凌晨两点，渗透甲方运维打来电话，流程说内网一台数据库服务器CPU飙到100%。渗透我登录跳板机，流程看了一眼进程列表——一个叫`sysupdate`的渗透进程占满了核心，父进程是流程`init`，但启动时间戳对不上。渗透这就有点意思了。流程

真正的渗透渗透从来不是从扫描器开始的。扫描器只会告诉你哪里开着端口，流程但不会告诉你哪台机器上有个运维偷懒没改默认密码。渗透我的流程习惯是先翻邮件网关的登录日志，找那些反复尝试失败但又没触发告警的渗透IP段——那通常意味着有人在用弱口令字典慢慢试，而你家的流程安全设备刚好把阈值设得太高。

拿到一个shell之后，渗透事情才刚开始。这时候最忌讳的是急着提权。我一般先看环境变量，`PATH`里有没有可写的目录，`history`文件里有没有泄露的密码，`/tmp`下有没有别的攻击者留下的工具。有一次我进了一台web服务器，发现`/var/spool/cron`里躺着一条每分钟执行一次的curl命令，回连到一个境外IP——那哥们比我先到，但留了个后门没清干净。我顺手把他的后门改成我的，再补了个iptables规则，把那个境外IP封了。这就是渗透里的“捡漏”，有时候比硬打有意思多了。

横向移动才是重头戏。很多人以为内网就是个大局域网，随便扫一扫就能找到域控。现实是现在稍微正规点的公司都做了VLAN隔离，你得先搞清楚自己在哪个网段，能到哪，不能到哪。我惯用的手法是看ARP缓存和路由表，再结合DHCP服务器的租约记录，能拼出一张大概的网络拓扑。别小看这个笨办法，比任何自动化工具都靠谱。有一次我就靠着一份没删干净的`tcpdump`抓包文件，从里面翻出了域管账号的NTLM hash——那台机器是财务部的，没人想到他们会装Wireshark。

最后一步，也是最容易被新手忽略的——痕迹清理。不是删个日志就完事了。你得考虑时间线：你登录的时候是几点，那个时间段的日志如果整个消失，反而更显眼。正确做法是只删掉和你操作相关的记录，再伪造几条正常的访问日志填补空白。更讲究一点，会把`/var/log/wtmp`的修改时间改成和旁边文件一致。这些细节，决定了你这次渗透是被当成一次普通漏洞，还是被当成一次入侵事件来溯源。

说到底，渗透流程图画到最后，画的不是技术步骤，是人的心理。你猜运维什么时候会打补丁，猜管理员会把密码存在哪个txt文件里，猜安全团队多久查一次日志。技术是死的，人是活的。所以每次拿到授权，我都在心里默念一遍：别把这事当成打游戏，这是和一群活生生的人在捉迷藏。