不是靶场闯关记录，是做过几个授权项目后沉淀的做事顺序——真实渗透有甲方、有边界、有交付物。
为什么先讲流程
靶场拿到页面就能测，真实项目不然：不懂流程就开测，轻则返工，重则越界。
七阶段流程
1. 前期交互（签合同定规矩）
- 书面授权：范围（域名/IP/系统清单）、时间窗、禁止行为（DoS、拖库、社会工程）。
- 应急联系人：测出问题（如服务异常）能第一时间联系运维。
- 一句话：没有授权书，一个包都不发。
2. 信息收集（占工作量 50% 以上）
- 被动收集：ICP 备案、证书透明度（crt.sh）、Google 语法，全程不触达目标。
- 主动收集：Nmap 扫端口、subfinder 爆子域、御剑/Dirsearch 扫目录、whatweb 认指纹。
- 信息收集做得多细，后面漏洞就多好挖。
3. 威胁建模
- 资产按价值排序：登录入口 > 管理后台 > API > 静态页面。
- 识别技术栈（框架/中间件/CMS）并映射已知漏洞模式——JeecgBoot 想 jmreport，ThinkPHP 想反序列化。
4. 漏洞探测与验证
- 扫描器结果必须手工复验——AWVS/Xray 输出不算发现，复现了才算。
- 每个疑似漏洞回答三问：能复现吗？能拿到什么？影响面多大？
5. 漏洞利用（无害验证原则）
- 证明存在即可，不碰真实数据：SQL 注入只读到
version()，文件读取只读hostname，上传只传打印时间的探针。 - 截图、请求包、时间戳全部留证。
6. 权限提升与横向（仅限授权范围覆盖时）
- 拿到立足点后：提权（内核漏洞/错误配置）→ 凭据获取 → 横向移动。
- 先翻授权书确认范围覆盖，不覆盖就不动。
7. 报告与复盘
- 每个发现：复现步骤 + 证据 + 业务影响 + 修复建议；按严重程度分级，写摘要给非技术人员。
- 交付后跟踪修复，复测确认闭环。
靶场思维 vs 真实思维
| 靶场 | 真实项目 |
|---|---|
| 拿到 shell 就是胜利 | 证明风险才是目的 |
| 随便打 | 授权边界就是法律边界 |
| 没人看你的过程 | 每一步都要可审计 |
| 通关就结束 | 修复闭环才算完 |
心得
授权挡法律风险，信息收集决定产出，无害验证保护双方。