但哪款扫描器能扫出来？

定位的本质是缩小不确定性

渗透测试不是盲盒游戏。每一次成功的入侵，背后都是信息不对称的碾压。你比防守方更了解他们自己的网络，你就赢了。定位就是干这个的——把“我不知道”变成“我知道”，把“可能”变成“确定”。

我见过太多人拿着AWVS扫一圈，出了报告就交差。那叫扫描，不叫渗透。真正的定位工作，80%的时间花在理解目标上：他们的业务逻辑、他们的技术栈、他们的运维习惯、他们的组织架构。剩下20%才是利用。

有个原则我一直在用：先画地图，再找路。地图画得够细，路自然就出来了。你甚至不需要什么0day，一个配置错误、一个弱口令、一个忘记删除的测试接口，足够你走到底。

说到底，渗透定位就是一场信息战。谁掌握的信息更立体、更鲜活、更接近真实，谁就掌握主动权。工具只是辅助，脑子才是核心。