去年冬天，漏扫渗透一个做电商的漏扫渗透朋友给我打电话，声音发颤。漏扫渗透他的漏扫渗透商城后台被人传了个webshell，数据库里三万条订单信息被拖走，漏扫渗透攻击者留了句话：你们那个优惠券查询接口，漏扫渗透参数没过滤。漏扫渗透他后来复盘，漏扫渗透问题出在半年前的漏扫渗透一次迭代——开发图省事，把预编译改成了字符串拼接。漏扫渗透上线前没人测，漏扫渗透上线后没人扫。漏扫渗透整整六个月，漏扫渗透那个注入点就挂在那里，漏扫渗透像一扇没锁的漏扫渗透后门，谁路过都能推一把。

这就是漏扫渗透最真实的模样。它不是什么高深莫测的黑客电影桥段，更多时候，它就是拿一把自动化工具，对着目标URL批量跑一遍已知漏洞的检测规则。Sqlmap跑注入，Xray扫XSS，Nuclei匹配CVE模板。快的话，一个中型站点十分钟出报告。慢的话，也就半小时。工具会告诉你：这里有个SQL注入，那里有个任意文件读取，后台登录接口没做速率限制。报告生成，漏洞列表拉出来，剩下的就是人工验证和利用。

但很多人搞反了顺序。他们先买扫描器，再想扫什么。正确的做法是反过来——先摸清资产。你有哪些域名、哪些IP、哪些端口开了什么服务、哪些服务跑了什么版本。这一步叫信息收集，占整个漏扫渗透流程的六成时间。我见过太多人跳过这步，直接拿扫描器怼主站，结果扫出一堆误报，真正的突破口在隔壁一个没人管的测试环境里，那个环境用的是三年前的Struts2，一打一个准。

工具再强，也替代不了人的判断。扫描器报了个“疑似SQL注入”，你去验证，发现是布尔盲注，但页面返回时间差异只有几十毫秒，工具误判了。另一个接口，扫描器没报，你手工测了一下，发现order by参数存在堆叠注入，因为工具的发包频率被WAF拦了。这些事，自动化搞不定。你得看响应包，看状态码，看返回内容的细微变化。有时候一个单引号丢进去，页面报错信息里直接吐出了数据库版本，那种快感，比中彩票还实在。

渗透环节更考验耐心。拿到一个注入点，别急着上sqlmap跑数据。先判断权限，看能不能读文件，能不能写文件，数据库用户是不是sa。如果是MSSQL的sa权限，直接xp_cmdshell提权，拿服务器。如果是MySQL的root，且secure_file_priv为空，写个webshell进web目录。这些操作，每一步都有日志，每一步都可能触发告警。所以老手会先确认目标有没有WAF，有没有HIDS，有没有流量镜像。没有的话，动作可以大一点。有的话，就得慢，就得像正常用户一样，一个请求一个请求地发。

我自己的习惯是，漏扫报告出来之后，先按危害等级排序，再按利用难度排序。远程代码执行排第一，SQL注入排第二，文件上传排第三。XSS和CSRF往后放，除非能组合利用。然后挑最容易打的那个点，花二十分钟尝试。打进去了，就停下来，写报告，通知客户。打不进去，换下一个。不恋战。很多人死在“再试一下”上，试到凌晨三点，触发了风控，IP被封，前功尽弃。

最后说个扎心的事实。大部分企业被渗透成功，不是因为攻击者多厉害，而是因为自己的资产清单都是错的。你以为你只有十个站，实际上子域名爆破出来三十个。你以为测试环境在内网，实际上它映射了一个公网端口。漏扫渗透的第一步，永远是搞清楚自己有什么。这一步做不好，后面全是白搭。