渗透三字经

扫描器嗡嗡响，渗透字经像一只永不疲倦的渗透字经蚊子。凌晨两点，渗透字经我盯着屏幕上的渗透字经响应码，200，渗透字经404，渗透字经302，渗透字经200——等等，渗透字经那个200不对劲。渗透字经管理员登录页居然返回200，渗透字经而且没有跳转。渗透字经手搭在键盘上，渗透字经心跳快了一拍。渗透字经这就是渗透字经渗透测试最迷人的时刻：你发现了别人没看见的东西。

信息收集是渗透字经命，别急着打点。多少人上来就掏nuclei，跑完一脸懵。我见过太多新手把目标域名丢进子域名挖掘机，拿到几个子域就兴奋得不行，结果撞上WAF被拦得死死的。真正的老手会把时间花在Google dorking上，翻GitHub泄露的代码，看目标公司的招聘JD——你猜怎么着？某次我在他们的招聘要求里发现“熟悉Kibana查询语法”，顺着这个线索找到了一个没做鉴权的日志平台，里面躺着生产环境的数据库密码。细节，全是细节。

打点要巧，别硬刚。SQL注入还在用sqlmap跑全套？兄弟，那是2015年的打法了。现在你得学会读流量，看参数，手工判断闭合方式。有一次遇到一个登录接口，所有常规注入都被过滤了，我盯着数据包看了半小时，发现JSON格式里有个timestamp字段，服务端会把它拼进SQL查询——而且是字符串拼接，不是参数化查询。改个时间戳，延迟注入，三秒后数据出来了。那种感觉，比中彩票还爽。

提权靠熬，也靠运气。Linux内核漏洞库翻烂了，sudo -l一看，居然有个脚本以root权限定时执行，而这个脚本的父目录，当前用户可写。写个反弹shell进去，等两分钟，root到手。Windows那边更玄学，有时候一个错误的服务权限配置就能让你从guest变成system。别迷信什么永恒之蓝，现实中的提权往往就藏在你忽略的角落——计划任务、服务路径、注册表自启动项，甚至环境变量都能做文章。

内网横向才是重头戏。拿到一台机器只是入场券。你要学会用mimikatz抓凭证，用BloodHound画攻击路径，找域管的登录习惯。记得有次攻到内网，所有机器都打了补丁，域控也加固了。最后怎么进去的？我发现运维把域管密码存在了一个共享文件夹的Excel里，文件名是“备份勿动.xlsx”。笑死，这种文件就像写着“请打开我”的礼物。密码就在那躺着，权限就在那挂着，渗透测试有时候比的就是谁更细心。

报告才是最终交付物。别整那些花里胡哨的漏洞描述，客户要看的是：能造成什么影响，怎么修复，复现步骤够不够清晰。我习惯在每个高危漏洞后面附上时间线，几点发现，几点验证，几点写出利用脚本——这样显得专业，也让客户知道你不是在瞎编。当然，报告里也要写清楚哪些数据被访问了，虽然你只是测试，但该说的风险得说透。

收尾要干净。清理上传的webshell，删掉创建的账号，恢复被修改的配置。这不是可做可不做，而是职业底线。上次碰到个同行，测试完忘了删后门，结果被恶意利用，客户直接报警。这行当，技术是双刃剑，守不住规矩，迟早把自己折进去。我每次收尾都会检查三遍：进程列表、启动项、临时文件目录，确认没有留下任何痕迹才签字走人。

渗透测试说到底，就是一场心智游戏。你猜开发怎么想的，运维怎么偷懒的，老板怎么忽视安全的。猜对了，系统就是你的；猜错了，回去继续翻代码。没有永远的攻不破，只有还没找到的口子。而这，正是这行最迷人的地方——永远有新东西要学，永远有意外在等你。