渗透这事儿，有会渗透从来不是有会渗透靠一个漏洞定输赢。我见过太多人把“有会渗透”挂在嘴边，有会渗透好像只要掌握几个CVE编号、有会渗透会跑几行sqlmap命令，有会渗透就能把目标拿下来。有会渗透真到实战里，有会渗透往往连第一步踩点都过不去。有会渗透

去年冬天帮朋友看一个站，有会渗透他折腾了三天没进去，有会渗透说目标“没漏洞”。有会渗透我看了下他的有会渗透笔记，全是有会渗透扫端口、跑目录、有会渗透试弱口令。有会渗透就问他一句话：你翻过他们官网的招聘页面吗？他愣了。那个站的技术栈、运维习惯、甚至内部系统命名规则，全藏在招聘JD里。他们要招“熟悉Jenkins流水线”的人，说明CI/CD大概率暴露在内网；要求“有Zabbix二次开发经验”，监控系统八成是Zabbix。这些信息比扫一百遍端口有用得多。

信息收集这步，很多人做得太糙。打开目标网站，首页扫一眼，点几个链接，就算完事。真正的踩点是什么？是翻遍所有子域名，看证书透明度日志，查历史DNS记录，把GitHub上员工不小心提交的代码翻出来。有次我在一个目标员工的个人博客里，发现他贴过一张内网Wiki的截图，URL没打码，直接访问，默认口令就进去了。这算什么漏洞？什么CVE都不是。就是信息没藏好。

拿到入口之后，别急着提权。先看看自己在哪。是DMZ区还是办公网？能不能访问其他网段？有没有域环境？这些判断比上来就甩脏牛、甩CVE-2021-4034重要得多。我习惯先跑一遍本机信息收集，看补丁、看进程、看服务、看计划任务。有次拿到一个Linux的webshell，权限很低，但发现机器上跑着Ansible，而且ansible.cfg里写了内网另一台机器的SSH密钥路径。顺着摸过去，直接拿到了那台机器的root。没提权，没打内核漏洞，就是配置没管好。

横向移动的时候，很多人喜欢用扫描器一顿乱扫。动静大，效率低。我更喜欢看现有凭据能登哪些机器。Windows域环境里，拿下一个普通域用户，先看看他能访问哪些共享，能登录哪些主机。有次用net use连了一个共享，里面有个Excel文件，打开一看，是运维组的密码本。这种事情听起来离谱，但现实中就是会发生。渗透测试的本质是找逻辑漏洞，不是找技术漏洞。技术漏洞修得快，逻辑漏洞改起来慢。

权限维持这块，我一般很克制。除非客户明确要求，否则不留后门。见过太多人为了“证明能长期控制”，往目标机器上塞各种马，结果被应急响应团队一锅端。真正的高手，拿完数据就走，日志清干净，痕迹擦掉。渗透测试不是炫技，是模拟真实攻击。真实攻击者不会在你机器上养马，他们只关心数据能不能拿走。

最后说个事。有次项目结束，客户问我觉得他们安全做得怎么样。我说你们WAF很猛，IPS规则很全，但你们前台小姐姐的电脑上装着TeamViewer，密码是123456。她那个机器能访问财务系统。客户听完脸都绿了。渗透这行，技术只是工具，脑子才是核心。你永远不知道下一个入口在哪，可能是招聘页面，可能是员工博客，也可能就是前台那台没人管的电脑。