我花了三小时测试一个政府网站的不属漏洞，最后发现它的于网登录框居然连验证码都没有。但我没提交任何payload，站渗因为那个网站根本不属于我的不属授权范围。很多人把“能访问的于网网站”和“可以测试的网站”混为一谈，这比SQL注入本身危险得多。站渗

朋友老周接过一个私活，不属对方说“随便测，于网出了事算我的站渗”。他扫到某银行子域名的不属弱口令，顺手试了一下后台管理账号——进去了。于网结果那台服务器连着核心数据库，站渗他刚导出表结构就被网警报了。不属老周蹲了半个月，于网对方公司早跑路了。站渗你看，没人会替你扛法律风险，合同里写的“授权”和微信里说的“放心搞”是两回事。

还有一种更隐蔽的误区：以为用公开的扫描器就不算攻击。有人拿AWVS扫了一晚上，第二天收到对方公司的律师函，理由是“未经授权访问计算机信息系统”。扫描器发出的探测请求也是流量，流量就是痕迹。你以为自己在做安全研究，实际上对方的安全设备把你当成了入侵者。国内判例里，光是用nmap扫端口被判刑的都有好几起。

最让人无语的是那些“好心办坏事”的。有人发现某学校网站有文件上传漏洞，为了“提醒”管理员，直接传了个txt文件进去，内容写着“这里有漏洞请修复”。结果学校报警了，罪名是非法控制计算机信息系统。你猜怎么着？那个txt文件被当成了恶意代码。别高估别人的理解能力，也别低估法律对“未经授权操作”的敏感度。

真正的渗透测试，边界清晰得就像手术台上的无菌区——客户给IP范围，给时间窗口，给紧急联系人。我做过最规范的一次，对方连测试机上的键盘记录器都要提前报备。而日常里那些“顺手测一下”的念头，本质上跟看到别人家门没锁就进去转一圈没区别。哪怕你什么都不拿，进去本身就是犯法。

有人会杠：“那漏洞报告平台呢？”是的，补天和漏洞盒子有合法通道，但前提是你得遵守他们的规则——比如不下载数据、不深入利用、发现即停。我见过最蠢的操作，是有人为了拿高额奖金，把一个电商网站的订单数据拖了十万条出来。平台封号都是轻的，后来电商公司直接报案，那哥们现在还在取保候审阶段。

写代码的人容易陷入技术自嗨，觉得“我能进去”就代表“我应该进去”。但安全行业的第一课不是怎么攻破系统，而是分清哪些门属于你的测试范围。你邻居家的保险柜锁芯有缺陷，你研究出来了，能写进简历吗？不能，那叫私闯民宅。技术能力从来不是违法理由，反而因为懂技术，更该知道边界在哪。

说到底，网站渗透是门生意，不是爱好。没有合同、没有授权、没有明确的测试范围，那就不叫渗透测试，叫入侵。下次手痒的时候，先问自己一句：如果这个网站的所有者现在站在我面前，我敢不敢当着他的面敲回车？如果不敢，那就关掉终端去睡一觉。毕竟，监狱里的电脑可没有外网。