2019年夏天，径渗透一个叫“海鸥”的径渗透渗透测试项目让我记到现在。目标是径渗透一家做跨境电商的中型公司，外网只有一个VPN入口和一台邮件服务器。径渗透客户觉得防护做得不错——VPN开了双因素认证，径渗透邮件网关也买了商业方案。径渗透我们花了三天，径渗透常规手段全试了一遍，径渗透没进去。径渗透

第四天，径渗透我在领英上翻到了他们运维总监的径渗透个人主页。他晒了一张办公室照片，径渗透角落里白板上写着一串IP地址。径渗透照片分辨率不高，径渗透但放大后勉强能认出前三段。径渗透最后一段被一盆绿萝挡住了。

这种事不新鲜。信息收集阶段，人的疏忽永远比系统的漏洞好利用。

我们顺着那串IP扫了C段，发现一台测试服务器开着8080端口，跑着一个旧版Jenkins。默认口令没改，admin/admin直接进去了。Jenkins的脚本控制台能执行系统命令，权限是nt authority\system。这台机器双网卡，一张对外，一张连着内网。

从外网到内网核心，总共用了不到两个小时。

路径渗透的核心逻辑就是这样——你不需要正面突破防火墙，只需要找到一条别人没注意到的路。这条路可能是一个忘了关的测试端口，一个复用的密码，一张不该发出来的照片。防守方往往把精力集中在边界防御上，但攻击者看的是整个攻击面。边界再厚，侧面总有一扇没锁的门。

我后来跟这家公司的CTO聊过。他说那台测试服务器是半年前一个实习生搭的，人走了，机器没人管。Jenkins装的时候用了默认配置，想着反正内网访问，无所谓。问题就在这个“无所谓”上。它同时暴露在公网和内网，等于在城墙上开了一个洞，还挂了块牌子写着“这里没人管”。

渗透测试报告里，我们把这条路径画成了一张图：领英照片→IP段→测试服务器→内网跳板→域控。每一步单独看都不致命，串起来就是一条完整的攻击链。客户看完沉默了很久，问了一句：“如果真是攻击者，我们是不是已经没了？”我说是。

这件事之后我养成一个习惯：每次做渗透，先花半天时间只做信息收集，不碰任何工具。看目标员工的社交媒体，翻GitHub上有没有人提交过内部代码，查招聘信息里透露的技术栈。这些碎片拼在一起，往往比漏扫报告更有价值。

防守方也一样。你不需要把每台机器都武装到牙齿，但得知道自己的网络里到底有多少台机器、多少个入口、多少条路径。很多公司连资产清单都不全，谈何防护。一台被遗忘的测试服务器，比十个没打补丁的生产系统更危险——因为后者你知道它存在，前者你根本不知道。

路径渗透这个词，听起来像技术活，其实更多是耐心活。攻击者找的是最短路径，防守方要做的，是让每一条路径都有人看着。不需要完美，只需要比隔壁那家公司难搞一点。攻击者也是要算成本的，你的路径够绕，他就换目标了。

那个运维总监后来把领英上的照片删了。但互联网有记忆，那张照片早就被我们存进了报告附件。他大概到现在都不知道，一盆绿萝差点让公司丢了域控。