去年秋天，渗透我帮一家做跨境电商的测试朋友看他们刚上线的独立站。服务器日志里有个IP在三天内请求了2万多次，网站路径全是渗透/admin、/wp-login.php、测试/.env这类地方。网站朋友说没当回事，渗透以为是测试爬虫。我让他把那个IP段的网站请求记录拉出来——结果发现对方在尝试SQL注入，而且已经拿到了一个测试账号的渗透权限。这就是测试渗透测试要解决的问题：不是等被打了才反应过来，而是网站提前知道谁在敲门、门锁够不够结实。渗透

渗透测试网站，测试说白了就是网站合法地“黑”自己的站点。你雇一帮人，给他们授权，让他们用攻击者的思路去翻你的系统。跟漏洞扫描不一样，扫描器是拿着清单逐项检查，渗透测试是人盯着一个点往深处挖。扫描器告诉你“这个端口开着”，渗透测试的人会告诉你“这个端口跑的服务有反序列化漏洞，我能通过它拿到数据库的读写权限，顺便把你的用户表导出来”。

流程上没那么多花哨的。信息收集阶段最枯燥也最关键——子域名、目录结构、用的什么框架、有没有泄露的API密钥。我见过一个案例，测试人员从GitHub上一个离职员工两年前提交的代码里翻到了生产环境的数据库密码，那个仓库到现在还是公开的。这种事扫描器永远发现不了。

拿到信息之后就是找入口。登录框、上传接口、搜索参数、HTTP头里的自定义字段，任何一个接受用户输入的地方都可能是突破口。手工测试和工具辅助得配合着来。Burp Suite抓包改包是基本操作，sqlmap跑注入能省不少时间，但真正有意思的漏洞往往藏在业务逻辑里——比如修改订单价格时前端校验了但后端没校验，或者密码重置的token生成算法可以被预测。这些工具帮不上忙，得靠人去琢磨。

提权那块是分水岭。普通渗透测试人员拿到一个低权限shell就交差了，好的测试人员会继续找内核漏洞、配置错误、SUID文件，直到拿下root或者域控。我印象最深的一次是测试一个内部管理系统，从文件上传漏洞进去，发现web目录下有个.git文件夹没删，里面翻出了数据库配置，数据库又允许外连，最后直接连上去把整个库拖了下来。整个过程没用一个0day，全是配置疏忽。

报告怎么写比测试本身还重要。客户要的不是“你的网站有漏洞”这种废话，而是“这个漏洞在哪个URL、怎么复现、影响范围多大、修复建议是什么”。截图要带请求和响应，步骤要精确到每个参数。我习惯按风险等级排，高危的放最前面，每个漏洞配一个简短的修复方案。有些客户看不懂技术细节，那就再写一份管理层摘要，用业务语言说清楚“这个漏洞会导致用户数据泄露”或者“攻击者可以篡改订单金额”。

渗透测试不是一劳永逸的事。网站改版、加新功能、换服务器，都可能引入新问题。定期做，或者至少在大版本更新后做一次。别等到数据挂在暗网上才想起来找安全团队。成本远比你想象的低，而代价——看看那些被拖库的公司就知道了。