安全工程师必看做渗透测试的10条铁律，少一条都可能喜提粉色手镯

原创

v3n0m
v3n0m

v3n0m

2026年9月1日 23:03
天津

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

最近黑客大师兄一直吐槽安全行业快完蛋了，HVV已经延期好几次，天天007要死了。正好最近有几个刚毕业的小兄弟入行安全作为一个老登黑客有什么建议对新人吗？

于是大师兄从内裤里掏出了这套保命指南（我感觉是他是用豆包把自己的想法润色的）

一、授权为先：没有合规授权，一切测试都是违法行为

这是所有安全测试的最高准则，也是职业底线。 没有授权的渗透不是白帽行为，属于非法网络操作，极易踩中法律红线。

✅ 一份有效授权必须明确：

• 测试 IP / 域名范围
• 测试时间窗口
• 允许执行的操作类型
• 甲方对接责任人及联系方式

⚠️ 关键注意点：

1. 口头授权完全不算数。优先盖章授权文件；正式邮件、确认文字消息也可作为留底依据，纸质 + 电子版双备份存档。
2. 核实对接人的真实审批权限。普通工程师未必拥有测试授权权限，出事他无法担责。
3. 严格卡死授权边界，绝不“顺手测一下”授权范围之外的系统。越界操作后果全部自行承担。

提醒：部分公益SRC提交，如果未经对方许可私自入侵探测，本质就是在法律红线上冒险，一旦被追究就要承担相应责任。所以其实搞厂商自家SRC最安全。

二、内网扫描：IP 范围反复核对，高危专线务必排除

接到任务，无论是甲方现场检查，还是攻防演练、监管检查的内网全面排查，拿到 IP 段、IP 列表，不要直接开扫。

务必和甲方反复确认清单有效性，明确标记需要排除的专线、专网 IP。不同行业普遍存在跨机构专线链路，扫描误伤专线后果极其严重：

• 金融机构： 连通银联、央行、各类监管机构专线
• 医院： 对接卫健委、HIS 医疗业务专线
• 电力行业： 关联生产调度专网
• 政府单位： 连通上级政务专网

某案例：某同事在某银行做测试的时候，直接达到了总行，然后总行那边直接给分行骂了一顿，后面这个项目展开也遇到了好多障碍。

三、工具 & 字典上线前自查，杜绝误删误改业务数据

工具接入客户生产环境，切忌拿到工具直接运行，执行测试前完成配置自查：

1. 检查脚本、内置字典，清理 drop table、delete 等高危删除语句；
2. API 测试时过滤 delete、update 类接口，防止未授权接口真实执行删除、修改业务数据；
3. 检查 HTTP 请求模板，禁用 DELETE / PUT / PATCH 危险请求方法；
4. 谨慎使用无源码闭源工具、网络流传“学习版”工具，存在未知后门风险。谨记：用别怕，怕别用。

自动化工具破坏力极强，一行配置疏漏，就可能引发数据丢失、业务错乱。

某案例：某同事自己写了一个扫描器然后扫着扫着就把数据库里的数据扫没了。。。。。

四、密码爆破慎之又慎，防止批量锁死业务账号

爆破是最容易制造业务事故的测试手段，禁止上来就大字典、高频暴力跑。

• 提前摸清目标账号锁定策略：错误多少次锁定、锁定持续时长；
• 策略不明时，采用低频、小字典试探，降低账号锁定风险；
• 域控、AD、LDAP、SSO 统一认证系统严禁随意爆破，单个账号锁定，会牵连一整套关联业务系统。

某案例：某同时在给甲方培训的时候，现成演示爆破甲方提供的一个内部邮件，结果导致这个邮箱被锁。

五、漏洞验证敬畏生产环境，拒绝破坏性测试

测试环境可以放开手脚验证，生产环境坚持最小干扰原则，能不动就不动。

线上业务系统健壮性参差不齐，有时仅仅删除、修改请求参数，没有传入攻击载荷，就会触发服务 500 错误，甚至后端服务器宕机。

针对 DoS、资源耗尽类漏洞，生产环境禁止实际复现，仅做理论风险记录，不要上手测试，避免压垮线上业务。

六、测试数据即是雷区，严守数据最小化原则

渗透过程获取的敏感业务数据，是安服人员最大的隐患。

1. 数据最小化： 验证漏洞仅需少量样本，禁止 SELECT * 导出全表；拿到用户信息留存 1‑2 条样本证明漏洞即可，严禁批量拖库。
2. 截图、录屏必须脱敏：用户名、手机号、身份证、银行卡号全部打码。
3. 测试数据优先保存在甲方授权设备，禁止存个人电脑、网盘、云笔记、在线解码工具、微信传输。
4. 输出报告中所有敏感信息强制脱敏；项目结束，按照合同完整销毁全部测试数据。

攻防演练中，因随意拖库、泄露业务数据被追责的案例时有发生。

七、驻场网络做好隔离，避免无意扩散风险

现场驻场接入甲方内网，细节疏忽也会酿成事故：

1. 接入甲方网线前，关闭本机热点、文件共享、代理服务，防止个人设备网络与客户内网互通，扩散病毒；
2. 不要在内网环境随意插入外来 U 盘、移动存储设备；
3. 个人设备尽量不要直连甲方核心业务网段，条件允许使用甲方提供测试机开展工

八、把控测试时间窗口，规避业务高峰

即便拿到完整授权，高风险扫描、探测类操作，也要优先安排业务低峰期执行。

• 避开工作日白天、业务高峰期、重大活动节点；
• 核心业务系统扫描降低并发速率，防止高流量影响正常业务运转。

九、高危操作留痕，异常第一时间止损

所有具备业务影响风险的操作，执行前务必同步甲方对接人。

1. 测试全程做好日志留存，一旦出现故障便于溯源定位；
2. 如果发生业务异常、服务中断，立刻停止全部测试动作，第一时间告知甲方处置；不要私自尝试修复客户系统问题，避免扩大故障。
3. 测试过程中发现重大高危漏洞，及时同步甲方，不要留在报告阶段才反馈。

十、不私自改动业务配置，敬畏核心网络设备

1. 不要为了测试方便，私自修改防火墙策略、账号权限、系统配置；确需调整，必须获得甲方书面许可，操作做好记录，项目结束恢复原始状态。
2. 防火墙、负载均衡、核心交换机等关键网络设备，扫描探测必须收敛并发；高并发扫描极易打满设备 CPU，造成全网卡顿瘫痪。

写在最后

安服工作技术固然重要，但风险意识才是职业生命线。绝大多数事故，都不是技术失误，而是流程麻痹、细节大意。守住操作边界，保护甲方业务，本质也是保护我们自己。