拿下一个网站，何渗七成靠的网站是信息收集，不是何渗暴力破解。我见过太多新手上来就扫端口、网站跑弱口令，何渗折腾半天一无所获，网站连目标用的何渗什么CMS都没搞清楚。

真实案例。网站去年有个客户找我做渗透测试，何渗一个地方论坛，网站看起来铁桶一块。何渗常规扫描没发现什么漏洞，网站WAF也开着。何渗我没急着硬碰，网站先去查了它的何渗域名注册信息，发现管理员邮箱是QQ号，顺藤摸瓜找到了他早年注册的博客。博客早不更新了，但评论区里他回复过一条技术问题，无意间透露了服务器用的宝塔面板，版本号都写出来了。

宝塔面板7.4.2，这个版本有个已知的未授权访问漏洞，直接可以读到数据库账号密码。我试了一下，果然没打补丁。拿到数据库后，改了管理员密码，后台登录，上传木马，整个过程没触发任何告警。你看，问题从来不在防火墙多强，而在人留下的痕迹。

信息收集要分三层。第一层是被动收集，不碰目标一根汗毛，只用搜索引擎和公开数据库。Google搜site:target.com filetype:sql，运气好能直接找到备份文件。GitHub上搜目标公司名，经常能翻到员工上传的配置文件，里面有数据库密码或者API密钥。第二层是主动探测，这时候才上工具，但也别急着扫端口。先看网站指纹，用Wappalyzer识别出用了什么框架、什么中间件，再去查对应版本的历史漏洞。

第三层最容易被忽略——供应链。目标网站本身硬得像石头，但它的第三方插件、CDN配置、甚至客服系统的外包商，往往漏洞百出。我遇到过一家电商平台，主站安全做得滴水不漏，结果它的在线客服系统是外包给第三方做的，那个第三方用的是一个早已停止维护的开源客服软件，SQL注入直接打穿，顺带把主站的用户订单数据也拖了出来。

技术层面，SQL注入依然是头号杀手。别觉得老套，现在很多开发用ORM框架就以为安全了，但拼接查询的地方依然存在。报错注入、布尔盲注、时间盲注，一套组合拳下来，能拿数据就尽量别上传文件——上传文件动静太大，容易触发日志告警。

XSS也不容小觑。很多人觉得XSS只能弹个窗，没杀伤力。但配合会话固定攻击，或者窃取管理员Cookie，就能直接接管后台。有个技巧，如果目标网站允许上传SVG图片，SVG里可以嵌JavaScript，上传一个恶意SVG，等管理员预览时就能执行脚本。

文件上传漏洞就更直接了。先试着传一个正常的jpg，再改后缀为php或jsp，如果服务器不校验文件内容，你就拿到webshell了。但要注意，现在的WAF都会拦截常见的一句话木马，绕过方法也简单——用图片马，把恶意代码藏在图片的EXIF信息里，再用文件包含漏洞去调用它。

渗透测试到最后，拼的其实是耐心。有一次我卡在一个政府网站上三天无进展，所有常规手段都试遍了。第四天凌晨，我随手测试了一下它的子域名，发现有个测试站点没做访问控制，直接暴露了后台登录页，密码还是默认的admin/admin。进去一看，竟然连着内网的主数据库。

所以别迷信工具，也别迷信所谓的高级漏洞。真实世界的渗透，往往就是一层窗户纸，捅破它的不是技术，是你肯不肯花时间把目标摸透。