很多人以为网络渗透就是网络敲几行命令、弹个shell、渗透拿个root，技术介完事。容简真干过这行的网络人知道，那只是渗透最后五分钟的高光时刻。前面几十个小时的技术介踩点、试探、容简失败、网络重来，渗透才是技术介日常。

渗透测试的容简本质，是网络在授权范围内，用攻击者的渗透思路去发现系统里那些“不该存在的东西”。一个没关的技术介调试接口、一条忘记删的测试账号、一处把用户输入直接拼进SQL语句的代码——这些东西平时安安静静躺在那里，直到有人去戳它。

信息收集：比你想的枯燥得多

拿到一个目标域名之后，第一步不是扫端口，是“看”。看什么？看这个组织在互联网上留下了什么痕迹。员工的领英页面会暴露技术栈，GitHub上误传的配置文件可能带着内网IP，招聘启事里写着“熟悉Struts2框架”——这基本等于告诉你往哪个方向挖。

我见过一个案例：某公司的渗透测试，最后入口不是技术漏洞，而是一份公开的PDF招标文件。文件属性里保留了作者的用户名，这个用户名和VPN登录名一致，密码是公司名加年份。社工库一查，之前某次数据泄露里出现过这个密码组合。

信息收集做得好，后面的路会顺很多。做得差，你就只能对着WAF硬碰硬，那基本是自讨苦吃。

漏洞利用：没有银弹

有人觉得渗透就是打开Metasploit，搜个exp，打进去。现实是，大部分时候你面对的是一个打了几年补丁、上了WAF、内网做了分段的系统。现成的exp打过去，要么被拦，要么目标根本不存在那个漏洞。

真正有用的往往是逻辑漏洞。比如密码重置功能，验证码返回在HTTP响应里；比如越权查看订单，把order_id从1001改成1002就能看到别人的收货地址。这类问题扫描器扫不出来，靠的是手工测试和对业务的理解。

有个细节值得说：很多渗透测试人员习惯用Burp Suite的Repeater反复改参数，但真正高效的做法是先完整走一遍业务流程，把每个请求记录下来，然后离线分析哪些参数可能存在问题。在线改一个测一个，效率太低。

权限维持与横向移动：拿到一台机器只是开始

拿下Web服务器之后，你会发现它在DMZ区，能连数据库，但连不上域控。这时候需要做的是代理转发、隧道搭建、凭据抓取。Mimikatz抓到的NTLM hash能不能复用？内网里有没有共享的管理员密码？这些问题的答案决定了你能不能继续往里走。

横向移动最怕的是触发告警。有些内网部署了EDR，你刚跑个whoami就被盯上了。所以老手会尽量用系统自带的工具——WMI、PowerShell、计划任务——这些合法工具的行为和正常运维很难区分。

报告：最容易被忽视的环节

技术再强，报告写不清楚等于白干。客户要的不是你拿了几个shell，而是“我的系统到底哪里有问题、怎么修”。一份好的渗透报告，漏洞描述要让开发看得懂，修复建议要具体到代码层面，风险等级要有业务视角的判断。

我见过把“SSRF漏洞”写成“服务器端请求伪造漏洞，可导致内网探测”的报告，客户看完问“所以呢？”也见过把同样的问题写成“攻击者可以利用这个功能读取内网Redis数据，进而写入SSH公钥获取服务器权限，建议对URL参数做白名单校验，禁止访问169.254.0.0/16和10.0.0.0/8网段”——后者才是客户需要的。

渗透测试不是炫技。它的价值在于，在真正的攻击者之前，把那些藏在角落里的问题翻出来，然后修掉。