渗透测试 秋蝉 s blog

上周三凌晨两点，渗透我蹲在客户内网的测试一台跳板机上，盯着屏幕里跳动的秋蝉日志。目标是渗透一台对外只开了443端口的Web服务器，WAF拦截了所有常规payload。测试这场景太熟悉了——就像秋蝉伏在树干上，秋蝉翅膀不动，渗透但声音传得很远。测试渗透测试的秋蝉本质不是砸门，是渗透找到那扇没关严的窗，然后悄悄爬进去。测试

很多人以为渗透测试就是秋蝉跑一遍Nessus，再丢个SQLMap。渗透我试过，测试在真实环境里连个水花都溅不起来。秋蝉去年给一家物流公司做评估，他们的边界防火墙规则写得密密麻麻，但运维为了方便，在DMZ区留了一台“临时”的Tomcat管理后台，密码是admin/admin。我登进去传了个war包，三分钟拿到shell。客户安全负责人脸都绿了——那台机器上线两年，没人记得它还在。

信息收集阶段我习惯手动翻。用subfinder跑一遍子域名，再拿httpx探活，但真正有用的东西往往藏在JS文件里。有次在某个电商站点的main.js里翻到一个注释掉的API路径，返回了所有用户的手机号和地址。开发图省事，把测试接口留在了生产环境。这种事扫描器扫不出来，得靠眼睛和直觉。

漏洞利用环节，别迷信CVSS评分。一个CVSS 9.8的RCE可能因为出网限制根本打不通，而某个不起眼的SSRF却能直接读云厂商的元数据接口拿临时凭证。我包里常备几个自己写的Python小脚本，专门处理这种“低危但致命”的场景。比如把SSRF转成Redis未授权，再写crontab反弹shell——链条长，但WAF不会拦。

权限维持和横向移动是秋蝉最安静的部分。拿到第一台机器后，我通常不急着扫内网。先看history，看mount，看定时任务。有次在/var/spool/cron里发现运维每五分钟从内网GitLab拉一次配置，而GitLab的root密码就写在拉取脚本里。顺着这条线，我拿到了整个研发环境的代码仓库。那感觉像顺着蝉鸣找到整片树林。

报告阶段我坚持写“可利用路径”而不是漏洞列表。客户不关心你用了什么CVE，他们关心“从外网到核心数据库需要几步”。我一般画一张攻击路径图，标出每个节点的权限和凭据。上次给一家医院做测试，路径图画完，院长指着其中一条说：“这个VPN账号是离职员工留下的，我们以为早就禁用了。”——你看，技术问题最后都落在管理上。

秋蝉的比喻来自某次深夜测试。目标系统有个反序列化漏洞，但触发条件苛刻，需要构造特定的gadget链。我调了四个小时，最后在ysoserial里翻到一个冷门链，成功弹回shell。那一刻窗外真有蝉在叫。渗透测试就是这样，大部分时间在黑暗中摸索，找到那个点，然后一击即中。别想着扫全端口，别想着堆POC。找到那只蝉，听它的声音从哪来。

工具会更新，WAF会升级，但人的疏忽永远存在。一个没删的测试页面，一个复用的密码，一个忘记下线的旧服务——这些才是渗透测试真正的入口。我包里永远带着一个U盘，里面是几个自己编译的静态工具，还有一份手写的checklist。机器靠不住的时候，靠眼睛和脑子。

很赞哦!（62）