渗透未备案

去年十月，渗透我在一个做企业安全的未备朋友那里看到一份渗透测试报告。报告封面盖着红章，渗透结论栏写着“未发现高危漏洞”。未备他指着附件里的渗透服务器清单说：“这台，还有这台，未备根本不在我们备案的渗透资产列表里。”

也就是未备说，有人把机器放进了内网，渗透安全团队不知道，未备运维台账没记录，渗透防火墙策略里找不到对应条目。未备渗透测试打进去的渗透时候，它就像一间没挂门牌的未备房间，谁都能推门进去看看。渗透

这事儿的荒诞之处在于：测试报告是合格的，资产清单是完整的，两边单独看都没毛病。问题出在中间那道缝——没人负责把“实际存在的机器”和“应该存在的机器”对上线。渗透测试的范围，取决于甲方给的目标清单。清单怎么来的？多半是运维凭记忆整理，或者从上一份文档里复制粘贴。漏掉几台，太正常了。

我后来问过几个做等保测评的工程师，他们都说遇到过类似情况。有一次，某单位的被测系统跑在一台虚拟机上，但虚拟机宿主机本身没做任何加固。测评报告里只提了虚拟机的配置问题，宿主机连提都没提——因为它压根不在测评范围内。可攻击者不会管你什么范围不范围，他能摸到宿主机，就能把上面所有虚拟机一锅端。

“渗透未备案”这五个字，听起来像是个技术术语，说白了就是：你请人来检查家里的门窗，但你自己都忘了地下室还有一扇没锁的小门。检查报告写得再漂亮，那扇门该开还是开。

更麻烦的是，这种遗漏往往不是故意的。资产管理系统和漏洞扫描系统各自为政，中间靠人工同步。人一忙，就忘了。忘了三个月，那台机器可能已经被种了挖矿程序，或者成了内网横向移动的跳板。等到哪天流量异常被监测到，回头一查——哦，这台机器我们一直没管过。

我见过一个真实案例。某公司内网有一台测试用的数据库，IP地址不在任何运维文档里，但防火墙规则里有一条允许所有内网访问的旧策略没删。渗透测试人员从办公网一台打印机切入，三跳就到了这台数据库，里面存着三年前的用户手机号。报告出来，安全部门很委屈：我们每年都做渗透测试啊。可渗透测试的靶子清单里，从来没有这台数据库。

所以问题不在渗透测试本身，也不在备案流程本身。问题在于，这两件事被当成了两个独立的任务，而不是一个闭环。备案是备案，测试是测试，中间缺了一个“对账”的动作。谁来做这个对账？运维？安全？还是找个第三方？没人说得清。于是就成了灰色地带。

我自己的判断是：只要资产台账还靠人工维护，只要渗透测试的目标清单还靠邮件来回确认，这种“未备案”的机器就会一直存在。技术手段能解决一部分——比如用主动扫描发现未知资产，用流量分析识别未登记IP——但根子上还是管理问题。你永远无法渗透一台你不知道它存在的机器。

写到这里，想起那个朋友最后说的一句话：“渗透测试报告上的‘未发现高危漏洞’，有时候读起来像‘我们只检查了我们记得的那部分’。”

这话挺扎人的。但它是事实。