渗透测试经验

我盯着一台内网服务器的渗透登录日志，凌晨三点十七分，测试一条来自巴西的经验IP尝试了四次root密码。这已经是渗透本周第三波扫描了。说实话，测试这类自动化攻击没什么技术含量，经验真正让我后背发凉的渗透，永远是测试那种安静到近乎诡异的渗透。

三个月前接到一个金融客户的经验授权测试。他们自认为边界防护做得不错，渗透WAF、测试IDS、经验态势感知全上了。渗透我习惯性地先看他们对外暴露的测试资产清单，翻到第三页时发现一个测试环境的经验子域名还活着。DNS记录指向一台老旧的Windows Server 2008，补丁停更三年。用shodan扫了下，8080端口开着Tomcat管理界面，默认口令admin/admin。整个过程不到十分钟，我就拿到了一个可以上传war包的webshell。

你可能会觉得这太简单了，但现实中的渗透往往就是这样——不是你的技术有多高明，而是对方在某个角落留了一扇没上锁的门。我顺着这台跳板机往里摸，发现它居然能直接访问内网核心业务区。防火墙规则只限制了办公网段，却忘了管控这个被遗忘的测试环境。这就是典型的“影子IT”问题，开发部门自己搭的服务器，运维根本不知道存在。

拿到域控权限那天，我反而有点失落。整个过程没有遇到任何抵抗，连日志审计都是关闭的。客户的应急响应团队事后复盘时，发现攻击路径上至少有三个告警点被漏报了。其中一个还是他们自己写的检测规则，因为阈值设置太高，从来没触发过。

干这行久了，我越来越觉得渗透测试的本质不是炫技，而是帮客户重新认识自己的系统。就像你家里的防盗门再结实，如果窗户没关严，一切都是白搭。我见过太多企业把预算花在最新的威胁情报上，却连最基本的端口管理都做不好。

有一次在某个制造业客户的工控网段，我发现一台PLC直接暴露在公网。厂商默认密码没改，任何人都能远程修改它的逻辑程序。如果被恶意利用，整条生产线都可能瘫痪。客户听完我的汇报，第一反应居然是“我们觉得这个IP没人知道”。

所以说，渗透测试报告里那些高危漏洞，往往不是什么0day，而是最基础的安全习惯缺失。我每次写报告，都会把“暴露面管理”放在最前面——你不知道自己有什么，就谈不上保护什么。这话听着像废话，但现实中九成以上的突破都源自这个环节。

现在再回头看那台被巴西IP扫描的服务器，它反而成了我提醒客户的活教材。真正的攻击者不会像电影里那样戴着墨镜敲键盘，他们可能只是默默扫着你的每一个端口，等着哪个粗心的管理员把测试环境忘了下线。而我做的，就是在他们得手之前，先替他们走一遍这条路。