三次卡住：一次合规视角下的渗透测试复盘

原创

Sink
Sink

船山信安

2026年10月15日 00:00
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

实战笔记 · PENTEST　×　红队

三次卡住：一次合规视角下的渗透测试复盘

一次授权测试里，我三次卡住。每次卡住都让我更清楚一件事：真正的本事不是一下打穿，是知道卡在哪、为什么卡、怎么绕过去。下面把过程拆开讲，所有目标已脱敏，不出现任何真实资产、IP 或未完成修复的利用链。

本文为合规视角复盘：全部动作以书面授权为前提；不提供可攻击未修复系统的完整利用链，不出现\"通杀\"类描述；涉及真实危害一律做模式化叙述与脱敏处理。

01第一次卡住：扫描器全绿，等于没说

开局先跑一遍自动化扫描，报告回来一片\"低风险\"。地基看着挺稳，我反而更紧张——要么真的干净，要么只是没扫到点子上。

卡点：自动化工具只验证了\"实现与规范不符\"，对业务流程本身无能为力。破局：丢掉扫描器，改走业务逻辑。从鉴权中间件往回追，按\"游客 / 普通用户 / 管理员\"三层逐接口测越权——多数系统的第一道缝，不在端口，在权限边界。

02第二次卡住：进去了，内网出不去

拿到一台机器的立足点后，按习惯想往内网扫。结果面前是一张隔离网段，硬扫全是沉默。这时候最容易犯的错，是加大力度继续扫——越扫越偏。

卡点：把\"拿到机器\"误当成\"拿到内网\"，忽略了横向移动依赖的是业务信任而非端口可达。破局：回到业务后管找跳板——那些被忽略的运维通道、可信 IP 白名单、跨网段同步账号，才是真实路径。进攻面从\"网段\"换成\"业务关系\"，路一下宽了。

03第三次卡住：漏洞找到了，危害说不清

最有挫败感的一次。一个逻辑缺陷明摆着，可要写进报告时卡住了：技术上\"理论可行\"，但怎么翻译成业务能听懂的危害？写\"可能导致数据泄露\"，甲方一句\"有多大概率\"就把我问住了。

卡点：停留在 CVSS 严重性，没落到攻击成本与业务影响。破局：把每个发现归进三态——证实（附原始请求响应）/ 排除（写依据）/ 阻塞（记卡点）。危害量化不是吓人，是把\"可能\"换成\"在何种条件下、造成何种后果\"。

04合规视角：复盘里最该守住的三条线

1授权边界：范围外资产只记录、不探测、不验证；含糊的地方先确认，比事后解释便宜。

2只读取证：以\"能读到什么、能证明什么\"为界，不删改业务数据，不扩散未修复细节。

3三态收口：每条攻击面落进证实 / 排除 / 阻塞，绝不\"疑似\"糊弄、绝不伪造没跑出来的证据。

卡住不是失败。三次卡住换来的是一份\"可复现、可追溯、能定责\"的账本，而不是一堆扫出来的疑似——这才是授权测试真正交付的东西。

参考来源

Verizon《2026 Data Breach Investigations Report》（DBIR 2026）

OWASP Web Security Testing Guide（WSTG）

GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》

本文为合规视角技术复盘，全部目标已脱敏；不提供可攻击未修复系统的利用链，不构成任何未授权测试建议。