渗透需要注意什么

干渗透这行，渗透最怕的需注不是目标系统有多难搞，而是渗透自己先把自己送进去。去年有个朋友接了个私活，需注客户给了个域名就让测。渗透他二话不说直接上扫描器，需注全端口扫、渗透目录爆破、需注漏洞探测一条龙。渗透结果第三天收到律师函——那IP段是需注某银行的，客户只是渗透租了其中一个子域做测试，边界根本没划清楚。需注这事最后赔了钱还留了案底。渗透所以渗透第一件事：授权范围必须白纸黑字写清楚，需注IP段、渗透域名、测试时间窗口、允许使用的技术手段，少一项都别动手。

很多人忽略的是，授权书签了也不代表万事大吉。你得确认签字的人有没有权限签。遇到过那种情况：甲方派了个技术主管对接，口头说“随便测”，结果测到核心业务系统触发了告警，甲方安全部门直接报警。后来才知道那个主管根本没权限授权核心系统。所以拿到授权后，最好再跟甲方的安全负责人或法务确认一遍，留个邮件记录。这不是不信任谁，是保护自己。

技术层面，信息收集阶段最容易暴露。有人喜欢用默认配置的扫描器，User-Agent写着“Nmap Scripting Engine”，流量特征明显得跟举着牌子说“我在渗透”一样。目标如果有IDS/IPS，第一轮扫描就被标记了。我的习惯是：先手动用curl和浏览器把目标摸一遍，看看响应头、robots.txt、sitemap，再决定要不要上工具。真要扫，也得改UA、限速、分时段。别小看这些细节，去年某次攻防演练，蓝队就是靠分析扫描器的TLS指纹把红队几个IP全封了。

漏洞利用环节，最忌讳“见洞就钻”。有个经典案例：测试人员发现目标存在Struts2远程命令执行，直接上了个反弹shell，结果那台机器是生产环境的数据库服务器，shell一弹直接把内存跑满，业务停了半小时。正确做法是先用whoami、id这种低危命令验证漏洞存在，确认是测试环境还是生产环境，再决定下一步。如果是生产环境，能证明漏洞存在就够了，别真去拖库或者提权。甲方要的是报告，不是你把生产搞崩。

权限维持这块，很多人喜欢留后门。Webshell、计划任务、SSH key，能留的都留上。但你想过没有，这些后门测试结束后你删干净了吗？我见过最离谱的，某渗透测试人员留了个Webshell，半年后被人利用当了跳板，追查下来责任全在他。所以测试结束后的清理工作必须做，而且要留清理记录。删了哪些文件、关了哪些端口、移除了哪些账号，一条条列出来给甲方确认。

还有一点经常被忽视：别用真实身份信息去注册账号。测试过程中如果需要注册用户，手机号、邮箱、姓名全用假的或者甲方提供的测试数据。有人图省事用自己的手机号收验证码，结果目标系统数据库泄露，他的个人信息也跟着流出去了。更麻烦的是，如果目标系统有日志审计，你的真实IP和身份信息全在里面，万一出事说不清。

最后说个实在的：渗透测试的本质是模拟攻击，但你不是真的攻击者。你的目标是帮甲方发现问题，不是炫技。能拿到权限当然好，拿不到但发现了风险点，报告里写清楚一样有价值。别为了证明自己厉害去删库、去篡改数据、去横向到不该到的地方。这行干久了就知道，技术好的人很多，但知道边界在哪的人，才能干得长久。