渗透很难

渗透测试这行干久了，渗透难你会慢慢接受一个事实：绝大多数系统能防住脚本小子，渗透难但防不住一个肯花三天时间蹲点的渗透难活人。去年有个客户找我做内网评估，渗透难防火墙、渗透难WAF、渗透难EDR全套配齐，渗透难资产梳理得干干净净，渗透难外部扫描连个低危漏洞都报不出来。渗透难结果呢？渗透难我在他们公司楼下奶茶店坐了四个下午，连上访客WiFi，渗透难用默认口令进了打印机管理后台，渗透难再从打印机固件版本翻出对应CVE，渗透难一路摸到域控。渗透难整个过程没触发一条告警。渗透难

问题出在哪儿？边界防得再死，人总要连WiFi吧，打印机总要共享吧，运维图省事给打印后台留个admin/admin，这事安全制度上写没写？写了。执行了没？没有。渗透测试报告里最扎眼的那句话往往不是"存在高危漏洞"，而是"该漏洞利用方式为攻击者已获取合法凭据"。

我见过太多团队把精力砸在堆设备上。下一代防火墙、EDR、SOAR、蜜罐，预算批得爽快，但资产台账三个月没更新，离职员工的VPN账号还活着。有次帮一家券商做红队，目标对外只开放443，看起来无懈可击。翻了翻他们官网招聘页，技术栈写得明明白白：Spring Boot + Nacos。试了下Nacos默认口令nacos/nacos，直接进配置中心，数据库密码明文躺在那儿。从打开官网到拿到核心库权限，不到四十分钟。

这不是个例。Nacos、Redis未授权、Jenkins脚本命令行、Druid监控页——这些老掉牙的东西每年攻防演练还能拿分。原因很简单：新系统上线时安全部门卡得严，老系统没人管。运维觉得"这破机器都跑五年了谁动它"，攻击者觉得"这破机器五年没打补丁正好用"。

更麻烦的是人。钓鱼邮件打开率超过30%的公司我见过不止一家。你跟他讲安全意识，他点头；你发测试邮件，他点链接。有次冒充IT部门发"邮箱扩容通知"，附件是个exe，两小时内十七个人运行了。其中一个是财务总监。后来复盘，他说"我看发件人是我们IT的邮箱地址啊"。对，SMTP伪造发件人显示名，这招用了二十年，依然好使。

技术层面的事反而好解决。打补丁、改口令、关端口、上多因素认证，这些都有标准答案。难的是让一个两百人的研发团队每周花半小时看安全通告，难的是让运维在变更窗口之外也愿意重启那台老服务器，难的是让老板相信"没被黑"不等于"黑不进来"。

我现在的习惯是，每次渗透测试结束，报告里必写一段"非技术风险"。比如某次发现机房钥匙放在前台抽屉里，门禁卡可以复制，保洁阿姨的工牌能刷开核心区。这些事写进报告，客户往往愣一下，然后说"这个我们回头整改"。回头是哪天？没人知道。

渗透很难，难的不是漏洞利用本身。难的是你永远不知道防守方哪个环节会掉链子——可能是某个程序员在GitHub上传了带密钥的代码，可能是行政把WiFi密码贴在会议室墙上，可能是CEO觉得多因素认证太麻烦让IT给关了。你堵住九十九个口子，攻击者只需要找到一个没关的窗户。而那个窗户，往往就在最不起眼的角落，积着灰，没人注意。