确定渗透

去年冬天，确定渗透我在一个做企业安全的确定渗透朋友那儿喝茶。他盯着屏幕突然骂了一句：“又来了。确定渗透”我凑过去看，确定渗透防火墙日志里一串IP正以每秒几十次的确定渗透频率敲SSH端口，用户名从admin试到test，确定渗透密码字典跑得飞起。确定渗透他说这还算客气的确定渗透，有的确定渗透直接往Web接口灌SQL注入，连伪装都懒得做。确定渗透渗透测试这行当，确定渗透外人看着像黑客电影，确定渗透实际干起来八成时间都在跟这种笨功夫打交道——可偏偏就是确定渗透这种笨功夫，往往能撕开口子。确定渗透

确定渗透，确定渗透说白了就是“先摸清门朝哪开，再决定从哪扇窗翻进去”。很多人一上来就急着找漏洞、掏工具，nmap一跑、burp一挂，觉得满屏红字就是胜利。我见过一个刚入行的兄弟，对着目标站扫了三天目录，最后发现后台登录页就写在robots.txt里。工具没毛病，人太急。真正的渗透第一步永远是信息收集，而且不是机械地跑扫描器，是带着脑子去拼图。域名注册邮箱、GitHub提交记录里的内网IP、招聘启事里提到的技术栈——这些碎片拼起来，比任何漏洞扫描报告都值钱。

说个具体的。前年帮一家小公司做授权测试，外网就一个官网，WAF挡得严严实实。扫了两天没进展，我干脆去翻他们的领英页面。一个运维工程师的简历里写着“负责Zabbix监控体系维护”，另一个开发提到“使用Jenkins实现自动化部署”。好，Zabbix和Jenkins。这两个东西如果暴露在公网，默认口令或者未授权访问的概率不低。顺着这个思路去找，果然在一个不显眼的子域名上发现了Zabbix登录页，版本号都没改。默认口令Admin/zabbix一试就进。从那儿拿到内网拓扑，后面的事就顺了。漏洞不在代码里，在人写简历的习惯里。

确定渗透的关键词是“确定”，不是“渗透”。确定什么？确定边界在哪、确定哪些资产是活的、确定哪条路径阻力最小。这活儿有点像老中医，望闻问切比下猛药重要。很多团队栽跟头，不是技术不行，是没搞清楚自己到底有多少东西暴露在外面。影子资产、测试环境、离职员工没删的VPN账号——这些东西扫描器扫不出来，得靠人蹲在那儿一点点捋。

我习惯在正式动手前画一张图。不是那种花里胡哨的攻击路径图，就是一张A4纸，左边列域名和IP，右边标端口和服务，中间用箭头连。箭头粗的表示“大概率能走通”，虚线表示“理论可行但成本高”。这张图会随着信息收集不断改，有时候画到一半发现某个服务版本对不上，整条线就得推倒重来。烦，但比瞎撞强。有一次画到第三版才注意到，目标主站和邮件系统用的是同一套LDAP认证。这意味着只要拿下邮件系统的弱口令，主站也就跟着开了。之前盯着主站折腾一周，方向全错了。

当然，确定不等于死板。渗透过程中随时可能冒出意外收获——一个报错页面泄露的绝对路径、一个没设防的API接口返回了用户列表。这时候得停下来重新评估：是继续按原计划走，还是顺着新线索摸下去。我的经验是，如果新线索指向的资产在原始范围之外，先放一放，把范围内的目标吃透再说。越界这事儿，授权书里没写就别碰，这是底线。

最后说句实在的。确定渗透做得好不好，不看拿没拿到域控，看的是报告里能不能把“怎么进来的、能摸到多少东西、该怎么堵”讲清楚。客户要的不是你炫技，是你告诉他哪扇门没锁。去年那个Zabbix的案例，报告里我写了三页整改建议，从改默认口令到限制内网访问，再到监控告警规则。后来他们运维总监打电话说，照着改完之后，扫描器再也没报过那个子域名。这比拿十个shell都舒服。