渗透测试教程：从拿下一台靶机开始

别急着背工具手册。渗透真正的测试渗透测试，第一课是教程学会“看”——看目标怎么呼吸。我见过太多新手，渗透打开Nmap就狂扫端口，测试扫完一脸懵。教程他们缺的渗透不是命令，是测试思路。

拿一台最简单的教程Linux靶机举例。假设IP是渗透192.168.1.105。你先别扫，测试先ping一下。教程通了，渗透说明主机活着，测试TTL值大概64，教程Linux系统。这一步不是炫技，是建立“目标存在感”。然后才轮到端口扫描。我习惯用`nmap -sV -O -p- 192.168.1.105`，全端口跑一遍，别偷懒用默认的1000个端口。上次我扫一个真实客户，默认端口全开，结果8080端口藏着个老旧的Tomcat管理后台——默认密码admin/admin，直接进去了。

拿到端口列表后，别急着点开HTTP服务。先看服务版本。比如发现22端口是OpenSSH 7.2，那基本可以放弃暴力破解，这版本没已知漏洞。但如果看到的是Apache 2.4.49，眼睛要亮——这是CVE-2021-41773，路径穿越加RCE，一条curl命令就能拿shell。具体怎么打？`curl --path-as-is http://target/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd`，先验证读取，再改POST方法上传命令。这不是背payload，是理解“服务器对编码路径的解析差异”。

但渗透测试不是CTF，不是拿到root就完事。有一次我打一个内网靶场，花了半小时拿下Web服务器，提权成功，却卡在横向移动上。后来发现，我漏看了/etc/hosts文件里一个内网域名——admin.internal。这就是细节。很多人拿到shell后习惯性翻配置文件，找数据库密码，但忘了看“内部网络拓扑线索”。那台机器上有个定时任务，每5分钟执行一个脚本，脚本里硬编码了另一台服务器的SSH密钥。我顺着这条线，才真正摸到核心数据区。

工具只是放大器。Burp Suite抓包改包是基本功，但真正拉开差距的是“对业务逻辑的理解”。比如一个登录接口，参数是username和password，你测SQL注入，发现被过滤了。但如果你多试一个参数——rememberMe——可能直接触发反序列化漏洞。这是Shiro框架的老毛病，但现实中依然大量存在。我见过一个金融客户，所有参数都做了WAF过滤，唯独忘了cookie里的rememberMe字段，结果被打了内存马。这不是技术多高深，是攻击面分析时漏了“非标准入口”。

写报告比打进去更见功力。别写“发现SQL注入漏洞，风险高”，要写“某接口存在时间盲注，通过sleep(5)验证，可获取库名，建议使用预编译语句”。报告要能指导修复，不是吓唬人。有一次我给甲方报告，只写了“存在XXS漏洞”，对方开发直接回一句“我们过滤了尖括号”。我补上细节：“在img标签的onerror属性里绕过过滤，触发弹窗”，他们才真正理解问题。渗透测试的价值，不在攻破那一刻，在于让防守方看清自己的盲区。

最后说点实在的。别迷信那些“一小时拿站”的教程。真实渗透，大部分时间花在信息收集和反复验证上。你扫到的端口、看到的版本、读到的配置，每一个都可能是假象。靶机环境里，管理员故意留了蜜罐文件，里面全是假密码，你用了就触发告警。所以，拿到任何线索，先验证，再行动。

渗透测试这行，门槛不高，天花板很高。会打命令的遍地都是，能讲清楚“为什么这么打”的，才是稀缺资源。你现在打开终端，从一台靶机开始，别急着找flag，先学会记录每一步决策的“为什么”。这条路，你才算真正踏进来了。