渗透注入点

去年冬天，渗透我蹲在城东一个废弃加油站后面，注入用手机热点连着一台旧笔记本，渗透屏幕上是注入某个工控系统的登录页面。风从破窗灌进来，渗透手指冻得发僵。注入那台设备的渗透管理端口直接暴露在公网，连防火墙都没开——这不是注入什么高深漏洞，就是渗透运维人员图省事，把调试接口留在了外网。注入我盯着那个页面看了十分钟，渗透突然意识到，注入所谓“渗透注入点”从来不在代码里，渗透而在人的注入习惯里。

很多人以为渗透测试是渗透找系统漏洞，其实真正好用的入口，往往是那些被忽略的“正常功能”。比如某次我给一家物流公司做评估，他们内部有个“运单批量导出”接口，需要管理员权限。但开发人员为了调试方便，留了个参数叫debug=1，加上之后直接绕过权限校验。这个参数在代码里藏了三年，没人删。我试了一下，导出全量数据，包括客户姓名、电话、地址。开发人员后来跟我说：“我以为只有我们知道。”你看，这就是典型的渗透注入点——它不违反任何语法规则，甚至不算漏洞，但就是能进去。

再讲个更日常的。有回我帮朋友看他的小电商网站，后台登录框有个“忘记密码”功能。输入手机号，系统会发验证码。我随手填了个13800138000，点发送，页面返回“验证码已发送至该号码”。但抓包一看，响应里居然带了完整手机号——138****8000。这不算什么，关键是下一步：我输入任意验证码，比如000000，居然登录成功了。原来后端只校验了验证码长度，没校验内容。这种逻辑漏洞，扫描器扫不出来，全靠手动试。渗透注入点往往就藏在这种“看起来正常”的交互里。

还有一次更离谱。某政府单位的内部OA系统，登录需要U盾。我进不去，但发现它的密码找回页面有个“通过密保问题重置”的选项。密保问题是“你最喜欢的食物是什么”。我试了“米饭”“面条”“饺子”，都不对。后来翻他们官网的新闻稿，发现某领导视察时提了一句“食堂的红烧肉不错”。我填了“红烧肉”，密码重置成功。这算什么？社会工程学？不，这就是渗透注入点——信息泄露的注入点不在数据库，在公开报道里。

我观察到一个规律：越是老旧的系统，注入点越“土”。比如某医院的HIS系统，还在用IE6时代的ActiveX控件。我点开一个“打印报告”按钮，它弹出一个cab文件下载。我解包一看，里面有个ini配置文件，明文写着数据库连接字符串，sa账号，密码是123456。这系统跑了十几年，没人改过。你说这是技术问题？是，但更是管理问题。渗透注入点不是技术栈的缺陷，是时间堆积出来的惯性。

说回开头那个加油站。我最后没进去，因为笔记本没电了。但我在那台设备上发现了一个telnet端口，默认密码admin/admin。我试了一下，进去了。里面有个shell，能执行系统命令。我打了ls，看到一堆日志文件。其中有个access.log，记录着过去半年所有登录尝试——全是admin/admin。也就是说，这台设备被无数人扫过，但没人改密码。渗透注入点有时候就是这么简单：一个默认凭证，一个没关的端口，一个懒得改的配置。

所以别总盯着CVE漏洞库。真正的注入点，在运维人员的便利贴里，在开发人员的调试参数里，在那些“先上线再说”的临时方案里。你不需要0day，你只需要比管理员更了解他的系统——以及他的懒惰。