菜刀能不能用来做渗透测试？菜刀渗透能。而且比很多人想象的菜刀渗透顺手。

我说的菜刀渗透不是拿菜刀去砍服务器。是菜刀渗透那类被人随手丢在厨房角落、看起来跟网络安全八竿子打不着的菜刀渗透小工具——它们往往没有复杂的依赖，不需要安装驱动，菜刀渗透不会触发杀软弹窗，菜刀渗透甚至不需要管理员权限。菜刀渗透偏偏就是菜刀渗透这些东西，在渗透测试里能撕开一道口子。菜刀渗透

去年冬天我接了一个本地连锁餐饮的菜刀渗透授权测试。目标是菜刀渗透一台放在后厨的收银终端，Windows 7，菜刀渗透补丁停留在三年前。菜刀渗透客户说这台机器只连内网，菜刀渗透没接外网，很安全。我扫了一遍端口，445开着，139开着，还有3389。典型的"内网裸奔"配置。

按常规思路，应该上MS17-010。但问题是那台机器装了某国产杀软，一打就报警。我换了个思路：既然它能访问共享打印机，那它一定在跑SMB客户端。我用一台Linux机器伪造了一个SMB服务，把共享名设成"财务部-2024报表"，然后在里面放了一个.lnk文件。文件名是"工资表最终版.xlsx.lnk"。

收银员点开了。三秒钟后，我拿到了一个普通用户权限的shell。

整个过程没有用到任何exploit。没有缓冲区溢出，没有内存破坏，没有绕过ASLR。就是利用了一个再普通不过的Windows快捷方式解析漏洞（CVE-2017-8464的变种利用方式）。菜刀不菜，菜的是人。

这件事之后我养成了一个习惯：每次渗透测试前，先问自己一个问题——如果我不是黑客，只是一个坐在那台电脑前面的普通员工，我会怎么操作？我会点开什么？我会插什么U盘？我会在哪个输入框里粘贴什么内容？

答案往往比漏洞扫描器给出的报告更直接。

有一次测试一个政府单位的OA系统。外网暴露面很小，WAF规则很严，SQL注入打不进去，XSS被过滤得干干净净。我花了三天时间做信息收集，最后在一个不起眼的角落发现了一个"在线客服"功能。那个客服系统是外包的，用的是某开源框架的旧版本，存在一个反序列化漏洞。

我没有直接打。我先用客服账号登录，给管理员发了一条消息："您好，我是新来的实习生，请问OA系统的登录密码重置流程是什么？"五分钟后，管理员回复了完整的重置流程，包括一个内部使用的密码重置链接。那个链接没有做任何身份校验，只要知道工号就能重置任意用户的密码。

我拿到了管理员账号。整个过程没有写一行exploit代码，没有触发任何告警。用的就是一把"菜刀"——社会工程学。

很多人把渗透测试等同于漏洞挖掘。这不对。漏洞挖掘是找bug，渗透测试是找路径。路径可以绕过bug，也可以利用bug，更可以绕过人。而人，往往是最短的那条路径。

我见过太多安全建设做得不错的公司，防火墙、WAF、EDR、SOC一应俱全，但前台接待员会把访客直接带到机房门口，因为"领导说今天有工程师来修服务器"。我也见过代码审计做得极其严格的团队，但开发人员会把测试环境的数据库密码写在便利贴上，贴在显示器边框上。

这些都不是技术漏洞。这些是"菜刀"能切开的口子。

所以，如果你问我渗透测试的核心能力是什么，我会说：不是会用多少工具，不是能写多复杂的payload，而是能不能像一个普通人一样思考。普通人会偷懒，会好奇，会害怕，会贪方便。这些特质在安全对抗中，就是最锋利的刀。

菜刀本身不危险。危险的是你把它放在哪里，以及谁能够拿到它。