去年帮一家电商做渗透测试，渗透客户CTO拍着胸脯说“我们刚过等保三级，测试绝对没问题”。流程结果我们只用了两个下午，详细就从暴露在公网的渗透一个测试接口摸进了他们的订单数据库。这事说明一个道理：渗透测试不是测试拿着扫描器跑一遍就完事，它有自己严格的流程节奏和章法。

整个流程的详细起点其实在正式动手之前。你得先跟客户把范围敲死——哪些IP、渗透哪些域名、测试哪些业务系统允许测试，流程哪些碰都不能碰。详细我见过太多因为边界模糊惹出麻烦的渗透案例：测试人员顺手扫了同网段一台不属于范围的服务器，恰好那是测试客户合作方的生产环境，直接导致合同终止。流程所以授权书、测试窗口期、应急联系人，这三样东西缺一不可。客户还得提供测试环境的账号，或者至少告诉我们系统的基本架构，否则后面就是盲人摸象。

信息收集阶段最考验耐心。有人喜欢一上来就开扫描器，我不这么干。先手动翻一翻目标网站，看看robots.txt写了什么，有没有遗留的备份文件，HTML注释里是不是藏着内网地址。有次我在一个客户官网的JS文件里发现了一段被注释掉的API密钥，用那个密钥直接调通了他们内部的管理接口。这种活儿扫描器干不了，得靠眼睛和脑子。子域名枚举、端口扫描、指纹识别这些自动化手段当然要用，但前提是你已经对目标有了基本的“手感”。

漏洞探测是分水岭。初级测试人员拿到扫描报告就交差，高级的会手动验证每一个可疑点。比如扫描器报了一个SQL注入，你得亲自构造payload确认是不是误报，能不能真正读到数据。更关键的是漏洞组合——一个文件上传漏洞单独看可能只能传个图片，但结合路径穿越和解析漏洞，就能拿到webshell。我习惯在这个阶段画一张攻击路径图，把每个漏洞当成节点，看看哪条路能通到核心数据。

拿到初步入口之后，渗透测试才真正开始。提权、内网横向移动、权限维持，每一步都得小心翼翼。有次我们在客户内网发现一台运维人员的机器没打补丁，用MS17-010打进去之后，从浏览器保存的密码里翻到了域管理员凭据。整个过程像剥洋葱，一层一层往里走。但这里有个原则：只做必要的操作，不要为了炫技去动客户的业务数据。我见过有人为了证明能删库，真把测试环境的表给truncate了，这种就是职业素养有问题。

清理和报告往往被忽视。测试过程中上传的webshell、创建的账号、修改的配置，全部要恢复原状。报告不能只列漏洞名称和CVSS评分，得写清楚复现步骤、影响范围、修复建议，最好配上截图和请求响应报文。客户的技术团队看了能直接动手修，这才算合格。我习惯在报告最后加一节“攻击路径还原”，把整个渗透过程按时间线串起来，让客户明白单个漏洞不可怕，可怕的是漏洞之间的关联。

说到底，渗透测试的核心不是“黑掉”目标，而是帮客户看清自己看不见的风险。工具再强，也替代不了测试人员对业务逻辑的理解和对手法的持续积累。每次项目结束，我都会把新遇到的技巧和踩过的坑记下来——这个习惯比任何扫描器都值钱。