渗透测试这行当，渗透最不值钱的公开是工具，最值钱的渗透是“猜”。

去年帮一家电商公司做红队评估，公开对方部署了全套的渗透WAF、EDR、公开态势感知平台，渗透安全预算七位数。公开我蹲了两周，渗透突破口居然是公开一个老旧的ERP系统的打印接口——那台打印机是2012年的机型，固件从没更新过，渗透接口文档还挂在官方论坛上没删。公开我用一个伪造的渗透打印任务把内存打满，再溢出执行了一条whoami。公开系统里躺着几百万条用户数据，渗透加密字段用的是AES-ECB模式，相同明文永远产生相同密文。这不需要什么0day，只需要知道他们开发图省事。

真正的渗透课应该这样讲：先教你翻垃圾桶。别笑，物理渗透里，员工扔掉的便利贴、快递单、报销单，比任何扫描器都好使。我认识一个老前辈，专门蹲在写字楼垃圾桶旁捡废纸，三个月拼出一张完整的公司组织架构图，连带VPN账号的密码规律——他们财务部所有密码都是“部门缩写+入职年份+！”。你猜怎么着？第二周他就在那家公司的内网里看见了自己捡到的便利贴照片，被安全部门做成海报挂在墙上：“防人之心不可无”。

技术层面，SQL注入早就不该手测了。但你知道吗？现在最有效的注入点往往藏在导出功能里，因为导出报表的代码通常复用旧逻辑，而开发早忘了那个字段还连着数据库。我见过一家物流公司，他们查询运单的接口过滤了单引号，但导出Excel的接口没过滤——两个接口共用同一个参数名。用Burp改一下请求路径，把query换成export，注入就通了。这不是什么高深技巧，纯粹是开发流程的锅，但你就是得知道这种“接口之间的信任关系”才是漏洞富矿。

还有一类人觉得内网渗透就是拼命弹shell。错。内网里最安静的方式是“借用”已有的通道。比如邮件网关的自动转发功能——你拿到一个HR的账号，不用登录OA，直接在邮件规则里设一条“转发所有附件到指定邮箱”，然后等。三天后，你邮箱里躺着所有人的简历、社保明细、年度调薪表。没人会注意到规则变化，除非HR自己偶然点开设置页。这种攻击不产生任何流量特征，日志里只有一条正常的转发规则。

别迷信那些花里胡哨的C2框架。实战里，一个藏在JS文件里的加密WebSocket，比什么域前置都好用。但前提是你要懂目标网络出站流量的白名单——很多公司只放行443端口，但没过滤域名。你注册一个看起来像他们内部系统名的域名，比如“vpn-update.company.com”，配上合法的证书，流量就堂而皇之地出去了。这招我用了五年，成功率八成。

最后说个反直觉的事：最安全的系统往往是最难用的系统。但老板们不听，他们要的是“一键部署，三分钟上手”。所以渗透测试真正测的不是技术，是人性——开发图省事，运维怕麻烦，老板要KPI。你猜漏洞出在哪？出在所有人都在“赶进度”的那个周五下午。所以我的公开课从来不教具体的命令，只教你怎么在对方的“时间压力”和“思维惯性”里找那个缝。缝找到了，工具只是顺手的棍子。

渗透不是打打杀杀，是猜人心。工具更新换代，人心几百年没变过。

(责任编辑：时尚)