凌晨两点，渗透用我盯着屏幕上那个跳动的渗透用光标。目标服务器的渗透用登录框安静地躺在那里，像一扇虚掩的渗透用门。这不是渗透用电影里那种噼里啪啦敲键盘的场面——真正的渗透测试，九成时间都在等。渗透用等扫描器跑完，渗透用等字典撞开密码，渗透用等管理员犯一个微小的渗透用错误。

上周接了个政府单位的渗透用单子。客户很客气，渗透用说系统刚上线，渗透用想看看有没有漏洞。渗透用我用nmap扫了一圈，渗透用80端口开着，渗透用跑的是某国产中间件。版本号一出来，心里就有数了——CVE-2020-xxxx，反序列化远程代码执行，补丁打了但没打全。这种漏洞就像老小区的防盗门，锁芯换了，但门框还是松的。

我写了段Python脚本，往那个接口塞了条payload。三秒钟后，服务器回了个shell。那一刻有种奇异的快感，像用一根铁丝捅开了邻居家的信箱——明明知道不犯法，手还是有点抖。我截了个图，记下时间，然后干净利落地退出。剩下的交给报告，那里会写清楚：某路径存在未授权访问，建议升级版本并加固配置。

干这行久了，你会发现漏洞跟人一样，有性格。有的漏洞很“莽”，直接给你数据库权限；有的很“阴”，藏在某个上传接口里，等你传个图片马上去；还有的特别“懒”，管理员设了个admin/admin，连猜都懒得猜。最气人的是那种逻辑漏洞——比如找回密码功能，验证码不失效，你拿同一个码刷一百次，总有一次能撞上。

但渗透测试跟黑客攻击最大的区别，不是技术，是分寸感。我们像带着手铐的盗贼，钥匙在自己手里，锁打开看一眼就得退出去。上个月有个同行，测试电商平台时手一滑，删了人家一条订单数据。虽然客户没追究，但圈子里传开了，名声坏了，以后谁还敢找你测？

真正的门道在报告里。漏洞描述要精确到URL和参数，复现步骤得让客户的技术员照着做能还原，修复建议不能光写“打补丁”——你得告诉他补丁可能影响哪些业务，要不要先在测试环境过一遍。有时候客户看完报告会问：这漏洞危害大吗？我说大不大看运气，但你要是不修，就等于把家门钥匙挂在门口，路过的人都能拧一下。

凌晨三点半，我关掉终端，把那台服务器的IP从笔记里划掉。窗外黑漆漆的，只有远处写字楼还亮着几格灯。不知道那里面有没有人也在对着屏幕发呆，想着某个端口后面藏着什么。渗透测试这活儿，说白了就是替别人家的门锁试试手感，顺手把坏锁换掉。至于那些真想着撬门进去的——他们从来不看报告。

(责任编辑：焦点)