三级等保测评里，保渗渗透性测试是透性硬指标，不是测试可选项。去年有个客户，保渗系统过了等保二级，透性今年业务升级要过三级，测试测评机构直接甩了一份渗透测试报告要求，保渗没有这个，透性测评结论别想拿“良”以上。测试他问我：不就是保渗扫个漏洞吗？我告诉他，等保三级要求的透性渗透测试，跟你随便下个扫描器跑一圈，测试完全是保渗两码事。

先说清楚一个事：等保三级渗透测试，透性测的测试是“有没有被真实攻破的可能”，不是“有没有装补丁”。测评机构看的是渗透过程能不能复现、风险路径能不能闭环。我见过太多报告，列一堆漏洞名称，CVSS评分写得漂漂亮亮，但连个完整的攻击链都串不起来。这种报告交上去，测评老师翻两页就搁一边了。

具体怎么测？分两个层面。应用层和主机层。应用层就是Web系统、API接口、移动端APP这些。主机层是服务器、数据库、中间件。等保三级要求两边都覆盖，而且要有深度。举个例子，SQL注入，不是说你用sqlmap跑出个注入点就完事了。得手工验证，能不能脱库，能不能提权，能不能通过这个点横向移动到内网其他机器。去年一个政务系统，扫描器报了个低危的XSS，我们手工跟进去，发现通过这个XSS能拿到管理员Cookie，然后进后台直接上传Webshell。最后定级成了高危。扫描器给的是低危，差了两个级别。

工具这块，别迷信自动化。Burp Suite、AWVS、Nessus、Nmap这些是基础配置。但真正出结果的，是手工测试。比如逻辑漏洞，越权访问、支付篡改、验证码绕过，自动化工具根本测不出来。有个电商客户，等保三级渗透测试时，我们注册两个账号，A账号能通过修改订单ID直接查看B账号的收货地址和手机号。这种水平越权，扫描器报告里一个字都不会提。但等保测评里，这属于“访问控制缺陷”，直接扣分。

还有一点，等保三级渗透测试必须做“攻击路径还原”。什么意思？就是从外网入口开始，一步步打到核心数据区，把每一步的截图、请求响应、时间戳都记录下来。测评机构要看的不是“存在某个漏洞”，而是“这个漏洞能被利用到什么程度”。我习惯用Kali Linux做攻击机，配合Cobalt Strike做内网横向。但注意，所有操作必须在授权范围内，测试前签好授权书，测试中控制影响，测试后清理痕迹。别测着测着把客户生产环境搞挂了，那就不是过等保，是过事故了。

报告怎么写？别堆砌漏洞列表。按攻击链组织。入口点、利用过程、影响范围、修复建议。修复建议要具体，别写“建议修复该漏洞”，要写“在/api/v1/order接口的id参数处增加当前用户身份校验，使用预编译语句替换字符串拼接”。测评老师看的是可操作性。我见过一份报告，修复建议写了三页，每条都精确到代码行和配置文件路径，测评机构直接给了高分。

最后说个现实问题：等保三级渗透测试，不是测一次就完事。系统有重大变更、新增模块、或者测评周期到了，都得重新测。有个金融客户，每季度做一次渗透测试，持续了两年。他们的安全负责人跟我说，第一次测出47个漏洞，现在稳定在个位数。这不是为了应付等保，是真正把安全做进了开发流程。等保三级是个门槛，但渗透测试的价值，在门槛之外。