关于渗透完整流程贝壳

拿到一个目标，关于先别急着扫端口。渗透我见过太多人一上来就nmap全开，完整结果触发了WAF封IP，流程后面什么都干不了。贝壳渗透测试的关于核心不是工具，是渗透信息。信息越细，完整路径越清晰。流程

先说侦察。贝壳被动信息收集比主动扫描安全得多。关于Whois查注册邮箱，渗透往往能关联到其他域名。完整有一次我通过一个不起眼的流程备案邮箱，找到了目标企业另外三个没公开的贝壳测试站点，其中一个站点的后台弱口令直接进了内网。Google hacking别只背语法，要理解逻辑。比如site:target.com inurl:api，重点不是语法本身，是思考目标可能把接口文档、调试页面放在哪。GitHub上搜公司域名后缀，经常能翻到开发人员误传的配置文件，数据库密码、云密钥全在里面。

主动扫描阶段，别用默认的SYN扫描。目标如果有IDS，半开连接照样留痕。用nmap -sT -Pn -T2慢速全连接，虽然慢，但隐蔽。端口开放不是重点，重点是服务指纹。看到8080端口跑着Jetty，先别高兴，去查版本号对应的CVE。有次遇到一个老版本Jenkins，未授权访问，直接脚本命令行执行，连漏洞利用都不用写。

漏洞利用要克制。拿到shell只是开始，不是结束。先看权限，whoami /all，看补丁列表，看杀软。别急着上传mimikatz，很多EDR会直接拦截。用系统自带工具，certutil下载文件，wmic查进程，schtasks做持久化。这些白利用手法比第三方工具稳得多。有一次我通过rundll32加载一个恶意dll，绕过了卡巴斯基的内存扫描，因为进程本身就是系统信任的。

提权阶段，Windows看systeminfo缺哪些补丁，Linux看SUID和计划任务。别忽略环境变量和PATH劫持。有个案例，目标服务器上有个自定义脚本以root权限运行，脚本里调用了tar命令，但没写绝对路径。我在当前目录放了个恶意tar，等计划任务触发，直接拿到root。这种细节，扫描器永远发现不了。

横向移动，别一上来就psexec。先看当前机器保存的凭据，cmdkey /list，看浏览器保存的密码，看RDP连接记录。用net use挂载IPC$，枚举域内机器。Kerberoasting是个好路子，但请求SPN的时候注意频率，一次请求太多会触发告警。用Rubeus的kerberoast，加个/rc4opsec参数，只请求RC4加密的票据，隐蔽性高很多。

权限维持，别只放一个后门。注册表Run键、计划任务、服务、WMI事件订阅，至少放三个不同机制的。互相备份，一个被查杀，还有另一个能用。但别放太多，多了反而增加暴露面。清理日志是必须的，但别用wevtutil cl全清，太明显。用Clear-EventLog针对特定日志，或者直接删掉包含自己IP的记录。

最后说痕迹清理。很多人只清服务器日志，忘了网络设备。防火墙、IDS、代理服务器的日志同样记录你的流量。如果目标有全流量回溯设备，你的每一个请求都在里面。所以渗透前就要想好，哪些操作会产生什么日志，能不能接受。不能接受的，换方法。比如用DNS隧道传数据，比HTTP隐蔽，但流量特征明显，得配合域名前置。

整个过程没有固定顺序，信息收集贯穿始终。拿到新权限，立刻重新做信息收集，看内网拓扑，看信任关系。渗透测试是循环，不是直线。工具会过时，思路不会。理解协议，理解系统，比背命令重要得多。