外网渗透

很多人把“外网渗透”想得跟电影里一样——敲几行代码，外网渗透屏幕跳出绿色字符，外网渗透五角大楼的外网渗透防火墙就塌了。现实里没这么帅。外网渗透绝大多数能得手的外网渗透案例，靠的外网渗透都是笨功夫：翻公开信息、猜弱口令、外网渗透找一个忘了打补丁的外网渗透服务。

去年有个挺典型的外网渗透例子。某中型企业的外网渗透运维图省事，把内部测试环境的外网渗透Jenkins控制台直接映射到了公网，端口没改，外网渗透密码是外网渗透admin/admin123。攻击者压根没用任何漏洞利用工具，外网渗透浏览器打开，外网渗透输密码，进去，然后通过Jenkins的构建脚本执行功能拿到了服务器shell。整个过程不到十分钟。这事后来被写进了某SRC的年度报告，但企业名字没披露。我提这个是想说，外网渗透的入口，往往不是“攻破”的，而是“捡到”的。

信息收集才是重头戏

真正花时间的环节在前期。你要摸清目标有多少域名、多少子域、哪些IP段归属它、员工邮箱格式是什么、用了哪家云服务商、有没有在GitHub上泄露过密钥。这些信息散落在各处，Whois记录、DNS历史解析、SSL证书透明度日志、招聘网站上的技术栈描述、甚至员工在技术论坛发的求助帖。

我见过一个案例，攻击者从目标公司某员工在Stack Overflow上的提问里，推断出他们内部用的是一套老版本的Confluence，然后针对性地去找对应版本的CVE。这种信息拼图的过程，比最后那一下exploit有意思得多。

边界设备是重灾区

VPN网关、邮件网关、防火墙管理接口——这些东西天然暴露在公网，而且很多企业买了之后就不怎么管了。固件不升级，默认证书不换，管理端口对着公网开放。Fortinet、Palo Alto、Citrix这些厂商的网关产品，这几年爆了多少个高危漏洞，每次一爆，暗网上就会出现批量扫描的脚本，专门找没打补丁的。

一个做渗透的朋友跟我说过，他接的活里，大概六成以上的初始访问权限是从边界设备进来的。剩下的才是钓鱼、供应链、物理接触这些路子。钓鱼其实成功率没外人想的那么高，尤其是有一定安全意识的公司，邮件网关一拦，员工再培训过几轮，上钩的人很少。但边界设备不一样，它必须对外开放，不然业务没法跑。

拿到入口之后的事

进了内网不等于结束，恰恰相反，麻烦才刚开始。内网横向移动要面对EDR、流量监测、域控的各种日志。很多新手卡在这一步，进去之后乱扫端口，触发告警，然后被踢出来。老手会先蹲着，看流量，找那些没装agent的老旧系统，或者利用运维人员图方便配的信任关系。

有个细节值得说：很多内网里最脆弱的不是业务服务器，是运维跳板机。密码复用、SSH密钥到处放、sudo权限给得随意。拿下跳板机，基本等于拿下了半个内网。

防守方的困境

说句不好听的，大部分中小企业的安全投入，连“及格”都算不上。资产清单都不全，你让他怎么防？影子资产、离职员工没注销的账号、测试环境忘了下线——这些洞不是靠买设备能堵住的。大厂相对好一些，但大厂资产多、变化快，管理复杂度指数级上升，照样有漏。

外网渗透这件事，攻防两端的信息差太大了。攻击者只需要找到一个弱点，防守方要堵住所有弱点。这个不对称，短期内看不到解决的可能。

很赞哦!（3）