渗透路线图

去年秋天，渗透我在一个做企业安全的渗透朋友那儿看到一张图。A3纸打印的渗透，贴在他工位隔板上，渗透标题就四个字：渗透路线图。渗透上面画满了箭头、渗透圈和批注，渗透红笔蓝笔黑笔混在一起，渗透像一张被反复修改过的渗透作战地图。我问他这玩意儿真有用？渗透他说，每次打点之前看一眼，渗透少走三小时弯路。渗透

那张图的渗透核心其实不复杂——它把一次完整的渗透拆成了几个阶段，每个阶段标了常见入口和检查项。渗透但真正让我感兴趣的渗透，是他在旁边手写的一行小字：“别急着往上打，先看清楚脚下踩的是什么。”

入口往往比你想象的更普通

很多人一提到渗透，脑子里蹦出来的是零日漏洞、复杂的溢出利用、精心构造的payload。现实里，我见过最多的突破口是——一个忘了关的测试接口，一份误传到GitHub的配置文件，一台跑着旧版Jenkins的服务器。

有个案例我印象很深。某次内部演练，目标是一家中型电商。正面防守做得很扎实，WAF、IPS、定期扫描一样不少。结果呢？有人在他们的招聘页面发现了一个“上传简历”的功能，后端直接把文件存到了Web目录下，还没做类型校验。传个jsp上去，路径一拼，shell就到手了。整个过程没用任何高级技巧，就是观察加耐心。

所以路线图的第一步从来不是“找漏洞”，而是“找资产”。子域名、旁站、C段、移动端API、甚至离职员工还在用的VPN账号——这些东西不会自己跳出来，得一个个翻。

横向移动才是真正考验耐心的地方

拿到第一个shell，兴奋感大概持续十分钟。然后你就发现，这台机器在DMZ区，除了能访问几个内部Web服务，什么都干不了。这时候路线图上的箭头开始分叉：是提权，还是做隧道，还是先翻翻本机上的配置文件找找数据库密码？

我自己的习惯是先翻家目录和临时文件。有次在一台Linux跳板机上，/tmp目录下躺着一个叫“backup.sh”的脚本，里面明文写着MySQL的root密码。运维图省事，把备份脚本扔那儿忘了删。就靠这个，直接连上了核心库。

横向移动的工具很多，Impacket、CrackMapExec、fscan，但工具解决的是“怎么打”，路线图解决的是“往哪打”。前者是战术，后者是战略。没有战略的战术，就是瞎撞。

权限维持比拿权限更难

很多人打完就撤，觉得拿了域管就万事大吉。真实场景里，防守方发现异常后的响应速度可能比你想象得快。凌晨三点拿到域控，早上八点安全团队上班，九点就开始全网排查。你留下的那个计划任务、那个隐藏账号、那个SSH公钥，能不能扛过第一轮清洗？

路线图的最后一段，我朋友写的是“留后路，但别贪”。意思是，维持权限要克制，别到处种马，别改系统核心文件，别动业务数据。动静越小，活得越久。他有个比喻我觉得挺准：渗透不是攻城，是入室。你进去之后要做的不是把房子拆了，而是找到保险柜，拿东西，然后尽量让主人觉得家里没进过人。

那张图最后被翻烂了

我后来自己也照着画了一张，贴在显示器旁边。每次做测试之前扫一眼，确实能省不少事。它不是什么高深的东西，就是把经验固化下来，提醒自己别跳步、别上头、别忽略最基本的信息收集。

渗透这件事，说到底拼的不是谁的工具更花哨，而是谁更了解目标、更有耐心、更少犯错。路线图的意义，大概就是让你在复杂的环境里，还能记得自己走到哪一步了。

很赞哦!（58）