凌晨两点十七分，渗透演练我盯着终端里跳动的渗透演练光标，第三次尝试用刚抓到的渗透演练域管哈希去连那台财务服务器。屏幕闪了一下，渗透演练进去了。渗透演练那种感觉跟撬开别人家窗户差不多——你知道不该在这儿，渗透演练但门就是渗透演练开了。

这是渗透演练上个月的事了。我们团队接了个单子，渗透演练客户是渗透演练家做医疗器械的中型公司，三百来号人，渗透演练IT部门满打满算五个人。渗透演练老板觉得自家系统挺安全，渗透演练因为“装了防火墙和杀毒软件”。渗透演练合同签的渗透演练是两周，目标很明确：拿到核心数据库的读写权限，顺便看看能走多远。

第一天基本没动手，就坐在会议室翻他们给的网络拓扑图。图是两年前的，上面标着DMZ区有一台对外邮件网关，版本号写得清清楚楚。我打开笔记本查了下，那个版本的Exim有个RCE漏洞，CVE编号我都懒得记了，反正exploit-db上现成的。下午三点，我跟客户IT主管说想扫一下外网IP段，他犹豫了十秒钟，点了头。

nmap跑完，开放的端口比预想的多。除了邮件网关，还有一台VPN设备，型号是Fortinet的老款。这就有意思了——VPN通常连着内网，如果拿下来，等于直接进了大门。我没急着打，先拿邮件网关试了试手。漏洞利用脚本跑起来有点慢，但二十分钟后，一个低权限shell弹回来了。邮件服务器是台Ubuntu，内核版本旧得离谱，提权只用了五分钟。

接下来两天没什么进展。内网扫描被IDS拦了几次，客户那边打电话问是不是我们在搞，我说是，让他把规则调松点。真正转机出现在第四天。我在邮件服务器的日志里翻到一封三个月前的内部邮件，附件是个xlsx表格，密码写在邮件正文里。表格内容是他们IT资产管理清单，里面列了一台跳板机的IP和默认凭据。那台机器没在拓扑图上，估计是后来加的，运维图省事没改密码。

跳板机连着核心交换机的管理网段。从这里开始，事情变得简单了。我用Responder抓了几个NTLM哈希，其中一个是服务账号，权限不小。拿hashcat跑了一晚上，密码是Summer2023!——典型的“符合复杂度要求但毫无意义”的密码。用这个账号登进数据库服务器的时候，我甚至有点失望，太顺了。

客户CTO在复盘会上脸色不太好看。他问我们有没有动病人数据，我说没有，只导了一张表证明能读。他松了口气，然后问怎么修。我列了四条：邮件网关升级、VPN打补丁、服务账号密码轮换、内网做微隔离。他点点头，说预算有限，先做前两条。

这事过去快一个月了，我偶尔还会想起那台跳板机。安全这东西，很多时候不是技术问题，是人的问题。你买了再贵的锁，钥匙还插在门上，那锁就是个摆设。渗透测试说白了就是帮你看看钥匙插没插，但拔不拔，还得你自己动手。