三重渗透

去年夏天，重渗透我在一个网络安全沙龙上碰到老周。重渗透他干了十五年渗透测试，重渗透那天喝了两杯，重渗透话多起来。重渗透他说现在最怕的重渗透不是防火墙多厚，是重渗透客户自己把门开着。“三重渗透”这个词就是重渗透他嘴里蹦出来的，不是重渗透什么学术术语，是重渗透他自己总结的一套打法——网络层、应用层、重渗透人，重渗透三个方向同时往里钻。重渗透

网络层那关，重渗透老周说其实最无聊。重渗透扫端口、找漏洞、提权，工具跑一遍，该出来的都出来了。真正有意思的是第二层。他给我举了个例子：某次给一家物流公司做测试，外网打不进去，WAF拦得死死的。结果他发现对方用了一个开源CMS，版本号藏在网页源码的注释里。顺着版本号搜到一个三个月前公开的SQL注入漏洞，官方补丁出了，但这家公司没打。老周说这话时手指敲着桌子：“你知道最讽刺的是什么？他们花了几十万买WAF，却没人去点一下后台的更新按钮。”

应用层渗透的核心不是技术多高深，是找那种“人懒得管”的缝隙。老周管这叫“捡漏思维”。他有个习惯，拿到一个目标先不急着扫，花半天时间把对方的招聘信息、GitHub提交记录、甚至员工在技术论坛的提问翻一遍。有次他从一个离职员工的博客里看到对方内部用了一款老旧的Jenkins，连默认口令都没改。直接进去了。

但真正让老周觉得“三重渗透”成立的，是第三层——人。他说前两层是技术活，第三层是心理活。去年他接了一个案子，目标公司技术团队很强，外网几乎没破绽。他换了个思路，冒充猎头给他们的运维工程师发了封邮件，附了一个“职位详情”的PDF。那PDF里嵌了一个反向shell。工程师点开看了，没反应，关掉了。但shell已经连上了。老周说那天晚上他坐在电脑前，看着对方内网拓扑一点点展开，心里没什么成就感，反而有点发凉。“你防住了机器，没防住人想看新机会的那一下点击。”

这三层不是依次进行的，是同时铺开。网络层扫着，应用层翻着，人那边聊着。哪边先开口子，就从哪边进。老周说这叫“三重渗透”的真正含义——不是三个步骤，是三个方向同时施压。防守方往往只盯着其中一个方向，另外两个就成了盲区。

我后来自己试过一次。给一个中型电商做授权测试。网络层没戏，应用层找到一个越权查看订单的接口，但只能看不能改。人那边，我伪装成客户给客服打电话，套出了内部IM的命名规则。然后用那个规则猜到了一个测试账号的密码。从那个账号登进去，发现它居然有生产环境的只读权限。三层单独看都不致命，叠在一起，整条链路就通了。

老周有句话我记到现在：“渗透测试到最后，拼的不是谁工具多，是谁更愿意蹲下来看那些没人愿意看的角落。”三重渗透不是什么高级方法论，就是把视线从屏幕上挪开一会儿，看看屏幕后面的人，和那个人懒得点的那一下。

很赞哦!（56）