上周帮一家电商做授权测试，渗透三小时拿下数据库权限。测试不是课程我们多厉害，是渗透他们后台登录接口没做频率限制，验证码还能前端绕过。测试这种事在渗透测试里太常见了——漏洞往往不在高深的课程技术点，而在开发人员图省事留下的渗透口子。

渗透测试课程要教的测试第一件事，不是课程工具怎么用，是渗透“授权”两个字怎么写。没有书面授权的测试测试叫入侵，刑法第285条等着你。课程我见过学员在靶场练顺手了，渗透拿真实站练手，测试结果被请去喝茶。课程课程第一天就得把法律边界钉死，什么能碰、什么绝对不能碰、授权书里必须包含哪些条款，这些比学会SQL注入重要得多。

信息收集占整个测试流程的六成时间。很多人急着掏sqlmap，连目标有几个子域名、用了什么中间件、员工邮箱格式都没摸清。我习惯先跑一遍whois和DNS记录，再用FOFA搜资产，有时候能翻出测试环境——那地方往往没WAF，密码还是弱口令。有个案例：目标主站防护严密，但开发人员把GitHub仓库设成了公开，里面硬编码了数据库连接串。这种信息泄露比任何0day都致命。

漏洞验证阶段最考验判断力。扫出几百条告警，哪些是真漏洞，哪些是误报，得靠手工确认。比如XSS弹窗，得看能不能窃取Cookie；文件上传，得试能不能解析成脚本。工具只能告诉你“可能有”，课程要教的是怎么证明“确实有”。我通常先挑风险最高的三个点深入利用，拿到权限再横向移动。时间有限，别在低危漏洞上耗太久。

后渗透环节容易被忽略。拿到一个webshell就收工？那报告只能写“存在命令执行”。课程里会讲怎么提权、怎么抓密码哈希、怎么建立隐蔽隧道。但更重要的是清理痕迹——删除上传的测试文件、恢复修改的配置、记录所有操作时间点。客户要的是“你发现了问题”，不是“你把我系统搞乱了”。

报告撰写是最后一关。别堆砌技术术语，客户老板看不懂。用“攻击者可以查看所有用户订单”代替“存在SQL注入可导致数据泄露”。风险等级要结合业务影响，一个后台弱口令在内部系统可能只是中危，在支付接口就是高危。附上修复建议时具体点，别说“加强输入验证”，直接写“在login.php第23行对username参数使用预处理语句”。

课程里我会让学员在靶场反复练同一个漏洞类型，直到形成肌肉记忆。但真实环境永远比靶场复杂——网络延迟、WAF拦截、目标突然下线。有次测试到一半客户把服务器重启了，所有session失效，只能从头再来。这种意外才是常态。

工具会过时，Nessus扫不出的逻辑漏洞永远存在。渗透测试的核心是思维方式：假设自己是攻击者，但比攻击者更懂业务逻辑。课程结束不是终点，是开始。每次测试完写复盘笔记，记录哪些方法有效、哪些走了弯路，比看十篇教程管用。