渗透测试这行，渗透外行看热闹，渗透内行看门道。渗透很多人以为渗透就是渗透拿个扫描器跑一遍，出来一堆漏洞报告就完事。渗透真不是渗透。扫描器能告诉你的渗透东西，大概只占整个过程的渗透百分之二十。剩下百分之八十，渗透靠的渗透是人盯着屏幕，一行行看，渗透一点点试。渗透

那渗透到底看什么？渗透

先看信息。目标网站用的渗透什么框架，什么版本，渗透有没有暴露的API接口，员工邮箱格式是什么，甚至对方公司在招聘网站上贴的JD里写了用什么技术栈——这些都是线索。我有个朋友做渗透，第一步从来不是打开Burp Suite，而是先去领英上翻目标公司员工的简历。一个后端工程师的简历里写了“熟悉Spring Boot 2.3”，那大概率他们的系统就跑在这个版本上。版本一确定，漏洞范围就缩小了一大半。

再看逻辑。技术漏洞好找，逻辑漏洞难缠。什么叫逻辑漏洞？举个例子，某电商网站的优惠券领取接口，前端限制了每人只能领一张，但后端没做校验。你把请求里的用户ID一改，就能无限领。这种漏洞扫描器根本扫不出来，因为它不知道你的业务规则是什么。你得自己去注册两个账号，对比请求，手动改参数，观察返回。这个过程没有任何自动化工具能替代。

还有配置。开发人员图省事，测试环境直接开公网，数据库端口3306裸奔，Redis没设密码。这些不是代码写错了，是运维疏忽。我见过最离谱的一个案例，某公司的生产数据库直接暴露在公网上，密码是“admin123”。这种问题不需要什么高深技术，一个端口扫描就能发现。但问题是，你得想到去扫。

人的因素也不能忽略。钓鱼邮件为什么老有人中招？因为攻击者研究过目标。他知道你最近在等一个快递，就发一封“您的包裹已到达”的邮件，附上一个看起来像快递单号的链接。你点进去，输入账号密码，完事。渗透测试里，社会工程学往往是最短的那条路径。技术再硬，人也可能被一封精心设计的邮件攻破。

最后看痕迹。渗透测试和真实攻击的区别在于授权，但过程类似。你做了什么操作，留了什么日志，有没有触发WAF告警，这些都得记录。有一次我在客户内网横向移动，刚扫了几个IP，对方的态势感知平台就报警了。客户打电话过来问是不是我们干的。这种时候你就知道，他们的监控是活的，不是摆设。

渗透看的东西很杂。信息、逻辑、配置、人、痕迹，每一样都得盯。工具能帮你省力，但替代不了判断。你面对的是一套活生生的系统，背后是活生生的人在维护。你得比他们更了解他们的系统，才能找到那条进去的路。

说白了，渗透就是一场信息不对称的博弈。你知道的比对方多，你就赢了。