一个礼拜五的渗透下午，客户突然打电话说他们的测试程核心业务系统被人搞了，数据库里被塞进了一个勒索提示文件。渗透我赶到现场，测试程发现对方运维已经把服务器断网了，渗透所有日志都停在断网前十分钟。测试程这种场景我见过太多次了——应急响应做得越急，渗透越容易把攻击痕迹毁掉。测试程但今天不谈应急，渗透谈正事：渗透测试到底是测试程怎么一步步走完的？
第一步叫信息收集，说白了就是渗透“踩点”。不是测试程拿扫描器乱扫一通，而是渗透先搞明白目标到底暴露了多少东西。比如你公司的测试程官网，看起来就是渗透个静态页面，但你可能不知道它的子域名里有个测试环境，用的是默认密码。我常用的手法：先从证书透明度日志里扒子域名，再从GitHub的公开代码里搜敏感信息。有一次，我甚至在一个招聘页面的源码注释里找到了内网IP段。这一步没有固定套路，拼的是耐心和想象力。
接着是漏洞扫描和枚举。这时候工具开始上场，Nmap扫端口，Burp Suite抓流量，但工具输出只是线索，不是结论。你扫出来一个Apache版本，不代表它真有漏洞，得结合版本号和已知CVE去判断。更关键的是，你得看这个服务是不是真的暴露在公网。很多公司把管理后台绑在3xxx端口上，还开了访问控制，但防火墙规则配错了，照样能被绕过。我见过最离谱的一次，某厂商的WAF只拦截了GET请求，POST请求直接放行——这哪是防护，分明是摆拍。
漏洞确认之后，进入利用阶段。这一步要克制，不是拿到shell就算赢。比如你发现了一个SQL注入点，可以拖库，但更聪明的做法是先看这个数据库账号的权限。如果它是DBA，那你就能尝试写文件到web目录，直接拿webshell；如果只是普通用户，那不如先翻翻其他库，找找更有价值的东西。真正的攻击者不会一上来就放勒索病毒，他们会安静地潜伏，摸清你的业务逻辑。我做过一次测试，目标是家电商平台，从注入点到后台只用了半小时，但后台里有个订单导出功能，能下载所有用户的收货地址和手机号——这才是最要命的。
拿到权限后，下一步是权限提升和横向移动。别以为Linux服务器就一定安全，我见过太多root账号开着弱口令，或者sudoers配置里写着NOPASSWD: ALL。Windows域环境更麻烦，Kerberos的委派攻击、MS17-010的永恒之蓝，都还是老套路，但依然有效。有一次我进了一个域控，密码哈希直接抓出来，整个公司两万台机器随便登。当时我就想，这公司安全预算花哪去了？
最后一步是报告和复盘。这一步最容易被低估。渗透测试不是把漏洞列出来就完事，你得告诉对方哪个漏洞最致命，修复优先级怎么排。比如一个低危的目录列举漏洞，如果配合上文件上传点，可能直接变成高危。报告里还得写清楚复现步骤，不然客户拿去给开发看，开发只会回一句“我这边复现不了”。我习惯在报告里附上截图和请求包，甚至把利用脚本也贴进去——不是为了炫技，是让对方知道问题确实存在。
整个流程走下来，快的话一两天，慢的话几周。但真正的关键在于，你得时刻提醒自己：你不是在打靶场，而是在真实环境里。每一次探测、每一次利用，都可能触发告警，甚至影响业务。所以，每一步都得留好记录，做好回滚方案。毕竟，测出漏洞是本事，测完没把系统搞崩，才是真功夫。