拿下一台主机，渗透常用最快的渗透常用方式往往不是0day，而是渗透常用去翻运维的浏览器收藏夹。这话听着像段子，渗透常用但真做渗透测试时，渗透常用我至少有一半的渗透常用突破口都来自“人”而不是“系统”。

去年帮某制造业客户做内测，渗透常用扫了一圈，渗透常用防火墙策略严得跟铁桶似的渗透常用。后来我在他们HR的渗透常用公用电脑上，发现一个txt文件，渗透常用名字叫“密码备份勿删”。渗透常用里面躺着VPN账号、渗透常用邮箱密码、渗透常用甚至还有路由器管理密码，渗透常用全是明文。你说这技术含量高吗？一点不高。但就是管用。

所以聊渗透常用，我脑子里蹦出来的第一件事不是工具，而是信息收集的笨功夫。你连目标公司门卫大爷的姓名都不知道，就去打人家的WAF，那不叫渗透，叫撞运气。

常规打法其实挺枯燥的。子域名枚举、端口扫描、指纹识别，这三板斧抡完，才刚开始。我习惯先看80和443端口，不是别的，因为Web攻击面最宽。一个登录框，一套API文档，甚至一个静态资源文件没设权限，都可能变成入口。

记得有一次，目标站是个老旧的OA系统，版本号直接写在页脚。我连漏洞库都没查，直接拿那个版本号去搜公开的POC，十分钟不到就拿到了上传点。你猜怎么着？补丁打了，但没打全。过滤了asp，却忘了aspx。这种事儿太常见了。

再说说漏洞利用那点事。SQL注入现在少了，但也不是绝迹。更多的是逻辑漏洞——越权、验证码不失效、支付金额可改。这类问题工具扫不出来，得靠人肉去试。我见过最离谱的，是改个userid参数就能看到别人的订单详情，连加密都没做。那感觉就像捡到一把没锁的车钥匙，你甚至有点同情开发。

内网渗透就更讲究“猥琐发育”。拿到一台跳板机，别急着提权，先看网络连接、看进程、看历史命令。很多管理员习惯用同一个密码，你试一次，可能就横向移动了。还有arp欺骗、抓hash、Pass-the-Hash，这些老技术现在依然好用，因为域环境里的坑，十年了也没填平。

但我想说的是，工具永远是次要的。Nmap、Burp、Metasploit，这些谁都会装。真正拉开差距的，是你对业务的理解。一个电商站，你得琢磨它的积分兑换逻辑；一个工控系统，你得明白Modbus协议里的读写寄存器功能码。不懂业务，你连攻击点在哪都找不着。

有一次碰上个内网摄像头的管理系统，默认密码倒是改了，但固件老得掉渣。我翻了翻它的更新日志，发现有个远程命令执行的漏洞，官方在某个隐蔽的补丁说明里提了一嘴。那补丁下载链接还是http的，明文传输。我顺着那个链接，直接找到了漏洞触发的细节。这种信息差，比任何0day都值钱。

最后说个反常识的。很多新手喜欢一上来就上扫描器，轰隆隆扫半天，结果把目标搞得蓝屏，自己也暴露了。我现在的习惯是，先手动点开几个页面，看看功能、看看参数、看看报错信息。有时候一个报错页面泄露的绝对路径，比扫一万个端口都有用。

渗透测试说白了，就是一场心理博弈。你猜对方哪里会松懈，对方猜你会从哪里打。那些看似铜墙铁壁的系统，往往在角落里藏着一扇没关紧的窗。而你要做的，不是去撞墙，而是绕着墙走一圈，看看有没有人忘了锁门。