渗透不正规

去年秋天，渗透我在一个技术群里看到有人发了一张截图。不正某单位内部OA系统的渗透登录页面，下面赫然写着“测试账号：admin，不正密码：123456”。渗透发图的不正人配了句：“这还用渗透？”群里笑了半天。但笑完之后，渗透没人觉得意外。不正因为这种事太常见了。渗透

所谓“渗透不正规”，不正不是渗透说攻击手法有多高明，恰恰相反——是不正防守方太随意了。我见过一个真实案例：某地级市的渗透一家医院，HIS系统对公网开放了3389端口，不正管理员密码是渗透医院名称的拼音加“2023”。这不是什么高级漏洞，任何一个会跑Nmap扫描的脚本小子都能进去。后来据说是被勒索了，数据全锁。院方对外说是“系统升级”，但圈内人都知道怎么回事。

问题出在哪？不是技术不行，是流程形同虚设。很多单位买防火墙、买EDR、买等保测评，钱花了不少，但资产台账是乱的。一台测试服务器用完就扔在机房里，没人管，默认密码没改，端口没关。你问运维，他说“那台不归我管”。问开发，他说“早就移交了”。最后谁都不管，直到被人拿shell。

我自己的观察是，大部分被“不正规”渗透打穿的，都不是什么0day。就是弱口令、未授权访问、SQL注入这些老掉牙的东西。去年有个做安全的朋友去一家企业做应急，发现攻击者用的工具是五年前的XSS平台，payload写得乱七八糟，但照样拿到了域控。为什么？因为内网里一台Windows Server 2008的机器还开着MS17-010的漏洞，补丁从来没打过。朋友说，他当时看着那台机器的屏幕，桌面壁纸还是“XX公司十周年庆”，文件修改日期停在2016年。

更离谱的是权限管理。我见过一个后台管理系统，普通用户登录后，URL里把userid改成1，直接变成超级管理员。没有任何校验。开发者的逻辑大概是“反正前端隐藏了按钮”。这种“不正规”渗透根本不需要什么技术，改个数字就行。还有一次，某App的API接口，把手机号后面的星号去掉，就能看到完整号码。抓包改一下返回包的事。

你说这些单位没做安全？做了。等保测评过了，渗透测试报告也有，但报告里写的都是“建议修复”，没人跟进。安全设备买了一堆，告警没人看。日志存了半年，从来没查过。攻击者进来了，横向移动了，数据打包带走了，全程静悄悄。等发现的时候，已经是三个月后，还是因为另一个不相干的事件被顺带查出来的。

我并不是在嘲笑谁。这种“不正规”背后是资源、意识和优先级的问题。一个只有两个运维的单位，要管几百台机器，还要应付各种检查，能保证业务不崩就不错了。安全？那是“重要但不紧急”的事。可攻击者不跟你讲这个。他们专挑这种地方下手，成本低，收益高，还安全——因为很多单位被打了根本不报警，怕影响不好。

所以“渗透不正规”这个说法，其实挺讽刺的。不正规的不是渗透，是防守。攻击者只是顺着你留下的门走进来，连撬锁都省了。你问怎么防？先把默认密码改了，再把没用的端口关了，最后把资产列表理清楚。这三件事做完，能挡住八成以上的“不正规”渗透。剩下的，再说。