拿到授权书之前，红队任何扫描行为都叫黑客攻击。渗透这句话不是测试吓唬人。我见过一个新手，入门没签SOW就直接对客户边缘资产跑了Nmap，红队结果触发了SOC告警，渗透项目差点黄掉。测试红队渗透测试的入门第一课永远不是技术，是红队法律边界。

授权文件里必须写清楚：目标IP段、渗透测试时间窗口、测试允许使用的入门技术手段（比如是否允许社工）、紧急联系人。红队别嫌麻烦。渗透有一次我们做内网横向，测试客户忘了把一台核心数据库从目标列表里剔除，我们差点把生产库拖垮。事后复盘，问题出在授权书没更新。

信息收集：别急着掏漏洞扫描器

很多人一上来就开AWVS、Xray，扫出一堆中危漏洞就交差。这不是红队，这是扫描器操作员。真正的红队会先花70%的时间做被动信息收集。用FOFA、Shodan、Hunter找边缘资产，查SSL证书里的子域名，翻GitHub历史提交记录找泄露的密钥。我曾在某个目标的GitHub仓库里翻到三年前的commit，里面硬编码了内网VPN的账号密码。那台VPN没开双因素认证，直接进了办公网。

还有个小技巧：看目标公司的招聘JD。如果他们在招“熟悉Kubernetes和Istio”的运维，大概率有容器化环境。招“熟悉Citrix虚拟化”的，可能用VDI。这些信息比扫端口有用得多。

初始访问：钓鱼不是唯一的路

外网打点常见路径就几条：VPN、OA、邮件系统、对外Web应用。VPN和OA的nday漏洞是重灾区。去年某行业集中爆发的某OA漏洞，我们帮客户做复测，发现他们虽然打了补丁，但边缘还有一台测试用的旧版本没下线。用同一个漏洞直接拿到了shell。客户运维说“那台机器早就不用了”，可它连着内网。

钓鱼邮件？效果越来越差。现在员工培训多了，看到“发票.zip”都知道是病毒。但如果是HR发的“薪资调整通知.pdf”呢？或者IT部门发的“VPN客户端升级通知”？社会工程学不是骗傻子，是骗人在特定场景下的惯性反应。

权限维持与横向移动：安静比快更重要

拿到第一个shell之后，别急着扫内网。先看当前机器的网络连接、ARP表、DNS缓存。判断自己落在哪个网段，是DMZ还是办公区。然后找凭据。Windows上用Mimikatz抓内存，Linux上看.bash_history、.ssh/known_hosts、配置文件里的明文密码。我见过运维把数据库密码写在/etc/my.cnf里，注释写着“方便管理”。

横向移动优先用Windows远程管理协议（WinRM）或SMB，因为流量看起来像正常管理行为。PsExec太吵，容易触发EDR。如果目标有LAPS（本地管理员密码解决方案），每台机器的本地管理员密码都不同，抓一台的哈希没用。这时候得找域管令牌，或者打AD CS（证书服务）。

痕迹清理与报告：别把客户当傻子

清理日志不是删掉所有东西。你删得越干净，蓝队越觉得有问题。合理做法是：清除你创建的用户、计划任务、服务，把修改过的配置改回去。日志方面，如果客户有SIEM，你删本地日志没用，不如留几条正常的登录记录混淆视线。

报告别写“发现高危漏洞若干”。客户要的是：你从哪进来的，经过了哪些机器，最终拿到了什么权限，哪些路径可以被蓝队用来检测。附上时间线、IP、命令行截图。我习惯在报告里加一节“如果我是防守方，我会怎么发现这次攻击”。这比堆CVSS评分有用得多。

红队渗透测试的终点不是拿下域控。是让客户的防守方知道，他们的盲区在哪。