渗透测试步骤

凌晨两点，渗透客户的测试生产服务器突然弹出一条告警——某个管理后台的登录接口被暴力破解尝试了三千多次。我盯着屏幕，步骤第一反应不是渗透去封IP，而是测试打开Burp Suite抓包。这才是步骤渗透测试真正的起点：不是从工具开始，而是渗透从怀疑开始。

第一步永远是测试信息收集，但别把它想成简单的步骤“查域名、扫端口”。渗透我见过太多新手拿着nmap一顿乱扫，测试扫完就懵了。步骤真正的渗透信息收集要带着目的去挖，比如查一下目标的测试SSL证书历史记录，往往能翻出测试环境的步骤子域名——那才是最容易攻破的突破口。有一次，我通过证书透明度日志找到一个staging站点，密码还是默认的admin/admin，整个过程不到十分钟。

接下来是漏洞扫描，但自动扫描器只能给你一堆“疑似”清单。Nessus报了个高危SQL注入，我手动验证时发现参数被WAF过滤了，绕不过去。这时候别死磕，换个思路——试试同IP段的其他端口，或者用Google dorks找备份文件。扫描器是地图，不是向导，真正的路径得自己蹚出来。

漏洞验证阶段最考验耐心。拿SQL注入来说，报错注入、布尔盲注、时间盲注，每种都得试。有次遇到一个POST参数，加了单引号没反应，改成双写百分号编码反而触发了报错——数据库是PostgreSQL，错误信息直接吐在响应头里。那一刻你会觉得，渗透测试就像跟服务器玩捉迷藏，它藏得越深，你找到时越爽。

利用漏洞拿权限只是中场，不是终场。拿到webshell后，第一件事不是去翻数据库，而是检查当前用户有没有sudo权限，或者看看有没有其他服务以root运行。Linux的cron任务、Windows的计划任务，都是提权的好入口。我印象最深的是一次提权，靠的是目标机器上装了个老旧的Docker版本，容器逃逸后直接拿到宿主机权限——那感觉，比破解密码爽十倍。

权限维持和痕迹清理往往被新手忽略，但真实攻防里这步能决定成败。留后门别用常见的反弹shell，加个SSH公钥，或者写个定时任务每隔几分钟连一次你的服务器。清理日志时别只删/var/log/auth.log，还要检查bash_history和临时目录。有次客户要求做“无声测试”，我进去后改了系统时间，让日志时间线错乱，结果蓝队查了半天没查到我真正的入侵点。

最后一步是报告，但这绝不是把扫描结果复制粘贴。好的报告要写清楚攻击路径：入口是哪个参数，绕过WAF用了什么编码，提权利用了哪个版本漏洞，每一步都要有截图和请求响应记录。客户要的不是“你发现了什么”，而是“我该怎么修”。所以每条漏洞后面，我都会附上具体的修复建议，比如“把参数类型从字符串改成整型”，而不是空泛的“加强输入验证”。

渗透测试从来不是按部就班的流水线。有时候你按流程走完，一无所获，却在最后半小时因为点错了一个按钮，发现了一个未授权访问的接口。这行当靠的是经验、直觉，还有一点点运气。但流程是骨架，没有骨架，运气来了你也接不住。

很赞哦!（2617）