中小企业做一次轻量渗透测试的流程

提到渗透测试，很多企业想到的是专业团队、复杂工具、高额预算。实际上，绝大多数真实入侵利用的都是最基础的问题：暴露在公网的管理后台、用了三年的默认口令、没人管的测试环境。把这些查一遍，就已经挡住了大部分风险。

一、先谈授权：没有书面授权不要动手

安全测试的第一步永远是范围与授权，不是工具。授权文件里应写清四件事：

• 测试范围：域名、IP 段、系统清单，明确不含哪些
• 时间窗口：什么时候可以测，避免影响业务
• 禁止动作：拒绝服务、数据导出、社工、物理进入等
• 双方联系人：出现异常时的对接通道

二、第一步：资产与暴露面

很多问题不是"被打进来了"，而是"本来就摆在外面"。这一步不需要高深技术，靠清单和常识就能发现大半。

三、第二步：口令与配置抽查

• 默认口令：设备出厂口令、管理后台初始账号是否改过
• 弱口令：按字典抽查管理员与共享账号，抽样即可
• 后台暴露：管理端是否可从外网访问，是否有限制来源 IP
• 配置项：目录列表是否开启、错误页是否泄露版本与路径

抽查的目的是验证流程，而不是穷举口令。找到一个弱口令，说明的是"口令策略与巡检流程有问题"，整改要落在流程上。

四、第三步：权限路径验证

从普通账号出发，看看能不能走到不该到的地方。这一条最容易被忽略，也最能反映内网的真实安全水平。

1. 普通员工账号能否访问财务或人事共享目录
2. 能否从办公网直接连到数据库或服务器管理端口
3. 能否用普通账号调用管理员接口
4. 历史账号与外包账号是否仍然有效

五、报告与整改

报告不必写得很厚，但每一条都要能落地：问题描述、复现步骤、影响范围、修复建议、责任人与期限。排序逻辑建议用"可利用性 × 影响程度"，先修既容易利用、影响又大的。

• 高危项限时修复，中低危纳入计划
• 能通过配置解决的不要排到开发排期里
• 把高频问题转成日常巡检项，避免明年再查一遍

六、复测：验证到底修没修

修复完成后必须复测，复测只看原报告的条目，逐条确认关闭。没有复测的整改，往往会以"已经处理了"收尾，而问题还在原地。

一年做一次这样的轻量测试，配合每季度的权限复核，对中小企业来说已经能覆盖大部分可控风险，成本也完全可承受。