如果有人问我“渗透测试”到底是什么，我一般不急着搬教科书定义。干这行久了，我更愿意把它理解成：在对方允许的前提下，扮演一个“白帽黑客”，用攻击者的思路去翻你的系统、应用、网络，找出那些真正会被坏人利用的漏洞，再帮你把它们堵上。听起来有点“自找麻烦”，但恰恰是这种“先把自己人打一遍”的思路，成了很多企业上线前最硬的一道安全门槛。
这两年“渗透测试”这个词曝光率高得吓人，不管是招聘网站上挂着的渗透测试工程师岗位，还是热搜里蹭蹭往上蹦的实战系列、靶机教程、AI渗透测试，都在说同一件事：市场真缺人，缺能动手的安全工程师。但我也发现，很多人对渗透测试的理解停留在“拿工具扫一扫”或者“会破解个WiFi密码”的水平。这篇文章就以我自己这些年做渗透测试项目的经验和带新人的体会，把这套东西从头到尾捋一遍，该讲原理讲原理，该给步骤给步骤，希望能让想入行的人少走点弯路，也让正在做安全决策的人搞清楚这钱到底花在哪儿了。
1. 渗透测试到底是什么：从一次“模拟攻击”说起
1.1 一句话定义：带着授权的模拟攻击
如果非要给渗透测试一个最简明的解释，我会说：它是一场“拿到许可证的黑客行为”。
专业的说法是：渗透测试（Penetration Testing）是通过模拟真实攻击者的技术手段，对目标系统的安全防护能力进行验证的过程。注意，核心词有三个——模拟、攻击、验证。它不是在系统里随便乱点乱试，而是按照一套规范的流程，从信息收集开始，一步步探测漏洞、尝试利用、评估影响，最终把测试结果整理成一份可执行的修复建议。
我经常用一个类比来解释这件事：你家装了防盗门和监控摄像头，但到底能不能挡住小偷，你说了不算，得找个懂行的人真去“撬”一遍试试。渗透测试工程师就是那个拿开锁工具的人，只不过所有操作都在你同意的前提下进行，撬完还会告诉你门锁哪里有薄弱点、监控哪里存在死角、换什么样的锁最划算。
这里有一个关键前提，就是“授权”。没有授权的渗透行为，不管出发点是什么，性质上都不是测试，而是攻击。所以正规的渗透测试项目，开工之前一定有一份白纸黑字的授权书，划清测试范围、测试时间、允许使用的技术手段，这可是整个行业的生命线。
1.2 渗透测试和漏洞扫描不是一回事
很多企业主第一次接触这个概念时，会觉得“我花钱请人扫描一下漏洞不就行了，干嘛搞得这么复杂”。这其实是我工作中解释最多的问题：漏洞扫描和渗透测试，完全不是一个量级的东西。
漏洞扫描主要靠自动化工具，比如Nessus、OpenVAS、AWVS，把目标系统跑一遍插件库，比对已知漏洞特征然后出报告。它的优点在于快、覆盖面广，但缺点同样明显：误报率高得吓人，而且只能告诉你“哪里有疑似问题”，没办法告诉你“这个问题到底能被利用到什么程度”。就好比体检报告说“某项指标异常”，但异常指标对身体造成多大伤害，需要生活干预还是必须手术，报告不会告诉你。
渗透测试则是在漏洞扫描基础上继续深挖。工程师会人工验证每一个疑似漏洞，想尽办法绕过防护、组合利用、提权、横向移动，直到真的拿到目标数据或者控制服务器为止。如果漏洞扫描是拍X光片，渗透测试就是医生拿着片子做穿刺活检，最终给出确切的病理结论。
我自己在实战中也经常把两者配合着用：先用扫描器快速摸一遍目标暴露面，找出可疑点；然后人工聚焦这些点，做更精细的验证和利用。扫描器提供线索，工程师负责判断和收网，这个配合方式在绝大多数项目里都效率很高。
1.3 为什么企业愿意花钱“请人打自己”
说实话，我第一次给客户做渗透测试的时候，对方技术负责人特别紧张，全程盯着我操作，生怕我把生产环境搞崩。这种心态完全可以理解，毕竟谁也不希望外人碰自己的核心系统。但现在越来越多的企业愿意主动掏钱做渗透测试，图的是什么？
首先是合规驱动。国内外对信息安全的要求越来越硬，很多行业已经把渗透测试写进准入条件里，不上线前做一次测试，系统根本过不了审。比如汽车行业的ISO 21434标准，明确要求整车及其零部件在开发阶段就要做安全测试，像“44495汽车信息安全渗透测试”这类热搜词背后，就是整个车联网供应链都在补安全课的缩影。
其次是业务保障的刚需。现在很多公司的业务完全跑在数字化系统上，一个漏洞被利用，轻则数据泄露、业务瘫痪，重则直接造成经济损失和品牌口碑崩盘。跟这些潜在损失比起来，一次渗透测试的投入反而成了一笔非常划算的风控支出。早期不少老板觉得“请人打自己是浪费钱”，现在大家慢慢想明白了，这跟买保险一个道理，平时看着没用，出事的时候能救命。
还有一点很直接：渗透测试能有效验证安全建设的效果。很多企业买了防火墙、装了WAF、上了终端管理，觉得自己固若金汤，但真到攻防演练的时候，往往被攻击队三两下就打穿了。通过渗透测试提前暴露这些问题，总比被真实攻击者打穿要好得多。
2. 渗透测试工程师到底学什么：从入门到实战的能力地图
2.1 关于“注册渗透测试工程师证”：证书只是敲门砖，能力才是硬通货
我在搜索热词里看到“注册渗透测试工程师证样本图片”被大量搜索，说明很多人想通过考证走进入这一行。作为过来人，我必须说句实在话：证书有用，但没有你想象的那么有用。
市面上关于渗透测试的认证确实不少，有国内的，也有国外的，比如CISP-PTE、OSCP这类知名度较高的认证。这些证书最大的价值在于倒逼你系统地学习一遍知识体系，同时能在HR筛简历的时候增加一点通过概率。但它绝对不等于“就业保障”。我带过的团队里，有持证但是连靶机都打不下来的，也有没证但一上来就能独立完成测试项目的。面试官考察的核心永远是你解决实际问题的能力，让你现场分析一个漏洞、试打一台靶机，水平高低立刻见分晓。
所以我的建议是：如果你想考证，把它当成学习动力没问题，从基础认证开始，边学边练；但千万不要把时间都花在背题库上，真正的功夫在考场之外。证书是简历上的加分项，实战能力才是饭碗里的硬货。可以这么说，一个“注册渗透测试工程师”的头衔并不会让你直接变成高手，但一张写得漂亮又诚实的渗透测试报告，会让你在客户心里直接封神。
2.2 学习路线：从零基础到能打靶机的清晰路线
经常有新手私信我，问“零基础学渗透测试，到底从哪开始”。每次我都建议，忍住一上来就玩工具的冲动，先把地基打好。地基打不牢，后面全是空中楼阁。
我整理了一个比较稳的学习路径，分四个阶段：
第一阶段是计算机网络基础。TCP/IP协议栈、HTTP/HTTPS、DNS解析、cookie和session机制，这些必须搞明白。因为渗透测试本质上就是在跟网络协议打交道，你不懂三次握手，就看不明白抓包出来的数据；不懂HTTPS的握手流程，就理解不了中间人攻击的原理。
第二阶段是Linux操作系统。Kali Linux本身就是基于Linux的，你会用不够，还得理解文件系统、权限模型、用户管理、常见的服务搭建和日志排查。建议自己装一台Ubuntu或CentOS，从命令行开始折腾，把常用的Linux命令练熟。
第三阶段是Web技术基础。现在绝大多数渗透测试目标都是Web应用，所以HTML、CSS、JavaScript、前后端交互流程、常见数据库（MySQL、Redis）都得懂。不用成为前端专家，但至少要能看懂代码里哪里在拼接SQL、哪里在直接渲染用户输入。
第四阶段才进入安全专项。从OWASP Top 10开始学，SQL注入、XSS、CSRF、文件上传、命令执行、越权这些经典漏洞类型逐个击破，理解它们的成因和利用方式。之后再扩展到系统提权、内网渗透、域渗透、密码破解等领域。
在整个学习过程中，我强烈建议采用“输出式学习法”。每学一个漏洞类型，就自己搭一个有漏洞的靶机去复现；每打下一台靶机，就写一篇详细的记录，把思路整理成自己的checklist。安全这行有个特点，知识是网状的，你只有不断输出总结，才能把零散的知识点串成一张网。
2.3 Kali Linux：渗透测试者的“瑞士军刀”
提到渗透测试，就绕不开Kali Linux。很多新人把它当成“黑客专用系统”，装上之后感觉自己已经是一只脚踩进安全圈了。这种心情可以理解，但这里必须泼一盆冷水：Kali本质上只是一套预装了大量安全测试工具的Linux发行版，它确实能提升信息收集和漏洞利用的效率，但工具本身不会让你变成高手。就像给一个不会做饭的人一套顶级厨具，他依然做不出一桌好菜。
Kali里面比较常用的工具，按功能可以分成几类。信息收集阶段常用nmap做端口扫描和服务指纹识别，用masscan做全网段快速扫描，用whatweb、wappalyzer识别Web技术栈；漏洞分析阶段有nikto、wpscan（专门扫WordPress插件和主题漏洞）；漏洞利用阶段有Metasploit框架，整合了大量的现成利用模块；密码破解阶段有hydra做在线爆破、john和hashcat做离线密码破解；无线安全方向还有aircrack-ng系列。
我想强调的是，工具背后的思路比工具本身重要得多。nmap扫出来的端口意味着什么服务、什么版本、可能存在什么漏洞，这些判断靠的是知识积累，而非工具输出。所以新手入门最好的方式是：不要贪多，先把nmap的常用参数吃透，把Metasploit的模块结构搞清楚，等你遇到具体场景需要什么工具，再针对性去学。工具是越用越熟的，不是越装越多的。
3. 渗透测试标准流程实战：用一个靶机走完完整生命周期
3.1 渗透测试流程总览
很多新手以为渗透测试就是“拿工具扫一下，然后打进去”，实际上正规项目有一套成熟的测试流程。目前国内外比较通用的思路大体上是五个阶段：信息收集、漏洞分析与利用、后渗透、报告编制、复测验证。
信息收集是整个测试的地基，这步做得好不好直接决定后续的效率。又细分为被动信息收集（不直接接触目标的公开情报，比如搜索引擎、Whois、子域名查询）和主动信息收集（直接对目标发起扫描，比如端口扫描、目录爆破、指纹识别）。我见过太多新手上来就拿nmap怼着目标狂扫，扫了半天也不知道自己要找什么，最后只能草草收场。正确做法是先想清楚测试目标是什么资产、入口可能在哪里，再有针对性地收集信息。
漏洞分析与利用阶段，是对收集到的信息进行深度加工，识别出安全弱点并尝试利用。这里讲究“点到为止”：拿到权限、验证漏洞确实可利用之后，就应该停下来记录证据，而不是在客户的系统里为所欲为。后渗透阶段则包括提权、内网横向移动、数据挖掘等，目的是评估漏洞被利用后的真实影响面有多大。
报告编制是整个测试闭环里最容易被人忽视，但恰恰是客户最看重的一环。报告写得好不好，直接决定了你这个项目的交付质量。最后是复测验证，也就是把修复建议提交给客户，等他们完成修复后再来确认漏洞是否真正被堵上。
3.2 靶机实战：DC2靶机超详细过程
理论说再多，不如动手打一台靶机。这里我以VulnHub上经典的DC2靶机为例，完整走一遍渗透测试流程。DC系列是很多安全爱好者入门必刷的靶机，难度适中，信息收集、Web漏洞、密码爆破、提权这些环节全都覆盖到了，非常适合练手。
环境准备：先下载DC2靶机镜像，在虚拟机软件里导入，网络模式设置为NAT，让它和Kali Linux处于同一网段。注意Kali也要用NAT模式，保证两台机器能互通。启动后，先用nmap扫一下当前网段，确认靶机IP地址。
# 查看本机IP，推断网段 ip a # 扫描整个C段，找出开放的端口 nmap -sV -O 192.168.1.0/24假设扫到192.168.1.101这台主机，端口80（HTTP）和7744（SSH）开放。这个7744端口的SSH非常显眼，说明作者故意把SSH服务挪到了非默认端口上，减少被自动扫描命中的概率。再看80端口，打开浏览器访问后，发现是一个WordPress搭建的站点。
接下来对WordPress做深度指纹识别。WordPress是全世界使用率最高的CMS之一，插件和主题极其丰富，但也正因为生态庞大，经常成为漏洞重灾区。这里用wpscan来枚举用户。
# 扫描站点，枚举用户名 wpscan --url http://192.168.1.101/ --enumerate u扫描结果会显示出站点的有效用户名，比如admin、tom。有了用户名，下一步就可以尝试密码爆破了。WordPress的密码爆破用wpscan内置的爆破模式也行，但我这里更推荐先用cewl这个工具从目标站点本身生成一份专属字典。
# 从目标站点抓取页面内容，生成专属密码字典 cewl http://192.168.1.101/ -w dict.txt # 使用hydra对7744端口的SSH服务进行爆破 hydra -l tom -P dict.txt -s 7744 192.168.1.101 ssh这里用cewl生成字典的逻辑很简单：很多人设置密码时习惯用公司名、域名、站点名称组合，cewl就是把页面上出现过的单词都抓下来，再组合成候选密码，命中率比通用弱口令字典高得多。hydra爆破SSH成功之后，我们就拿到了tom的密码，尝试登录：
ssh tom@192.168.1.101 -p 7744登录成功后发现处于rbash受限环境中，很多命令都用不了。这是一种常见的安全防护机制，限制用户的shell环境。绕过的思路有很多，常见的方法是通过vi、less这类不被限制的命令去执行系统命令。比如在vi中执行:!/bin/bash，就能从vi的交互模式回到一个完整bash。或者用scp等方式绕过shell限制，直接用工具传输文件。
绕出rbash之后，下一步就是提权。先看看当前用户有哪些sudo权限：
sudo -l输出显示tom可以用root身份执行git命令。git本身支持通过!进入shell，于是我们可以利用这一点直接获得root权限：
sudo git help # 在弹出的帮助页面底部输入 !/bin/bash执行之后就是root shell，去看一下根目录下的flag文件，这一台靶机就算完整打下来了。整个过程从信息收集到提权，每一环都用到了上面提到的知识和工具，而且都是在本地靶机上合法练习，可以放心大胆地反复尝试。
3.3 报告阶段：一份好报告让甲方心甘情愿给你打钱
打靶机可以只追求“拿到flag”，但真实项目中，交到客户手里的是一份完整的渗透测试报告。我见过很多刚入行的朋友，漏洞挖得挺深，但报告写得惨不忍睹，客户看完一头雾水，项目自然过不了验收。可以说，报告能力是渗透测试工程师最容易忽略，但最能体现专业度的地方。
一份合格的报告至少要包含这些内容：测试概述（测试时间、范围、方法）、目标系统描述、发现的漏洞清单及风险等级、每个漏洞的详细分析（包括漏洞原理、影响资产、复现步骤、证据截图）、针对性的修复建议、复测结果。漏洞风险等级通常参照CVSS（Common Vulnerability Scoring System，通用漏洞评分系统）标准来划分，从0到10分量化严重程度，再对应到严重、高危、中危、低危四个档次。
我写报告的时候有个原则：每一个漏洞都必须包含可复现的步骤和证据。客户拿到报告，照着步骤操作，能在自己环境里看到同样的问题，这个漏洞才算是真正说清楚了。至于修复建议，不能只写一句“升级组件”“加强输入校验”，要给出具体到版本号、配置项或者代码层面的指导。如果你测试时顺手验证了修复方案，在报告里注明“建议修复后安排复测”，这样整个项目就有始有终，客户对你的信任度也会高很多。
4. 渗透测试的新战场：AI辅助、APP与车联网
4.1 AI渗透测试：大模型正在改变安全测试方式
最近一段时间，“AI渗透测试”“AI渗透测试本地部署”“minimax做渗透测试”这些词频繁出现在热搜上，很多人跑来问我：AI是不是要取代渗透测试工程师了？我的判断是：AI不会取代渗透测试工程师，但会用AI的渗透测试工程师，一定会取代不用AI的。
AI在渗透测试中能发挥的作用，我总结下来有几个比较成熟的场景。第一是辅助信息收集，大模型能快速整理公开情报，从一堆杂乱的搜索记录里提炼出有价值的目标资产信息，效率比人工检索高很多。第二是漏洞分析与PoC生成，给定一段代码或者一个漏洞描述，AI能辅助分析漏洞成因，有的甚至能直接生成概念验证代码片段。第三是代码审计辅助，让大模型阅读源码去找可疑点，给安全工程师当陪练，比自己一行行啃代码快不少。第四是报告生成，把测试过程中的技术细节喂给大模型，它能帮忙整理语言、规范格式，让报告撰写效率提升一大截。
为什么越来越多企业强调“AI渗透测试本地部署”？最核心的原因在于数据安全。渗透测试过程中涉及的代码、业务逻辑、网络架构，都属于企业高度敏感的信息，很多企业不允许把这些数据传到外部大模型平台。本地部署大模型，相当于把AI助手请到企业内部来，所有数据都在内网流转，既能享受AI辅助的效率，又能守住数据合规的红线。
但这里必须清醒一点：AI目前只能做“副驾驶”，做不了“驾驶员”。大模型会出现幻觉，会一本正经地给出错误判断，尤其在需要深度逻辑判断的漏洞利用环节，AI的输出必须经过人工验证。我现在的使用习惯是：把AI当成一个随叫随到的研究助手，让它帮我处理重复性劳动和资料整理，但最终决策一定基于我自己的分析和测试验证。
4.2 APP渗透测试环境搭建实战
移动互联网时代，很多业务的核心都跑在APP上，APP渗透测试的需求自然水涨船高。热搜词里也有“APP渗透测试环境”，可见关注的人不少。这里给大家讲讲这个方向怎么入门。
APP渗透测试的测试对象，本质上是一个客户端应用加它背后的服务端API。所以环境准备分两步：第一步是搭起一个能抓包、能调试的移动端环境；第二步是准备好针对客户端的安全测试工具链。
我常用的环境组合是Android模拟器加上Burp Suite代理抓包。Burp Suite是Web安全测试的标配工具，但用它来抓APP流量，需要先把模拟器的流量代理到Burp上，同时还要安装Burp的CA证书，否则HTTPS流量解不了包。这里有一个新手特别容易踩的坑：Android 7及以上系统默认只信任系统证书，用户手动安装的证书不会被应用信任，所以需要把Burp证书转成系统证书格式放到系统证书目录，或者直接使用支持系统证书安装的定制ROM。
# 将Burp证书转换为系统证书格式（在Linux/macOS环境执行） openssl x509 -inform DER -in cacert.der -out cacert.pem # 计算证书hash作为文件名 hash=$(openssl x509 -inform PEM -subject_hash_old -in cacert.pem | head -1) # 重命名并推送到模拟器系统证书目录 mv cacert.pem $hash.0 adb root adb remount adb push $hash.0 /system/etc/security/cacerts/装好环境之后，就要用工具去动态分析APP了。Frida是一款非常强大的动态插桩工具，可以在不修改APK的情况下hook里面的函数。比如APP做了证书锁定（SSL Pinning），直接抓不到包，就可以用Frida绕过它。常用的思路还有用objection这类工具自动化完成一些常见的绕过操作，效率会高很多。
APP渗透测试需要重点关注的问题，可以参考OWASP Mobile Top 10：不安全的数据存储（比如明文保存密码或Token）、不安全的通信（没有加密或证书校验形同虚设）、不安全的身份认证、客户端代码里硬编码的密钥、任意组件导出导致的越权、以及第三方SDK引入的风险等。当你掌握Web渗透测试之后再做APP方向，会发现很多思路是相通的，只是多了一层客户端和APP侧的攻防博弈。
4.3 汽车信息安全渗透测试：一个正在起飞的细分领域
热搜词“44495汽车信息安全渗透测试”的出现，背后是整个汽车行业正在经历的一场安全变革。现在的智能网联汽车，本质上就是一台装上四个轮子、跑在高速公路上的服务器。车里有多个ECU（电子控制单元）、T-Box（车载远程信息处理终端）、IVI（车载信息娱乐系统）、CAN（控制器局域网）总线，还连着手机APP和云端服务器，攻击面比传统IT系统又大又复杂。
汽车和信息安全的结合不是一句口号，而是正在落地的刚需。ISO 21434等国际标准的发布，把汽车信息安全从“可选加分项”变成了“必答题”。类似的标准和法规推动了整个行业往前跑，于是车企和供应链开始大量聘请能上手做汽车安全测试的人。这个方向为什么火？因为既懂汽车又懂安全的复合型人才，目前市场上严重稀缺，薪资自然也水涨船高。
汽车渗透测试和传统渗透测试最大的区别，在于测试对象和通信协议完全不同。除了常见的以太网、WiFi、蓝牙，你还要面对CAN总线、UDS（统一诊断服务）协议、SOME/IP（汽车以太网通信中间件）。测试入口也更加复杂：车机系统的Web后台、手机APP与车机的通信接口、T-Box远程控制通道、OBD（车载诊断系统）物理接口、甚至无线钥匙的信号中继攻击，都可能成为攻击路径。
对于想入门汽车渗透测试的新手，我的建议是先从你熟悉的领域切入。很多车联网安全问题其实就藏在云端API和手机APP里，这部分跟常规Web渗透和移动端渗透一脉相承，比较容易上手。先熟悉车辆远程控制类APP的安全测试，再逐步接触车机系统和CAN总线，不要一上来就啃底层协议，那样容易劝退。毕竟，能把一个方向做深做透，已经足够你在团队里站稳脚跟了。
5. 新手最常见的问题与避坑建议
5.1 没有授权，千万别乱测
这段话我几乎每隔几天就要说一遍，因为总有新手抱着侥幸心理去测别人的系统。不管初衷是“帮忙看看”还是“学技术”，只要没有书面授权，你的所有行为都是非法攻击。黑客和渗透测试工程师之间，看起来技术手法差不多，分界线就是清晰地有和无授权这两个字。
我见过一些很可惜的案例：技术不错的小伙子，因为没有边界意识，拿公网上一家网站练手，结果被对方安全团队溯源到，直接报警处理。这一行很讲究“武德”，不讲武德的人，走得再快也迟早翻车。想练手，门路太多了：VulnHub上的靶机镜像随便下载，HackTheBox和TryHackMe上面有大量仿真环境，还有各种CTF比赛可以参加。这些地方你想怎么打就怎么打，怎么折腾都不过分，因为那些系统本来就是拿来“被打”的。
5.2 实操中的常见卡点与排查思路
新手在实战中经常会卡在一些非常具体的技术问题上，这里挑几个我遇到最多的高频问题，给大家一些排查思路。
第一个高频问题是nmap明明扫了，但目标机器就是显示不可达。出现这种情况，先确认是不是网段设置错误，Kali和靶机有没有在同一网段；再看目标主机是不是开启了防火墙，阻止了ICMP的Ping探测。针对后者，可以在nmap命令里加上-Pn参数，让扫描器跳过主机存活探测，直接对端口发起扫描，往往能看到新结果。
第二个是wpscan报错或者扫描速度慢得离谱。优先检查wpscan版本是不是太旧，建议先执行wpscan --update更新漏洞库；如果提示连接API失败之类的错误，可能是被访问限制，可以放慢扫描速度，或者直接用网上公开的插件vuln列表配合人工验证。
第三个是hydra爆破半天没有结果。这种情况十有八九是字典不够用，或者账号枚举不完整。爆破前先确认用户名是真实存在的，再根据目标站点特征生成针对性字典，比如用cewl抓取页面词，配合常见密码规则组合扩展一下，成功率会大幅提升。
第四个是拿到SSH登录权限后，发现是个受限shell，好多命令执行不了。记住一个原则：任何能查看文件、编辑文件、执行命令的功能都可能成为绕过受限shell的突破口。常见的vi、less、more、ftp、scp、python的pty模块，甚至环境变量里的PATH替换，都可能是逃逸的路径。
第五个是提权失败后不知道该干嘛。千万不要一上来就乱试，系统化地收集信息很重要：内核版本、操作系统位数、当前用户sudo权限、SUID文件、计划任务、可写目录下的脚本，这些都是提权的经典入口。信息越全，思路越多，提权靠的是耐心和知识储备，不靠运气。
5.3 持续精进的资源与方法
最后说说学习资源和方法。市面上的学习资料非常多，但新手最容易犯的毛病是“收藏了=学会了”，收藏夹里存了几百个教程，一个都没看完。我的建议很朴素：固定一个学习节奏，比如每周打一台靶机，然后把过程写成writeup，发布到自己的博客或者社区上。这个过程有几个好处：逼你把每一步的原理搞明白、让你形成自己的checklist输出、还能在意外的时候认识一群同行一起交流。
靶机方面，VulnHub的DC系列、HackTheBox、TryHackMe都是非常好的练习平台。CTF比赛也要多参加，哪怕排名不靠前，那种高强度、强对抗环境下的锻炼，比你自己闷头练半年都有效。多看公开的CVE分析文章，琢磨那些真实漏洞是怎么被发现的、怎么被利用的，这对培养漏洞敏感性非常有帮助。别怕踩坑，也别怕写出来的writeup不专业，每一个安全工程师都是从菜鸟阶段一步步走过来的。
根据我自己的经验，这条路没有捷径，但一定有方法。你把时间花在靶机和再分析上，能力就不会背叛你。等你积累到一定程度再回头看，会发现当初觉得难如登天的问题，现在不过是几行命令的事。
我个人在实际操作中还有一个习惯，每测完一台靶机或者一个真实项目，都会问自己三个问题：这个系统为什么会存在这样的漏洞？如果我是甲方，从架构层面怎么彻底避免这类问题？换一个完全不同的业务场景，这个漏洞还能怎么变着法子出现？坚持一段时间之后，你会发现自己的思维已经不再停留在“怎么打进去”的层面，而是开始站在攻防双方的角度去理解整个安全体系。这种思维方式，才是渗透测试真正教会你的最有价值的东西。
