渗透测试不是渗透拿着一堆工具乱扫。我见过太多人把Nmap和Burp Suite跑一遍，测试导出一份报告就说自己做完了渗透。包括那叫漏洞扫描，渗透不叫渗透测试。测试真正的包括渗透测试，是渗透你得像个攻击者一样去思考——目标系统哪里最薄弱，哪个入口最可能被撬开，测试拿到第一个shell之后怎么横向移动。包括

信息收集是渗透整个流程里最耗时间也最容易被跳过的环节。很多人扫完端口就急着找漏洞，测试结果连目标用的包括什么框架、有没有暴露的渗透Git仓库、员工邮箱格式是测试什么都没搞清楚。我一般会花40%以上的包括时间在这上面。Whois、子域名枚举、DNS记录、证书透明度日志、GitHub上泄露的代码片段——这些东西拼在一起，能勾勒出一张比你想象中详细得多的攻击面地图。有次我给一家公司做测试，就是通过他们一个离职员工在Stack Overflow上贴的配置文件，拿到了内部API的测试密钥。

拿到足够信息之后才进入漏洞发现阶段。这一步分两条路走：自动化扫描和手动验证。自动化工具能帮你快速筛出已知的CVE，但误报率高得离谱。我习惯把扫描结果当成线索而不是结论，每一条都要手动去验证。SQL注入、XSS、SSRF、文件上传绕过、反序列化——这些漏洞类型听起来老套，但每年攻破系统的还是它们。去年某金融平台的项目，扫描器报了一个低危的开放重定向，我没当回事。后来手动测试时发现那个重定向参数可以配合OAuth流程劫持token，直接升级成严重漏洞。

漏洞利用环节最能体现一个渗透测试人员的水平。不是每个漏洞都能直接弹shell，很多时候你需要把几个低危漏洞串起来。比如一个信息泄露告诉你内部系统的主机名，一个SSRF让你能访问那个内部系统，一个弱口令让你拿到后台权限。这种链式利用才是真实攻击中常见的路径。工具在这里的作用有限，更多靠的是对协议和业务逻辑的理解。我见过有人用SQL注入读出了数据库里的密码哈希，然后直接放弃——其实那套系统用的是MD5，彩虹表十分钟就能跑出来。

拿到权限之后的事情，很多渗透测试报告里根本不提。但横向移动和权限维持才是评估一个网络真实风险的关键。你拿到一台Web服务器，能不能跳到数据库？能不能通过域控拿到整个内网？有没有可能通过供应链攻击影响上游？这些问题的答案决定了这次测试的严重性评级。我习惯在获得初始访问后花大量时间做内网信息收集，用BloodHound分析AD关系，找那些配置错误的服务账号。有一次通过一个Kerberoasting攻击拿到了服务账号哈希，破解之后发现那个账号在六台服务器上都是本地管理员。

清理和报告是最后一步，也是最考验职业道德的地方。你留下的任何后门、测试账号、修改过的配置，都可能成为真实攻击者的跳板。我每次测试结束都会对照操作日志逐一回滚，确保系统回到测试前的状态。报告要写得让开发能看懂、让管理层能决策。别堆砌CVSS分数，说清楚这个漏洞在真实攻击场景下能造成什么后果。一个需要物理接触才能利用的漏洞和一个远程未授权RCE，严重性天差地别，但CVSS可能只差两分。

渗透测试的本质是模拟真实攻击，不是完成检查清单。工具会更新，漏洞会修补，但攻击者的思维方式不会过时。你得一直问自己：如果我是真的想搞垮这个系统，我会从哪里下手？