web渗透测试说白了就是渗试模拟黑客攻击，找漏洞。透测但别误会，内容它不是渗试拿个扫描器跑一遍就完事。我见过太多人把渗透测试等同于用AWVS扫一圈，透测然后导出一份满是内容“中危”“高危”的PDF交差。那叫漏洞扫描，渗试不叫渗透测试。透测真正的内容渗透测试，核心在于“验证”——漏洞能不能被真正利用，渗试能造成多大破坏。透测

拿一个真实案例来说。内容某电商网站的渗试用户登录接口，扫描器只报了个“未设置验证码”。透测听起来不痛不痒。内容但渗透测试人员手动试了一下，发现账号锁定机制也有问题：输错五次密码锁定，但锁定只针对当前IP。换代理IP继续爆破，密码字典跑了两小时，直接进了三个管理员账号。这就是扫描器和渗透测试的区别。扫描器告诉你“有扇门没锁”，渗透测试告诉你“门没锁，而且推开就能进金库”。

信息收集：渗透测试的七成工作

很多人一上来就对着目标IP狂扫端口。方向错了。信息收集才是渗透测试里最耗时间、也最出成果的环节。我习惯先从公开渠道入手：whois查注册邮箱、子域名枚举、GitHub上搜目标公司的代码仓库、LinkedIn上找员工名单。这些东西组合起来，能画出目标的网络拓扑和人员结构。

举个例子。有一次目标公司的主站防护很严，WAF拦得死死的。但我在他们的招聘页面里发现一个测试环境的子域名，用的是同一套代码但没上WAF。从那个测试站拿到数据库配置，再横向到主站，整个过程没触发任何告警。信息收集做得好，渗透路径自然就出来了。

漏洞利用与权限提升

找到入口只是开始。拿到一个低权限的webshell之后，要做的事很多：提权、抓密码哈希、找内网可达的其他机器。Windows环境下，我习惯先看补丁情况，再用PowerUp或者WinPEAS跑一遍。Linux下就是sudo -l、SUID文件、cron任务这些老三样。但别死记工具，思路比工具重要。

有个细节值得说。很多渗透测试报告里写“成功获取服务器权限”，但没写清楚这个权限能干什么。是只能读文件，还是能执行命令，还是能直接连数据库？权限的粒度决定了风险等级。一个只能读/etc/passwd的漏洞和一个能执行任意命令的漏洞，完全不是一个量级。

后渗透与痕迹清理

拿到权限之后，客户通常要求验证能走多远。这时候要建隧道、做内网扫描、找域控。但有一条红线：不能碰生产数据。我见过有人渗透测试时把客户数据库删了，理由是“验证备份恢复流程”。这不是渗透测试，这是破坏。

痕迹清理这块，说实话在授权测试里不太需要做。客户要的就是你留下记录，方便他们溯源和修复。但理解攻击者怎么清痕迹，对防御方有价值。比如Windows事件日志被清除时会产生ID 1102，这个信号本身就能触发告警。

报告：渗透测试的最终交付物

报告写不好，前面全白干。我写报告有个原则：每个漏洞必须包含复现步骤、影响范围、修复建议。复现步骤要细到“点哪个按钮、输什么参数”，让开发人员能照着复现。影响范围要写清楚“这个漏洞能获取哪些数据、能控制哪些系统”。修复建议不能只写“升级版本”，得写“升级到具体哪个版本，或者临时打哪个补丁”。

最后说个观察。很多公司做渗透测试是为了过等保或者应付检查。这种心态下，渗透测试变成走流程。但真正有价值的渗透测试，是攻击者和防御者之间的对话。测试人员用攻击者的思维找问题，防御方根据报告补短板。一轮下来，防御能力实实在在提升。这才是渗透测试该有的样子。