渗透测试（Penetration Testing）是企业检验自身安全防护水平最直接、最有效的手段。通过模拟真实攻击者的手法和路径，发现系统中的安全漏洞，并给出修复建议。本文从实战角度出发，梳理一次完整渗透测试从信息收集到漏洞利用的核心技术路径。
一、信息收集——渗透测试的根基
信息收集是渗透测试中最关键也最容易被低估的环节。信息收集的质量直接决定了后续攻击路径的有效性。
信息收集可以分为主动收集和被动收集两类。
被动收集不直接与目标系统交互，主要通过公开渠道获取信息。常用的手段包括：通过搜索引擎语法（Google Dorking）搜索敏感文件、通过Whois查询域名注册信息、通过DNS记录分析子域名、通过Shodan/Censys搜索暴露在公网的服务、通过GitHub搜索代码泄露的安全凭证。此外，Archive.org（Wayback Machine）可以查看目标网站的历史版本，有时能找到已经下线但仍可被利用的旧版本接口。
主动收集则直接与目标系统交互。常用的手段包括：Nmap扫描端口和服务版本、使用Dirbuster/Dirsearch进行目录枚举、使用Sublist3r/Amass进行子域名爆破、使用masscan进行大规模端口扫描。需要注意的是，主动收集会产生流量记录，建议在获得授权的前提下使用代理或VPN隐藏源IP。
信息收集的核心产出是一份完整的攻击面清单，包括：IP段与开放端口、Web服务的中间件信息、子域名列表、SSL证书信息、认证与登录入口、API接口信息、以及员工邮箱（用于后续社会工程学测试）。
二、漏洞发现——从扫描到手动验证
在完成信息收集后，下一步是针对具体服务进行漏洞发现。漏洞发现分为自动化扫描和手动验证两个阶段。
自动化扫描阶段，常用的工具包括：Nessus（全量扫描）、OpenVAS（开源替代）、AWVS（Web应用扫描）、Nuclei（模板化扫描，高效稳定）、SQLMap（SQL注入检测）、Nikto（Web服务器扫描）。自动化扫描能快速发现已知漏洞和高危配置问题，但误报率偏高，不能完全相信扫描结果。
手动验证阶段才是体现渗透测试人员功力的地方。对于Web应用，常见的关注点包括：
SQL注入。虽然现在框架做了很多防护，但在搜索功能、排序功能、高级查询接口中依旧容易发现未参数化的查询。验证时从单引号引发报错开始，逐层升级为UNION查询、布尔盲注、时间盲注。SQLMap只适合批量检测，实际利用时还是需要手动构造Payload。
跨站脚本（XSS）。反射型XSS通常存在搜索框和参数反显接口；存储型XSS集中在评论区、用户资料编辑、文件上传后的文件名展示等位置。要注意现在的浏览器有XSS Filter和CSP，但通过绕过CSP仍然可以实现有效的XSS攻击。
文件上传漏洞。重点关注文件类型校验的绕过方式：修改Content-Type、双重扩展名（.php.jpg）、截断上传（%00截断在较新版本PHP中已失效，但在Java中仍可能有效）、以及利用解析差异（Apache从后向前解析、IIS分号截断）。文件上传后还要关注文件的访问路径，如果上传目录在Web根目录下且未禁止执行，则是高危漏洞。
逻辑漏洞。这类漏洞自动化扫描工具很难发现，需要人工分析业务流程。常见的有：越权访问（水平越权和垂直越权）、验证码未做服务端校验、密码重置逻辑缺陷、订单金额可控、优惠券重复使用、并发竞争条件、以及OAuth授权码劫持。
三、漏洞利用——从证明到提权
漏洞利用的目标是证明漏洞可以被实际利用，而不仅仅是理论存在。对于不同层级的漏洞，利用深度不同。
在Web层面，通过SQL注入获取数据库内容、通过文件上传获取Webshell、通过SSRF探测内网、通过RCE执行系统命令——这些利用方式都能证明漏洞的可利用性。
在系统层面，一旦拿到Webshell或低权限Shell，下一步是权限提升（Privilege Escalation）。常用的提权方式包括：利用内核漏洞（Linux的脏牛、永恒之蓝等）、利用SUID二进制文件提权、利用配置不当的sudo规则、利用计划任务中的不安全脚本、利用Docker容器逃逸、以及利用云平台的元数据服务（Metadata Service）获取临时凭证。
在域环境层面，Windows域渗透常见的手法包括：Kerberoasting获取服务账号Hash、AS-REP Roasting寻找未做预认证保护的用户、Pass-the-Hash在域内横向移动、DCSync从域控同步所有用户Hash、以及利用ADCS漏洞（ESC1到ESC13系列漏洞）获取域管理员权限。
四、内网横向移动——扩大战果
渗透测试不只是打穿一台机器，更重要的是模拟攻击者进入内网后的横向移动能力。这个阶段主要关注三件事。
第一是网络拓扑探测。从已控机器上收集路由表、ARP表、DNS记录，利用该机器的网络连通性扫描同网段的其他主机。常用的扫描方式包括：利用代理转发内网流量、使用fscan等工具批量扫描内网段、以及使用netsh或chisel建立隧道。
第二是凭证收集。在已控机器上使用Mimikatz/Mimikatz变种（如更隐蔽的Lsassy）抓取明文密码和Hash、从浏览器中提取保存的密码、搜索配置文件中的数据库连接串和API密钥、扫描Git仓库历史记录中的敏感信息。一个不容忽视的事实是，很多时候拿到一台员工电脑的Hash，就能在内网通行无阻。
第三是目标定位。横向移动的最终目标是到达核心资产——数据库服务器、域控服务器、备份服务器、源代码仓库。需要根据网络拓扑和资产价值确定优先攻击的目标，避免无意义的横向移动暴露攻击意图。
五、报告编写——渗透测试的价值交付
渗透测试的最终成果是报告，而不是漏洞列表。一份高质量的渗透测试报告应该包含以下要素：
- 测试范围与目标——明确本次测试的范围、起止时间、方法论类型（黑盒/白盒/灰盒）。
- 漏洞汇总——按严重程度（严重/高危/中危/低危/信息）分级汇总，并计算CVE/OWASP风险评分。
- 每个漏洞的完整描述——包括漏洞位置、复现步骤（带截图和Payload）、影响范围、危害等级。
- 修复建议——从短期应急和长期加固两个维度给出建议，短期应急措施（如WAF规则、临时禁用）和长期解决方案（如代码重构、架构调整）。
- 攻击路径复盘——用攻击链图展示整个渗透过程，帮助管理层理解攻击者的完整路径。
- 安全建议汇总——不局限于已发现的漏洞，从安全开发流程、安全配置基线、监控告警、应急演练等方面给出系统性建议。
六、渗透测试的合规与伦理
最后必须强调，渗透测试必须在获得明确的书面授权后方可实施。未经授权的渗透测试，即使没有造成损害，也在法律上构成"非法侵入计算机信息系统"。
测试过程中要做好边界控制：明确不能做什么（如拒绝服务攻击、SQL注入删除数据、越权访问客户数据等），在测试前签订清晰的渗透测试授权书和保密协议。测试中产生的敏感数据（用户信息、数据库内容、系统凭据）在验证漏洞存在后应立即清除，不得留存。测试完成后，所有测试工具、Payload、数据备份应当在甲方确认后彻底删除。
合规的渗透测试正从"单次渗透"向"持续性安全验证"演进——通过红蓝对抗、攻击模拟平台（BAS）等手段，将安全性验证融入企业安全运营的常态。对于企业而言，安全不是一次渗透测试能解决的问题，而是持续投入、持续验证、持续改进的过程。