渗透测试实例

凌晨两点，渗透实例我盯着屏幕上的测试Nmap扫描结果，目标服务器的渗透实例443端口开着一个老旧版本的Apache。那不是测试重点——重点是旁边那个不起眼的8080端口，跑着一个自制的渗透实例工单系统。这种系统，测试通常写代码的渗透实例人早就离职了，文档也早丢了。测试

我随手试了试默认口令admin/admin，渗透实例居然进去了。测试那一刻我有点失望，渗透实例这也太容易了。测试但真正有意思的渗透实例在后头——这个工单系统有个附件上传功能，前端只校验了文件扩展名。测试我上传了一个名为"photo.php.jpg"的渗透实例文件，服务器居然直接把它当PHP执行了。就这么简单，我拿到了一台内网服务器的webshell。

你别笑，这种漏洞放到2024年依然存在。我见过太多企业，防火墙、WAF、入侵检测装了一堆，但真正到了应用层，连最基本的输入过滤都没做干净。安全投入的钱都花在了“面子”上，里子烂得一塌糊涂。

拿到webshell之后才是真正的开始。我查看了一下当前用户的权限——是www-data，低权限。系统是Ubuntu 16.04，内核版本4.4。我翻了翻历史命令记录，发现管理员曾经用root执行过一条命令：tar czf /backup/www.tar.gz /var/www/html。有意思，tar备份。我立刻想到了tar的通配符注入漏洞——如果备份目录里有文件名以--checkpoint开头的文件，tar就会把它当作参数执行。

我在web目录下创建了两个文件：一个叫--checkpoint=1，另一个叫--checkpoint-action=exec=sh shell.sh。shell.sh里写着反弹shell的命令。然后我就等着，等那个管理员再次运行备份脚本。等了大概四十分钟，我的监听端口突然跳了一下——是root的shell。整个过程没有利用任何0day，全是公开了七八年的老漏洞。

那家公司的安全负责人后来问我，你们是怎么进来的？我说，你门口的锁很结实，但窗户没关严。他不信，我给他看了截图，他沉默了。其实我想告诉他的是，安全不是买一堆设备就完事了，你得知道你的系统里跑着什么，谁在维护，代码有没有人审查。很多企业连资产清单都理不清，谈什么安全。

那次测试最后只花了半天时间，但报告写了整整一周。不是漏洞多，而是每个漏洞背后都有故事——那个工单系统是五年前一个实习生写的，他走的时候代码没人接手；备份脚本是三年前运维加的，从没更新过；防火墙规则是两年前调的，之后没人再动过。你看，技术问题到最后全是管理问题。

渗透测试说白了就是帮你看清自己家里哪扇门没锁。但真正难的不是发现门没锁，而是让屋主相信真的有人会从这扇门进来。