渗透教程

上周三凌晨两点，渗透教程我蹲在客户办公室的渗透教程机柜旁边，用一根网线把笔记本连上了他们的渗透教程核心交换机。防火墙日志里干干净净，渗透教程IDS没响过一声。渗透教程四十分钟后，渗透教程我拿到了域控的渗透教程管理员哈希。这不是渗透教程电影桥段，是渗透教程常规渗透测试的标准流程。

渗透测试的渗透教程核心不是堆工具。很多人一上来就开Nmap扫全网段，渗透教程或者直接扔个Metasploit的渗透教程exploit上去，这跟蒙着眼睛扔飞刀没区别。渗透教程真正有效的渗透教程渗透，第一步永远是渗透教程信息收集，而且是最枯燥的那部分——看HTTP响应头里的Server字段，翻robots.txt里被遗忘的路径，用whois查注册邮箱，去LinkedIn上找IT部门员工的名字。

我见过一个真实的案例。某中型企业的对外VPN门户，登录页面用的是Cisco AnyConnect。表面上看没什么问题，但我在Google上搜了一下这个域名的SSL证书，发现同一张证书还签给了另一个子域：staging-vpn.xxx.com。那个测试环境的登录页面没有启用双因素认证，而且用的是默认的admin/admin。进去之后，内网路由表直接暴露在眼前。

这就是信息收集的价值。你不需要0day，你只需要找到那扇没锁的侧门。

拿到初始 foothold 之后，别急着横向移动。先站稳。检查当前权限，看能不能读/etc/passwd或者SAM文件。Windows环境下，whoami /priv 看看有没有SeImpersonatePrivilege，有的话直接上PrintSpoofer或者GodPotato提权。Linux就简单些，找SUID文件，查cron任务，翻.bash_history里有没有人手滑输过密码。

提权到system或者root之后，才是真正有意思的部分。这时候你要做的是凭据收集。Mimikatz一把梭当然可以，但更隐蔽的做法是翻注册表里的自动登录凭据，或者找那些存了密码的配置文件。我见过一个运维把数据库密码写在桌面上的passwords.txt里，文件名就叫passwords.txt。这种事儿你写报告的时候都不好意思写进去。

横向移动阶段，PsExec和WMI是经典手段，但动静太大。现在更流行用WinRM或者SSH做跳板，流量看起来就是正常的远程管理。域环境里，BloodHound跑一遍，最短攻击路径一目了然。很多时候你不需要直接打域控，找一个有DCSync权限的服务账号就够了。

持久化这事儿得看客户要求。如果是红队评估，留个计划任务或者注册表Run键就行。但如果是合规性渗透测试，拿完证据就收手，别真给人装后门。我一般会在报告里写清楚：建议检查C:\Windows\Temp\下的异常可执行文件，然后附上文件哈希。

最后说个容易被忽略的点：清理痕迹。不是让你删日志——那是破坏证据。而是把你上传的工具、创建的账号、修改的配置都恢复原状。有一次我忘了删掉一个测试用的本地管理员账号，客户后来审计的时候发现了，差点把我拉进黑名单。

渗透测试的终点不是拿到域管权限，而是写出一份能让运维团队真正修好漏洞的报告。你截图里那个RCE漏洞，得配上具体的修复命令和版本号。别光写“建议升级”，要写“升级到Apache 2.4.58，或者至少打上CVE-2023-25690的补丁”。

这行干久了你会发现，最危险的漏洞永远是人。技术手段再高明，也抵不过一个把密码贴在显示器边框上的员工。