渗透有没有

去年夏天，渗透我在一个做企业安全的有没朋友办公室里，看他演示了一次内部渗透测试。渗透目标是有没一台看似普通的打印机。没错，渗透就是有没那种放在走廊角落、落灰的渗透惠普激光打印机。他花了不到二十分钟，有没通过打印机固件的渗透一个未修复漏洞，拿到了内网某台文件服务器的有没访问权限。整个过程安静得像什么都没发生。渗透他转头跟我说：“你看，有没渗透这事儿，渗透从来不是有没有没有的问题，是渗透你知不知道它已经发生了。”

很多人以为渗透离自己很远。防火墙装了，杀毒软件开着，密码也设了字母加数字。但现实是，渗透往往不走正门。它可能藏在一封看起来像同事发来的发票邮件里，也可能躲在一个你随手插上的USB小风扇里。我见过最离谱的案例，是一家公司前台那台用来登记访客的平板电脑，系统版本还停留在Android 7，连的是内网WiFi。攻击者甚至不需要主动做什么，只要在楼下咖啡厅连上同一个开放网络，就能嗅探到那台平板定期向内部HR系统发送的明文请求。

渗透有没有？有。而且它不挑对象。大企业有APT组织盯着，小公司有自动化扫描器每天问候。区别只在于，你的数据值不值得别人花时间。我认识一个做独立游戏开发的朋友，工作室就三个人。去年他们的代码仓库被拖了，原因是某个成员在GitHub上不小心把带API密钥的配置文件推了上去。攻击者用那个密钥调用了他们的云服务器，挖了半个月的矿。等发现的时候，账单已经四位数美元了。他说：“我以为没人会注意我们这种小虾米。”可扫描器不这么想，它只认字符串，不认公司规模。

技术层面讲，渗透的入口无非那么几类：弱口令、未修补的漏洞、配置错误、社会工程。但真正要命的是人的惯性。比如很多开发环境为了调试方便，开了SSH的root登录，还允许密码认证。测试完忘了关，就成了永久后门。又比如，运维图省事，把数据库端口直接暴露在公网，只靠一个简单的IP白名单——而那个白名单里，可能还留着某个已经离职员工的家庭宽带IP。这些细节，扫描器一抓一个准。

我自己的习惯是，每隔几个月就对自己的几个小服务器做一次“自渗透”。用nmap扫一遍开放端口，用hydra试试常见弱口令，再翻一遍日志里有没有异常的登录尝试。有一次真扫出来一个：某台跑着旧版Jenkins的机器，默认口令没改，而且监听在0.0.0.0上。我后背一凉，赶紧关掉。那台机器平时只用来跑个定时脚本，我几乎忘了它的存在。可攻击者不会忘，他们专门找这种被遗忘的角落。

所以别问“渗透有没有”。要问的是：你的资产清单全不全？补丁周期短不短？日志有没有人看？权限是不是最小化？这些事做起来琐碎，但比买什么高级防火墙都管用。渗透不会因为你假装看不见就消失，它只会在某个深夜，悄悄敲开那扇你没锁的窗。