渗透测试的8个步骤

去年帮一家做跨境电商的渗透客户做内网渗透，从外网边界打进去只花了四十分钟，测试但拿到域控却耗了整整三天。步骤问题出在第三步——我们太早碰了蜜罐，渗透触发了蓝队的测试告警。这件事让我重新审视渗透测试的步骤流程：顺序不是死的，但每一步的渗透边界必须卡死。

信息收集永远排第一位。测试别急着掏扫描器，步骤先用手工方式把目标摸一遍。渗透我习惯从WHOIS和DNS记录入手，测试看看有没有泄露的步骤邮箱后缀、子域名命名规律。渗透有一次通过一个测试环境的测试`dev-`前缀，直接找到了未授权的步骤Jenkins后台。工具能扫出端口，但扫不出业务逻辑里的“潜规则”。这一步的输出物应该是一张资产地图，标注每个IP背后的业务归属、技术栈、可能的弱口令习惯。别贪多，把最可能出问题的三个入口圈出来就够了。

威胁建模紧跟着信息收集。不是写文档，是跟客户的技术负责人聊半小时。问清楚：哪些系统挂了会直接损失钱？哪些数据泄露会触发监管处罚？去年一个金融客户把核心交易库藏在三层内网之后，但他们的运维跳板机居然用同一个密码通了全部环境。威胁建模就是找到这种“逻辑捷径”。我通常会画一张攻击路径草图，用红笔标出假设能走通的路，后面验证时再一条条划掉或打勾。

漏洞扫描要带着目的去做。别开全端口全插件的默认配置，那只会产生一堆误报。针对上一步圈定的入口，选对应的POC。比如目标用Shiro框架，就直接上Shiro反序列化工具；看到Nacos控制台，先试默认口令。扫描结果里那些“中危”往往比“高危”更有用——一个信息泄露可能帮你拼出管理员账号。这一步的节奏要快，两小时内必须出初步结果，否则蓝队可能已经封了你的扫描IP。

渗透攻击是验证假设的过程。我坚持手工验证每个漏洞，哪怕工具报了“存在”。SQL注入点用手工报错确认，文件上传用图片马测试。有一次工具说Struts2漏洞可利用，实际打过去发现目标打了补丁但版本号没改。攻击阶段最忌讳“一把梭”，每打一个点就停下来看日志有没有异常流量。拿到第一个shell后，别急着横向，先做本地信息收集：`whoami /priv`、`net user`、`ipconfig /all`，这些输出比任何扫描器都真实。

权限提升往往卡在细节上。Windows下用`SeImpersonate`令牌冒充，Linux下找SUID文件或计划任务。有个案例是目标服务器装了旧版WinRAR，直接通过ACE漏洞提权到SYSTEM。提权成功后立刻做持久化——加一个隐藏账号或者计划任务，但别用Meterpreter的`persistence`模块，那个太容易被EDR抓。我自己写个简单的VBS脚本放在启动目录，比任何花哨的后门都稳。

内网横向移动要像水一样渗透。别用`psexec`这种噪音大的工具，优先用WMI和WinRM。拿到一台机器后，先看它的网络连接和ARP表，找出跟它通信最频繁的内网IP。用`net view`看共享，用`nltest`查域信任。有一次通过一个运维人员的工作站，发现他浏览器保存了域管密码，直接省去了一周的爆破时间。横向时记住：每跳一次就清理一次日志，但别删系统日志，只清安全日志里你自己的记录。

痕迹清理不是最后才做。从拿到第一个shell开始，就要用`wevtutil`清指定事件ID，用`timestomp`改文件时间。但更关键的是“行为痕迹”——别在目标机器上留工具，全部用内存加载。我习惯把mimikatz换成powershell版，执行完立刻清历史。有一次客户的安全团队事后复盘，发现我们用了`certutil`下载文件，但下载的URL是合法CDN，他们查了三天才确认是攻击流量。

报告撰写要像讲故事。别堆砌漏洞列表，按攻击路径的时间线写：几点几分从哪个IP进入，用了什么手法，拿到了什么权限，最终影响了哪些业务。每个漏洞附上修复建议，但别写“升级到最新版本”这种废话——要具体到“把Shiro的rememberMe密钥从默认值改为32位随机字符串”。最后附上攻击路径图，用不同颜色标注已利用和未利用的漏洞。客户的技术人员看完能直接动手改配置，这才算合格。