黑进一家银行的渗透内部系统，最快的测试方法往往不是写代码，而是渗透给前台打个电话。

去年我参与某金融企业的测试红队项目，测试组凌晨三点往对方运维值班室扔了一封钓鱼邮件，渗透标题是测试“季度奖金调整通知”。三分钟后，渗透一个睡眼惺忪的测试运维小哥点了附件。整个内网在四十分钟内失守——全程没有利用任何0day漏洞。渗透这就是测试渗透测试的第一课：人，永远是渗透链条上最薄弱的环节。

真正的测试渗透测试方法论，通常从情报收集开始。渗透这一步决定了你后续所有动作的测试可行性。被动收集远比主动扫描重要——查WHOIS信息、渗透搜GitHub上泄露的代码片段、翻招聘网站看对方用什么技术栈、甚至去LinkedIn找员工简历里写过的内部系统名称。主动扫描反而容易暴露，Nmap扫一次全端口，对方的IDS立刻会响。我曾见过一个测试员，信息收集做了两周，实际攻击只用了半天，因为他在对方一个废弃的子域名里找到了可读的备份文件。

漏洞扫描是第二步，但别指望自动扫描器能告诉你真正的攻击路径。Nessus扫出来的高危漏洞，在真实环境中往往因为WAF或补丁而无效。真正有效的做法是“手工验证”——扫描器报了个SQL注入，你得自己拿Burp Suite反复构造payload，确认能不能绕过过滤规则。去年我测一个政府网站，扫描器报了十几个SQL注入点，结果手工测下来只有一个能用，而且那个注入点藏在JSON参数里，扫描器根本没报。

漏洞利用阶段讲究“最小权限渗透”。拿到一个webshell后别急着提权，先看看当前用户能读到什么。很多系统设计者把安全边界画在应用层，却忘了数据库服务器和文件服务器在同一个内网段。我习惯先翻配置文件，数据库密码、Redis密码、SMTP账号往往都明文写在里面。拿到数据库权限后，别直接拖数据，先看看有没有存储过程能直接执行系统命令——SQL Server的xp_cmdshell虽然默认关闭，但有些DBA为了图方便会开着。

内网横向移动才是真正考验技术的地方。Windows域环境里，Mimikatz抓取明文密码是常规操作，但新版系统都启用了Credential Guard。改用Kerberoasting攻击——请求服务票据，离线破解服务账户密码，成功率反而更高。Linux环境则要盯SSH密钥，很多管理员会把私钥放在用户目录下用弱权限保护。有一次我就在对方一个开发机的.bash_history里找到了root密码，因为那个开发人员用echo管道方式输密码执行sudo命令。

后渗透阶段最容易被忽视的是痕迹清理。很多测试员拿到权限就得意忘形，忘了改回注册表里改过的键值，或者没删干净上传的脚本。真正的渗透测试报告里，客户最在意的不是你攻破了什么，而是你留下了多少“打扫不干净”的证据——这直接反映攻击者的专业度。有一次我故意在对方一台服务器上留了个后门文件，文件名模仿系统日志，结果客户的安全团队两周后复查时还是没发现。这个案例后来写进了报告，对方CTO当时脸都绿了。

最后说说物理渗透和社工。别小看这两个方向，很多大型企业网络防御固若金汤，但门禁系统用的是老式感应卡复制器。我认识一个白帽，专门测试办公楼物理安全，他会在早上八点跟着上班人流混进大楼，然后假装找厕所，在走廊里用手机拍下IT机房的钥匙型号——那种普通的AB锁，用锡纸开锁工具三十秒就能打开。社工测试更简单，直接冒充新来的IT外包人员，打电话给IT部门说“我的域账号被锁了，麻烦重置一下密码”。成功率出奇地高。

渗透测试没有银弹。每一个目标都是独特的，方法论只是骨架，真正的血肉在于你对目标业务逻辑的理解。最有效的攻击路径，往往藏在对方最自信的地方——比如他们觉得内网隔离做得够好，所以数据库密码用了“Admin@123”。