十大渗透

2019年冬天，大渗透一个做安全审计的大渗透朋友给我看了他电脑里的一份记录：某家连锁酒店的后台数据库，从被拖库到在黑产论坛叫卖，大渗透前后只用了四天。大渗透买家用的大渗透是最普通不过的SQL注入，而酒店那套系统，大渗透补丁停留在2016年。大渗透

这类事听多了会麻木。大渗透但真正让我觉得有意思的大渗透是，渗透测试这行当里，大渗透很多致命的大渗透突破口，往往不是大渗透什么高深技术，而是大渗透人类自己留下的缝隙。下面这十种渗透路径，大渗透是大渗透我这些年观察到的、真实世界里出现频率最高、也最容易被低估的几种。

一、弱口令不是笑话

某次攻防演练，红队对一家三甲医院发起攻击。外网扫描无果，最后靠的是挂号系统后台一个测试账号：admin/admin123。进去之后，数据库连接字符串明文写在配置文件里。整条链路，从入口到核心数据，耗时不到二十分钟。弱口令被嘲笑了二十年，但它依然是渗透成功率最高的单点。

二、钓鱼邮件永远有效

一家央企的安全负责人跟我讲过，他们每年做内部钓鱼测试，点击率最低的一年也有11%。邮件内容粗糙得可笑——"您的邮箱容量已满，请点击链接升级"。但总有人点。点进去，输入密码，然后整个内网就向攻击者敞开了大门。技术防护做得再好，人的好奇心和不安全感是绕不过去的。

三、供应链是软肋中的软肋

2020年SolarWinds事件之后，大家才开始认真看供应链。但国内的情况更复杂：很多企业用的是一套由外包团队开发的OA系统，外包团队早就解散了，源码没人维护，后门没人知道。你防住了自己的门，但给你送水的那个人，桶里可能藏着东西。

四、配置错误比漏洞更常见

云存储桶权限设为public、Redis未授权访问、Elasticsearch裸奔在公网……这些不是漏洞，是配置疏忽。但攻击者最喜欢这种。一个MongoDB数据库暴露在公网，里面躺着两亿条用户记录，这种事每年都在发生。你不需要攻破什么，你只需要找到那个没关好的门。

五、内网横向移动靠的是信任

拿下边界一台机器只是开始。真正的渗透发生在内网：域控、共享目录、运维跳板机。很多内网默认互信，一台机器失陷，攻击者就能用mimikatz抓取凭据，然后像正常管理员一样在内网里散步。零信任喊了这么多年，实际落地时，多数企业还是靠防火墙划几个VLAN了事。

六、Web漏洞依然是主战场

SQL注入、XSS、文件上传、SSRF——这些老面孔每年OWASP Top 10都在榜。不是没有防护手段，是开发节奏太快，安全评审被跳过。一个电商大促前上线的活动页面，文件上传接口没做类型校验，攻击者传个webshell，整台服务器就归别人了。

七、移动端和API的盲区

App逆向、API越权、硬编码密钥。很多公司把精力放在Web端，App的API接口却疏于防护。一个简单的水平越权，改一下用户ID就能看到别人的订单和地址。更别提那些把AWS密钥直接打包进APK的，反编译出来就是一把万能钥匙。

八、物理渗透被严重低估

伪装成维修工进机房、捡到员工工牌复制门禁、在停车场接上内网网线。这些听起来像电影，但红队评估中成功率不低。一家金融公司做过测试，红队成员穿着外卖服，拎着奶茶就进了办公区，前台连问都没问。

九、社工库是精准打击的弹药

旧密码泄露、个人信息拼凑、针对性的钓鱼话术。攻击者不需要多高的技术，只需要知道你叫什么、在哪上班、最近在用什么服务。然后一封"你的账号在异地登录"的邮件，就能让你乖乖交出验证码。

十、人的疏忽是终极漏洞

把密码写在便利贴上贴在显示器边框、用公司邮箱注册外部服务、离职时没交回VPN令牌。技术手段再先进，最后往往败给一个图省事的动作。安全培训年年做，但人不是机器，人会累、会烦、会心存侥幸。

渗透测试的本质，不是炫技，是找短板。而多数时候，最短的那块板，和技术无关。