去年某金融公司被拖库，渗透事后排查发现攻击者根本没用什么0day，攻击突破口是那信运维工程师留在代码注释里的一段明文数据库密码。更讽刺的被黑是，那段注释就在Git仓库的客利公开分支上，躺了三年。渗透

渗透测试里最值钱的攻击信息，往往不是那信漏洞本身，而是被黑漏洞周围散落的“生活痕迹”。

拿Webshell来说，客利攻击者上传一个PHP后门，渗透如果文件名起得规规矩矩叫shell.php，攻击大概率会被WAF拦下来。那信但要是被黑伪装成logo.png，再往图片尾部塞一段加密代码，客利很多防护软件就瞎了。这就是信息伪装的价值——黑客利用的是运维人员对“图片文件”的信任惯性。

再往深了挖，一次完整的渗透攻击，黑客真正收集的信息分三层。

第一层是**资产指纹**。哪个IP段归属这家公司，用了什么CMS，跑在什么框架上，中间件是Nginx还是Apache，版本号是多少。这些信息从HTTP响应头、报错页面、甚至favicon.ico的哈希值里都能扒出来。有次我做测试，光靠Shodan搜一个特定图标，就翻出了对方隐藏在子域名下的测试环境——那上面还挂着未修复的Struts2漏洞。

第二层是**人的情报**。公司里有没有人叫Zhang Wei，他的工号规律是什么，邮箱前缀是姓还是名，密码习惯是喜欢加生日还是公司缩写。这些信息散落在LinkedIn、招聘网站的JD、甚至员工自己发的技术博客里。攻击者拿到一个真实姓名+手机号，就能去撞库，或者伪造钓鱼邮件。更狠的是社工库——某些老网民的密码早就在几年前的某次脱库中泄露了，黑客拿这些密码去试企业邮箱，成功率能到30%以上。

第三层是**业务逻辑的破绽**。比如电商网站的订单号生成规则，如果知道是“日期+随机四位数字”，那就能写脚本遍历别人的订单。再比如密码找回功能，如果验证码是四位纯数字且不限制尝试次数，几小时内就能爆破。这些信息不需要多高深的技术，但必须对目标业务有足够细致的观察。

有个案例让我印象很深。某次授权测试，目标是一家外包开发公司。黑客没去硬刚他们的防火墙，而是先搜这家公司在招聘网站上挂的岗位——发现他们急招一个“熟悉Oracle数据库的DBA”，说明近期刚上了Oracle系统。再查他们员工的GitHub，发现有人把数据库连接配置的备份文件传上去了，里面写着内网IP和SID。攻击者顺着这个SID，直接连上了生产库。

你看，整个过程没有任何爆破，全是利用公开信息做拼图游戏。

所以防守方也别光顾着打补丁。你改个报错页面，别把框架版本号直接吐出来；员工培训时，别只讲“不要点陌生链接”，得告诉他们“不要在技术社区晒代码截图时顺便把内网拓扑露出来”。

黑客不比你聪明多少，他们只是更擅长把零散的信息串成一条线。而那条线的起点，往往就是你随手发在网上的一个文件、一句话、一个IP地址。