渗透授权书

拿到那份《渗透授权书》的渗透授权书时候，老陈盯着“授权方”三个字看了很久。渗透授权书他不是渗透授权书第一次签这种东西，但这次不一样——授权范围里写着“可对目标网络进行持续性渗透，渗透授权书包括但不限于数据窃取、渗透授权书权限维持、渗透授权书供应链投毒”。渗透授权书落款是渗透授权书某省厅网安总队，盖章鲜红。渗透授权书

这玩意儿说白了，渗透授权书就是渗透授权书一张合法的“入侵许可证”。没有它，渗透授权书你碰别人服务器就是渗透授权书犯罪；有了它，你干同样的渗透授权书事叫“授权测试”。区别只在于那张纸。渗透授权书

老陈干这行八年，前五年在乙方做渗透测试，后三年跳到甲方。他跟我讲过一个案子：某次攻防演练，他带着三个人打了三天，从外网打点摸到域控，最后拿到核心数据库的shell。复盘会上，客户的安全负责人脸色铁青，因为老陈用的入口是一个三年前就该修没修的VPN漏洞，而那个漏洞的补丁，客户IT部门一直说“排期在下个季度”。

“授权书救了他。”老陈说，“要是没那张纸，我进去的那一刻，他就得报警。”

但授权书不是护身符。去年有个同行，拿着授权书去测某政务云，结果手滑把生产环境的数据库锁了。授权书里写的是“测试环境”，他越界了。最后没判刑，但赔了钱，公司也把他开了。授权书上每个字都是边界，越线就是另一回事。

我见过最细的授权书，附件有十七页。目标IP段、允许使用的工具、禁止触碰的子系统、每日操作时间窗口、甚至规定了“不得在目标系统内留存任何非测试用文件”。签之前，法务过了三遍。那家公司的安全总监说：“这不是不信任，是保护双方。真出了事，这张纸就是唯一能说清楚的东西。”

反过来，我也见过糊弄的。某次项目，客户直接甩过来一份两页纸的授权，目标写的是“公司全部网络资产”，时间“自签署之日起一年”。我问他：“你确定？这意味着我一年内可以随时进你任何系统。”他愣了一下，说：“你们不是专业的吗？”专业不代表可以随便进。授权书的核心不是“允许你做什么”，而是“明确你不能做什么”。没有边界的授权，等于没授权。

老陈后来自己创业，接了个小银行的单子。签授权书那天，银行科技部老总亲自改了三处：把“可读取敏感数据”改成“可读取脱敏后样本数据”；把“权限维持”删了；加了一条“所有操作需双人复核并录屏”。老陈说，改得好。那老总懂行。授权书不是给渗透测试人员行方便，是给甲方自己留后路。

这行干久了，你会发现一个怪现象：越是安全做得好的公司，授权书越厚、越细、越难签。反倒是那些安全一塌糊涂的，授权书随手就盖。因为他们根本不知道风险在哪。

那张纸背后，其实是一整套信任机制。甲方信乙方不会乱来，乙方信甲方不会事后翻脸。而信任的前提，是双方都清楚边界在哪。授权书就是那个边界。它不浪漫，不酷，甚至有点官僚。但没有它，这行一天都转不下去。

老陈最后跟我说了一句话：“渗透授权书这东西，签的时候觉得麻烦。真出了事，你恨不得它再厚一点。”