怎么样渗透

渗透的样渗透第一步，从来不是样渗透技术问题。

2019年，样渗透我帮一家小公司做内网安全评估。样渗透老板拍着胸脯说“我们员工安全意识很强”。样渗透我当着他面拨了前台电话，样渗透假装是样渗透IT部新来的，说需要核对一下VPN账号。样渗透前台犹豫了三秒，样渗透报了一串工号和密码。样渗透老板脸都绿了。样渗透这事跟代码无关，样渗透跟防火墙也无关——渗透的样渗透本质是找“人”的缝隙，技术只是样渗透最后那根撬棍。

信息收集：别急着敲键盘

很多人一上来就打开扫描器，样渗透nmap一顿扫。我以前也这样，后来发现扫出来的东西又杂又乱，还容易触发报警。真正有用的信息，往往在公开渠道里躺着。比如目标公司官网的“团队介绍”页面，员工邮箱格式通常是“名.姓@公司域名”。拿去Google搜一下，配上“filetype:pdf”，能翻出不少内部文档。有一次我搜到一份会议纪要，里面直接写了测试环境的数据库地址和默认口令。那还扫什么？直接连上去就行了。

还有LinkedIn。看员工履历，谁最近刚入职、谁在招聘网站上抱怨过“公司系统太烂”，这些都是切入点。我认识一个渗透测试员，他靠一份招聘JD里的技术栈描述，推断出目标用的是某个有已知漏洞的CMS版本。连扫描都省了。

边界突破：找那个没关的窗

大多数公司的外网防线其实不差。WAF、IPS、定期扫描，该有的都有。但内网往往一塌糊涂。问题出在“边界”这个概念本身——你以为边界是防火墙，实际上边界可能是某个员工家里那台连了公司VPN的路由器，固件还是2016年的。

我试过最离谱的一次，是通过一个智能咖啡机进去的。那家公司给每个楼层配了联网咖啡机，方便统计消耗量。咖啡机的Web管理界面用的是默认密码，而且和办公网在同一个VLAN里。从咖啡机SSH进去，再横向跳到文件服务器，整个过程不到二十分钟。安全团队后来复盘，说“从来没想过咖啡机也算资产”。

权限维持：别当那种进门就砸东西的人

新手渗透喜欢一拿到shell就到处翻。翻完了呢？被踢出来，下次还得重来。真正有用的做法是留后门，但别留那种一眼就被发现的。计划任务加个隐蔽脚本，或者改一下合法服务的配置文件，让它定期回连。我习惯在注册表里塞一个CLSID劫持，普通管理员根本注意不到。

还有一点，别用默认的C2端口。443、8080早被监控烂了。用DNS隧道，或者干脆挂在合法的云服务API上。流量看起来就是正常的HTTPS请求，流量分析设备也犯懒。

横向移动：慢就是快

拿到一台机器后，别急着扫全网。先看这台机器上有什么——浏览器保存的密码、SSH密钥、配置文件里的数据库连接串。很多时候，这些比漏洞利用工具好用得多。我见过一个运维把Ansible的inventory文件放在家目录里，里面列了所有服务器的IP和登录方式。那还打什么？直接照着清单连就行了。

横向移动时，尽量用目标自己的工具。Windows就用PsExec、WMI，Linux就用SSH。别动不动上传mimikatz，杀软不是吃素的。有一次我用目标内部的Jenkins做跳板，因为Jenkins本身就有执行脚本的权限，日志里看起来就是一次正常的构建任务。

最后说点实在的

渗透测试和真实攻击的区别在于授权。但方法本身没区别。你得像攻击者一样思考，但又得守住底线。我见过太多人把渗透当成炫技，扫出一堆漏洞报告交差。客户要的不是漏洞列表，是“我怎么才能不被真的搞进去”。所以每次收尾，我都会写一段：如果我是你，我会先关掉哪个端口、改掉哪个密码、把哪台机器从公网撤下来。这比CVSS评分有用得多。

渗透这件事，技术占三成，耐心占三成，剩下四成是你对“人”的理解。那个前台为什么报密码？因为她怕耽误老板的事。攻击者利用的就是这种怕。你防得住端口，防不住人心。