内容摘要：一个做安全的朋友上周发来一张截图，某台暴露在公网的服务器上，攻击者从上传webshell到提权成功，总共花了不到四分钟。四分钟。我泡碗面的时间都不够。这事让我想写点东西，把渗透测试这件事拆开来讲讲——

一个做安全的渗透大全朋友上周发来一张截图，某台暴露在公网的渗透大全服务器上，攻击者从上传webshell到提权成功，渗透大全总共花了不到四分钟。渗透大全四分钟。渗透大全我泡碗面的渗透大全时间都不够。这事让我想写点东西，渗透大全把渗透测试这件事拆开来讲讲——不是渗透大全教科书那种讲法，而是渗透大全按实际发生的逻辑走一遍。

信息收集：比你想的渗透大全笨，也比你想的渗透大全细

很多人以为渗透测试上来就是一顿工具猛扫。实际上第一步往往很枯燥——收集目标的渗透大全信息。域名、渗透大全子域名、渗透大全IP段、渗透大全邮箱、员工姓名、技术栈版本号，能拿的全拿。

我见过一个案例，攻击者从目标公司官网的招聘页面里翻到了“熟悉Struts2框架”的岗位要求，推断对方在用Struts2，然后直接去找对应版本的已知漏洞。省了多少事？这就是信息收集的价值。它不是技术活，是耐心活。

子域名爆破是常见手段。一个主站可能防得滴水不漏，但某个被遗忘的测试子域名还跑着三年前的旧版本CMS。这种事太常见了。DNS记录、证书透明度日志、GitHub上不小心提交的配置文件——信息泄露的渠道多得让人头疼。

漏洞探测：工具是拐杖，脑子才是腿

拿到资产清单之后，开始找入口。漏扫工具会跑一遍，但别指望它解决所有问题。AWVS、Nessus这些能帮你发现一些明显的问题，比如过期的组件、配置错误、已知CVE。但逻辑漏洞、权限绕过、业务层面的问题，工具看不出来。

手工测试才是核心。一个登录接口，试试SQL注入、试试弱口令、试试验证码能不能复用、试试返回包里的用户ID能不能越权访问别人的数据。这些都是工具不会替你想到的。

有个细节值得说：HTTP响应头里泄露的中间件版本、报错页面暴露的绝对路径、Cookie里没加HttpOnly标志——单看都是小事，串起来就能拼出一条完整的攻击链。

打点与提权：从一脚踩进去到站稳

找到漏洞只是开始。上传webshell、拿到一个低权限的shell，这只是“打点”。真正的难点在于提权——从www-data变成root，从普通用户变成域管理员。

Linux提权常见路子：SUID文件配置不当、计划任务可写、内核版本有脏牛漏洞。Windows这边，服务权限配置错误、未打补丁的本地提权漏洞、凭证窃取。Mimikatz抓密码这种事，在域环境里几乎是标配操作。

横向移动也得提。拿到一台机器不等于拿到整个网络。内网里翻凭证、找配置文件里的数据库密码、用PsExec或者WMI远程执行——这些操作的目的是扩大控制面。域渗透里，Kerberoasting、AS-REP Roasting、黄金票据这些技术，每一个都够写一篇文章。

痕迹清理与报告：最容易被忽略的环节

真实攻防里，攻击者会清理日志。渗透测试里，你也要记录自己做了什么，但目的不同——你是为了写报告。

报告这东西，写得烂的满大街都是。把漏扫结果导出成PDF交上去，那不叫报告，那叫敷衍。好的报告要说清楚：漏洞怎么发现的、利用过程是什么、影响范围多大、怎么修复。修复建议要具体到配置项和代码行，别写“加强安全意识”这种废话。

我个人的判断是，渗透测试的核心能力不是会用多少工具，而是理解系统怎么运转的。你知道HTTP请求怎么走的、操作系统权限怎么设计的、数据库怎么认证的，你才能想到别人想不到的切入点。工具会过时，漏洞会修补，但底层逻辑不会变。

这行当里，好奇心比技术栈重要。看到一个登录框就想试试admin/admin，看到一个URL参数就想改改数字看看返回什么——这种本能的怀疑精神，才是渗透测试真正的起点。