渗透测试

去年冬天，渗透测试我帮一家做跨境电商的渗透测试朋友看他们刚上线的后台系统。老板拍胸脯说“代码是渗透测试外包团队写的，花了二十多万，渗透测试肯定没问题”。渗透测试我打开登录页，渗透测试试了试默认的渗透测试admin/admin，进去了。渗透测试再翻了翻URL参数，渗透测试把`user_id=1024`改成`user_id=1`，渗透测试页面直接跳出了大客户的渗透测试完整订单记录和手机号。前后不到三分钟。渗透测试这就是渗透测试渗透测试要干的事——不是去证明系统有多安全，而是渗透测试去证明它有多不安全。

很多人把渗透测试和漏洞扫描混为一谈。渗透测试扫描器像拿着金属探测器在沙滩上走，响不响全看运气。渗透测试是人拿着铲子，根据潮汐方向、沙层结构，判断哪里可能埋了东西，然后挖下去。工具会告诉你“这个端口开着”，但只有人才能判断这个端口背后的服务能不能被绕过去、能不能被用来横向移动、能不能最终拿到数据库的写权限。扫描器报告里写“高危漏洞：CVE-2023-XXXX”，渗透测试报告里写的是“我通过这个漏洞进了内网，然后花了二十分钟找到了你们财务系统的密码，它存在一个没加密的配置文件里”。

流程上，一次正经的渗透测试分几步走。先谈授权，白纸黑字写清楚哪些IP能碰、哪些不能碰、什么时间段能打。没这个，你就是在犯罪。然后做信息收集，域名、子域名、邮箱、员工在GitHub上不小心传的密钥、招聘信息里暴露的技术栈，全是线索。我见过一个案例，测试人员从目标公司某个员工在技术论坛的提问里，推断出他们用的是某个老版本框架，然后直接找到了对应的RCE漏洞。信息收集做得好，后面的事就顺了。

漏洞利用阶段，讲究的是“能进去就行，别管姿势好不好看”。SQL注入、文件上传、SSRF、反序列化，哪个能用用哪个。有时候不需要什么高级漏洞，弱口令加未授权访问就能横扫一片。去年有个金融类App，测试人员发现它的短信验证码接口没有做频率限制，而且验证码是四位数字。写个脚本跑十分钟，就登进了别人的账户。这种问题扫描器根本不会报，因为它不认为这是“漏洞”——它只是一个逻辑缺陷。

拿到权限之后，渗透测试才真正开始。你要证明这个漏洞能造成多大影响。能不能读服务器上的敏感文件？能不能连内网数据库？能不能从普通用户提权到root？能不能从一台机器跳到另一台？这个阶段叫“后渗透”，也是最考验测试人员耐心和创造力的地方。有时候你手里只有一个低权限的WebShell，但通过翻找配置文件、查看进程列表、分析内网路由，最后能摸到域控。这个过程没有固定套路，全靠经验和直觉。

报告怎么写，直接决定这次测试有没有价值。别堆CVSS评分，别列一长串漏洞名称。老板看不懂“CVE-2024-1234”，但他看得懂“任何人不用密码就能看到所有客户的身份证照片”。每个漏洞都要有复现步骤、影响范围、修复建议。修复建议别写“升级到最新版本”就完事，要说清楚升级哪个组件、改哪个配置、加什么验证逻辑。最好再给一个修复后的验证方法，让人家知道怎么确认问题真的解决了。

最后说句实在的。渗透测试不是保险单，它只是某个时间点的一张快照。你今天修了十个漏洞，明天新写的代码可能又引入五个。真正安全的系统不是测出来的，是开发、运维、安全三方在日常工作中一点点磨出来的。渗透测试能做的，就是在那把刀落下来之前，先帮你挨一下，告诉你疼在哪。