很尬的事，手速过快把Pentest打成Pnetest，不过没什么影响，重点是内容的真实性、可用性。
多人协作的渗透项目中，往往每个人擅长点和经验都不同，那么团队有一个人误操作很有可能会带来很严重的后果，导致入口打点被发现，或者内网渗透被监测到。
这份Checklist需要遇到实战足够的坑才能形成这份文档，所以发起邀请渗透师同共完成 "渗透操作红线列表"。
在Issues提交，经过审核有价值的，才会添加进来。
- WebShell不能使用普通一句话木马，连接端使用加密流量，不使用普通**菜刀。
- 上传工具到服务器中，不能使用默认名称，例如，frp、nc、lcx等。
- 使用sqlmap要加--random-agent参数。
- nmap扫描要去除特征。
- 不要相信工具的判断，工具测试一遍，手工测试一遍。
- sqlmap注入频率问题，使用--delay、--safe-url、--safe-freq | ID：SewellDinG提供
- Cobalt Strike使用域前置技术，伪装成白站域名，隐藏真实C2服务器IP；（默认启动的CS,基本被各厂商设备能识别到） | ID：SewellDinG提供
- 在进行有可能导致管理员察觉的敏感操作时（如登录远程桌面等），根据目标所在地区，选择对应IP登录。（有些会提示异地登录提醒） ｜ID: evilAdan0s 提供
- 渗透工作电脑浏览器不能保存任何个人信息，防止被抓取信息。
- 不随意修改管理员密码、后台密码。
- 大文件需要打包分割下载。
- 不使用国内VPS（阿里云、腾讯云）做CobaltStrike远控服务器。
- 渗透项目结束后，不要继续进行测试。
- 开发代码中不要留个人id，生成木马的时候不要在个人电脑生成，会带上电脑路径、电脑名称。
- 永远用虚拟机操作，不要用真实机操作
- 电脑语言，用日语，英语，繁体字，不要用中文（看项目需要，一般用不上。）
- 设置路由器只允许1723等其它VPN端口才能出网，一但VPN断开将自动断网，不然在扫描过程VPN断开会暴露真实IP地址（看项目需要，一般用不上。）
- 从目标拖回来的任何文件都不要在有网的机器打开，要在专用脱网机打开。
- 渗透物理机脱网（用于存储文件，信息等），网络流量从虚拟机搭建的网关走usb网卡+匿名线路（看项目需要，一般用不上。）