内容摘要：去年秋天，我帮一家做跨境电商的朋友看他们的服务器。凌晨两点，我绕过了他们的WAF，直接摸到了后台数据库。整个过程没用什么高级工具，就是手动构造了几个SQL查询。第二天我告诉他漏洞细节时，他脸色发白——

去年秋天，安全我帮一家做跨境电商的渗透朋友看他们的服务器。凌晨两点，测试我绕过了他们的训练WAF，直接摸到了后台数据库。安全整个过程没用什么高级工具，渗透就是测试手动构造了几个SQL查询。第二天我告诉他漏洞细节时，训练他脸色发白——那台服务器上存着三万多个客户的安全信用卡信息。

这就是渗透渗透测试和普通安全扫描的区别。扫描器只会告诉你“这里可能有个洞”，测试而渗透测试是训练真正把洞捅穿，看看能掉出什么东西来。安全

别急着买工具

很多人一上来就问：用什么工具？渗透Burp Suite还是Nmap？我一般回一句：你先手动把OWASP Top 10的漏洞在自己搭的靶场上复现一遍。工具是测试加速器，不是替代品。你连SQL注入的闭合逻辑都搞不清楚，给你再好的工具也是瞎点。

我自己入门那会儿，在DVWA（Damn Vulnerable Web Application）上泡了整整三个月。每个漏洞等级从low到high手动过一遍，不查攻略。那种“啊，原来这里少了个单引号过滤”的瞬间，比看十篇教程都管用。

信息收集才是重头戏

真正干渗透的人知道，一次成功的测试，七成时间花在信息收集上。目标用了什么框架、开了哪些端口、有没有泄露的GitHub仓库、员工邮箱格式是什么——这些碎片拼起来，攻击路径自己就浮出来了。

上个月我测一个客户的内网。外网只有一个VPN入口，看起来固若金汤。但我从他们官网的招聘信息里发现，运维岗要求“熟悉Jenkins”。扫了一下，果然有个Jenkins面板暴露在公网，版本是2.138，正好有未授权访问漏洞。进去之后翻到一条构建记录，里面硬编码了内网跳板机的SSH密钥。整个过程没用任何0day，全是公开信息加耐心。

别把测试当破坏

新手容易犯一个错：拿到shell就开始乱翻。删文件、改配置、留后门——这不是渗透测试，这是入侵。正规的渗透测试有一条铁律：只做被授权的操作，拿到证据就停。你证明能进数据库就够了，不需要把客户数据导出来“看看有多少条”。

我习惯在测试前和客户签一份详细的授权书，写清楚哪些IP可以测、哪些时间段可以测、哪些操作绝对禁止。有一次我同事没注意，在客户生产环境跑了sqlmap的--os-shell，直接把一台服务器跑挂了。赔了钱不说，项目也黄了。

报告比技术更重要

你挖了十个高危漏洞，报告写得像天书，客户看不懂，等于白干。我写报告有个原则：每个漏洞必须包含三样东西——复现步骤（截图加请求包）、业务影响（不是“可导致数据泄露”，而是“攻击者可读取所有用户订单，包括姓名、电话、地址”）、修复建议（具体到代码层面，比如“在UserController.java第47行增加参数化查询”）。

客户要的不是炫技，是能落地的整改方案。你告诉他“用预编译语句”，他可能不知道从哪改；你直接指出文件和行号，他五分钟就能修完。

最后说点实在的

渗透测试这行，技术更新快，但底层逻辑十年没变过：输入验证、权限控制、加密存储。你把这三样吃透，比追一百个新漏洞都强。另外，别碰未授权的目标。我见过太多人为了炫技，扫了不该扫的站，最后被请去喝茶。技术是把刀，切菜还是砍人，取决于握刀的手。

如果你真想练手，去Hack The Box或者VulnHub。那里有合法的靶场，够你从菜鸟练到老手。记住，渗透测试的终点不是拿到root，是帮客户把门关上。