上周帮朋友的不属公司做安全排查，对方老板开口就问我能不能“测一下那个新上线的于网直播系统，看看能不能刷礼物”。站渗我说这活儿我干不了，透测他一脸困惑——在他眼里，内容凡是不属跟“黑客”沾边的事都算渗透测试。这误会挺普遍，于网得掰扯清楚。站渗

网站渗透测试的透测核心目标是验证系统本身的安全边界，比如服务器漏洞、内容代码缺陷、不属配置失误。于网但有一类需求经常被塞进来，站渗那就是透测“业务逻辑之外的对抗”。刷礼物、内容改余额、抢优惠券，这些本质上是利用规则漏洞薅羊毛，属于业务风控范畴。渗透测试工程师能帮你找出支付接口的越权问题，但没法替你设计一套反作弊策略——那是风控团队和产品经理的战场。

另一个被严重高估的领域是社工攻击。有人让我“黑进员工邮箱，把老板的密码套出来”，还觉得这能一并测了。真不是一回事。渗透测试中虽然会模拟钓鱼邮件，但那是为了检验安全培训效果，测试范围严格限定在授权系统内。真正的社工攻击涉及对人的操纵，比如冒充IT部门骗密码、在停车场捡工牌——这属于社会工程学攻击模拟，需要独立的授权和伦理审批，混在常规渗透里做，既越界又不负责任。

物理入侵也常被误会。客户指着机房说：“你试试能不能撬门进去，把服务器搬走。”这活儿得找开锁师傅或者红队做物理安全测试。常规渗透测试默认从网络侧发起攻击，你人在北京，目标服务器在杭州机房，通过公网打进去才算数。真让你摸到机器旁边，那叫安保测试，跟网站渗透八竿子打不着。

还有一类更隐蔽的错位：有些人把性能测试的活儿也丢过来。去年有个电商客户，非让我“压测一下，看双十一扛不扛得住”。我用工具打了半小时，把他们的网关打崩了，结果对方一脸懵——他们以为渗透测试就是“使劲打”，打崩了就算发现问题。这跟安全无关，纯粹是并发压力测试，该用LoadRunner或者JMeter，找性能测试工程师来做。渗透测试找的是漏洞，不是找系统能承受多大流量。

最后，代码审计和渗透测试也常被等同。客户要求“把所有源码翻一遍，找后门”，这活儿渗透测试能做，但通常只针对关键功能模块。全量代码审计是独立的服务，耗时是渗透测试的几倍，收费也完全不同。更别提那种“帮我看看这个外包团队写的代码有没有留后门”的需求——这涉及信任评估，渗透测试只能验证线上系统行为，没法替你做代码层面的司法鉴定。

说白了，渗透测试是戴着镣铐跳舞，授权范围、测试边界、伦理红线都卡得死死的。那些需要“耍诈”“撬锁”“拼体力”的活儿，各有各的专业门道。下次再想测什么，先想清楚：你是在测系统，还是在测人，或者是在测流程？搞混了，钱花了，问题照样漏。