如何进行渗透测试

上周帮朋友测试一家电商平台，何进凌晨两点，行渗我盯着Burp Suite里那个返回的透测200 OK，后背发凉。何进他们把所有用户订单存进了同一个MongoDB集合，行渗连个分库分表都没做——这不是透测技术问题，是何进设计事故。渗透测试干得久了，行渗你会发现90%的透测漏洞不是黑客多聪明，而是何进开发者太懒。

真正的行渗渗透测试从踢开门之前就开始了。我习惯先花两天时间翻公开信息：GitHub上搜公司域名，透测Google查历史泄露的何进数据库文件，LinkedIn看运维人员的行渗技术栈。去年某金融公司，透测我在一个离职员工的博客里找到了内网WiFi密码——他写技术分享时顺手贴了截图，马赛克打得不彻底。这算什么？信息收集阶段的常规操作罢了。

扫描阶段别迷信工具。Nmap跑完端口，OpenVAS出报告，那只是地图，不是攻击路径。你得手动验证每个开放端口背后的服务版本，然后去Exploit-DB翻对应的exp。有次遇到个老旧的Jenkins，版本号显示2.204，网上有现成的未授权访问脚本，但对方把端口改成了8088。你以为换个马甲我就认不出来了？服务指纹告诉我，它连响应头的Server字段都没改。

漏洞利用讲究时机和姿势。SQL注入别一上来就sqlmap跑全库，先手工测参数点。电商网站的搜索框、排序字段、甚至优惠券兑换码，都可能藏着拼接的SQL语句。用单引号试探，观察报错信息，再根据数据库类型构造payload。碰到WAF拦截，别硬刚，试试编码绕过——URL双重编码、十六进制替换、或者干脆用分块传输。上个月某政府网站，我用了七层嵌套编码才绕过他们的规则，最后拿到的是root权限。

提权阶段最考验耐心。拿到webshell只是中场休息，真正的目标是域控。Linux系统先看sudo -l，查内核版本，找脏牛或者Dirty Pipe的变种。Windows系统就翻注册表、查服务权限、看计划任务。有次渗透测试，我通过一个定时备份脚本的路径劫持，替换了其中的PowerShell命令，等系统自动执行时直接反弹了SYSTEM shell。整个过程没触发任何告警，因为备份脚本每天凌晨三点准时运行，管理员早就麻木了。

报告阶段别只贴漏洞列表。客户要的是解决方案，不是你的炫技过程。每个漏洞必须附上复现步骤、影响范围、修复建议。但更要紧的是指出根本原因——比如“开发人员直接在代码里硬编码了数据库密码”比“存在弱口令”更有价值。我会额外写一段“防御者视角”，教他们如何用日志分析回溯攻击路径，如何在防火墙层面封堵类似的扫描行为。

渗透测试不是一次性的买卖。三个月后我回访那家电商平台，他们修复了MongoDB的问题，但新上线的支付接口又冒出了逻辑漏洞——用负数金额就能白嫖商品。我笑着对他们CTO说：“你们这开发流程，该引入安全编码规范了。”他挠挠头，递给我一杯咖啡：“下个季度还得麻烦你。”
这行当就是这样，漏洞永远补不完，攻击手法天天在变。但真正有价值的，不是你能黑进多少系统，而是你能否让开发团队从骨子里意识到——安全不是测试阶段的事，它得长在代码的每一个if判断里。