渗透端口

凌晨两点，渗透端口我对着一个IP地址发呆。渗透端口目标是渗透端口个老旧的医疗系统，端口扫描结果像张病历单——21、渗透端口22、渗透端口80、渗透端口443、渗透端口3306，渗透端口外加一个诡异的渗透端口8080。前几个端口硬得跟铁板似的渗透端口，SSH拒绝一切密码尝试，渗透端口Web服务补丁打得整整齐齐。渗透端口唯独那个8080，渗透端口指纹识别显示是渗透端口Tomcat，版本号老得能进博物馆。渗透端口

我试着敲了个默认路径，/manager/html。弹出来的登录框白得刺眼，像个没上锁的后门。弱口令admin/admin，回车。进去了。

这事说起来轻巧，但渗透测试里最魔幻的就是这种时刻——你准备了二十种绕过WAF的方案，准备了SQL注入的payload库，准备了提权用的内核漏洞利用代码，结果对方用一把生锈的挂锁锁着金库。

8080端口上的Tomcat管理后台，默认口令，这消息要是放十年前能让人笑掉大牙。可现实就是如此，医院的信息科主任可能忙着应付领导检查，外包的运维公司三个月才来看一次，而那个部署于2012年的系统，就这么赤裸裸地暴露在公网。

拿到管理权限后，正经做法是上传一个WAR包，直接拿下服务器。我盯着上传按钮犹豫了几秒——这系统里存着几万条患者影像数据，万一搞崩了，明天CT室就得停工。于是我只传了个静态页面，证明能写文件，然后退出登录，在报告里把严重程度标为“紧急”。

后来跟那家医院的信息科负责人聊起这事，他第一反应是“不可能”，第二反应是“你们怎么知道的”。当我把截图发过去，他沉默了半晌，说“那台服务器是五年前一个厂商送的，他们离职时没交接清楚”。

你看，渗透端口从来不是技术问题，而是管理问题。每个开放的端口背后都有一段历史——某个急着上线的程序员改了默认配置忘了改回来，某个运维为了省事把测试服务挂在生产环境，某个销售为了演示方便在客户服务器上留了后门账号。端口扫描器只是个放大器，把那些年久失修的人为疏忽照得清清楚楚。

我见过最讽刺的案例，某银行的核心系统，所有端口都加固得固若金汤，唯独一台打印服务器的515端口敞开着。攻击者顺着打印协议摸进去，横向移动三天，最后从打印服务器跳板到了核心数据库。事后复盘时发现，那台打印服务器是2016年采购的，管理员一直以为它只在内网运行，没人告诉它其实接了条外网专线。

端口像城市的窗户。有些窗户挂着防盗网，有些窗户贴了防爆膜，但总有一两扇，因为装了空调或者排风扇，就永远留了条缝。渗透测试员干的事，就是沿着墙根走一圈，挨个儿推推那些窗户。多数推不动，但只要有一扇能推开，整个建筑的安全假设就崩塌了。

那次测试结束后，我在报告末尾附了条建议：把所有非必要端口全部关闭，只留80和443，其余的走VPN。三个月后回访，对方说改了，但又补了句“明年要上新的影像系统，厂商说要开个FTP端口传数据”。我听着，感觉那扇窗户迟早又会打开。

端口永远在那里，开着或关着，等着某个深夜的扫描器轻轻叩响。