拿到一个目标站点，网站别急着掏扫描器。渗透思路先打开浏览器，测试把主站、网站子域名、渗透思路登录入口、测试API接口都点一遍。网站我见过太多人一上来就甩AWVS，渗透思路结果连后台路径都没摸清，测试报告里全是网站误报。渗透测试的渗透思路本质是模拟真实攻击者的思维，不是测试比谁工具跑得快。

信息收集这一步，网站决定了后面80%的渗透思路效率。Whois查注册邮箱，测试说不定能撞进社工库。DNS记录翻一遍，C段和旁站往往藏着没加固的老系统。Google hacking语法别只记site:和inurl:，试试`intitle:index.of`加上文件后缀，我曾在某教育机构站点翻出一个开放目录，里面躺着三份数据库备份。还有GitHub，搜`company.com password`，经常有开发把测试配置传上去。

子域名爆破用OneForAll或者subfinder，但字典得自己养。把目标官网的关于我们、招聘页面里的邮箱后缀扒下来，加进字典。泛解析要处理，否则跑出一堆垃圾。证书透明度日志（crt.sh）是宝藏，能直接捞出历史子域名，比爆破省事。找到子域后，先看HTTP响应头和favicon哈希，快速识别框架和资产归属。

端口扫描别只扫Top 100。nmap全端口加上`-sV -O`，但注意别把目标打挂。某次我对一个县级医院做测试，全端口扫描触发IPS告警，对方直接封了IP。后来改用masscan限速，只扫常见Web端口和高危服务端口。看到8080、8443、7001这些，优先测。Weblogic、Jenkins、Zabbix的未授权漏洞，在真实环境里一抓一个准。

漏洞挖掘阶段，手工测试永远优先于自动化。SQL注入别只丢sqlmap，先手动加单引号看报错。布尔盲注用`and 1=1`和`and 1=2`对比响应长度。XSS别光弹窗，试试``能不能绕过WAF。文件上传点，改Content-Type、加.gif后缀、用`filename="test.php%00.gif"`截断，老系统照样中招。逻辑漏洞更值得花时间——修改密码时抓包，把username改成admin，看能不能越权；订单金额改成负数，看能不能薅羊毛。

拿到低权限后，别急着提权。先翻配置文件，数据库密码、Redis密码、云AK/SK经常明文躺着。Linux提权看SUID和定时任务，`find / -perm -u=s -type f 2>/dev/null`，有异常二进制就查GTFOBins。Windows提权用PowerUp.ps1，或者直接`whoami /priv`看有没有SeImpersonate。内网横向用fscan扫一波，MS17-010和弱口令还是主流。代理穿隧道用frp或者Stowaway，别用ew，流量特征太明显。

最后写报告，别堆砌漏洞列表。按业务影响排序，一个能直接拿shell的SQL注入，比十个反射型XSS值钱。修复建议要具体，别写“加强输入验证”，写“在login.php第23行对username参数使用PDO预处理”。截图带Burp的请求响应，别只贴个弹窗。渗透测试的终点不是拿域控，是让甲方看懂风险在哪。