客户打电话来的渗透时候，语气很急。测试程样说他们的渗透后台管理页面被一个实习生用默认密码就登进去了。我问他，测试程样你们上次做渗透测试是渗透什么时候。他愣了一下，测试程样说没做过，渗透一直觉得系统挺安全的测试程样。

这种事我见得太多了。渗透渗透测试不是测试程样买个扫描器跑一遍就完事。它更像一次有授权的渗透模拟入侵，你得用攻击者的测试程样思维方式，一步一步摸进去。渗透流程大体分几个阶段，测试程样但每个阶段之间没有绝对界限，渗透很多时候是来回跳的。

先搞清楚要打哪里

拿到目标之后，第一件事不是打开工具扫端口。得先跟客户坐下来聊，确认范围。哪些IP段、哪些域名、哪些业务系统在测试范围内。有一次客户给了个IP列表，我扫了半天发现其中一台是他们的支付网关，根本不在授权范围里。差点出事。

这个阶段还要确认测试时间窗口。有些生产系统白天不能碰，只能凌晨跑。还得签授权书，白纸黑字写清楚，不然就是非法入侵。我见过同行因为没签好授权文件，被客户反咬一口的。

信息收集，慢工出细活

范围确认之后，开始收集信息。这一步最枯燥，但最关键。Whois查域名注册信息，DNS枚举找子域名，搜索引擎搜泄露的邮箱和文档。有一次我通过一个员工在GitHub上提交的代码，找到了他们内网测试环境的数据库密码。那个员工把配置文件一起传上去了。

子域名枚举经常能发现意外的东西。主站防护做得很好，但某个子域名指向一台老旧的Tomcat服务器，上面跑着几年前的应用，漏洞一抓一大把。攻击者从来不会正面硬刚，都是找这种边角料。

扫描和验证，别急着下结论

信息收集到一定程度，开始用工具扫端口、扫目录、扫漏洞。Nmap、Dirsearch、Nuclei这些是标配。但工具报出来的东西不能全信。一个SQL注入的告警，可能是误报，也可能只是表面现象。得手动验证。

我习惯把扫描结果按严重程度排序，但不会完全依赖工具的评级。有些中危漏洞组合起来能直接拿shell，有些高危漏洞在实际环境中根本利用不了。这需要经验判断。

尝试真正打进去

验证完漏洞，就到了最刺激的环节——尝试利用。SQL注入读数据、文件上传拿webshell、命令执行反弹shell。每一步都要小心翼翼，因为生产环境经不起折腾。有一次我在测试文件上传漏洞时，不小心覆盖了一个生产配置文件，客户业务中断了十分钟。那次之后我养成了习惯，任何写操作之前先备份。

拿下一个入口点之后，不是就结束了。要尝试横向移动，看看能走多远。域控、数据库、核心业务系统，这些才是攻击者的真正目标。但也要控制好力度，别把客户网络搞瘫了。

清理痕迹和写报告

测试做完，得把上传的webshell删掉，新建的账号清理掉，修改的配置还原。这是职业操守。有一次客户说我们没清理干净，留了个后门。查了半天发现是他们自己的开发人员留的，跟我们没关系。但这种事说不清楚，所以清理环节一定要仔细。

报告是最终交付物。客户要的不是一堆漏洞列表，而是能看懂的修复建议。我写报告的时候会按业务影响来分类，而不是按CVSS评分。一个影响支付流程的低危漏洞，优先级要高于一个不影响业务的高危漏洞。客户的技术团队看了能直接干活，这才算合格。

渗透测试的流程说起来就这么几步，但每一步里面都有大量细节。工具会用的人很多，能根据实际情况灵活调整策略的人少。这行干久了，越来越觉得技术只是基础，对业务的理解和沟通能力才是拉开差距的地方。