渗透主机

凌晨两点十七分，渗透主机我盯着终端上滚动的渗透主机绿色字符，心跳漏了一拍。渗透主机目标主机终于回连了——那台被我扫描了整整三天的渗透主机Windows Server 2008，正安静地躺在某个不知名机房的渗透主机角落里，而我现在，渗透主机正站在它的渗透主机门口。

端口扫描结果就挂在屏幕左上角：3389开着，渗透主机445开着，渗透主机80端口也开着。渗透主机3389是渗透主机远程桌面，445是渗透主机SMB，80是渗透主机Web服务。三个入口，渗透主机三个选择。渗透主机我习惯性先试了SMB，MS17-010永恒之蓝，这个漏洞在2017年就被公开了，可直到今天，依然有大量企业服务器没打补丁。我猜这台机器大概率也是——毕竟它的系统版本还停留在十年前。

发送探测payload，等了三秒，返回代码0。成了。我甚至没来得及兴奋，就已经通过meterpreter会话拿到了system权限。整个过程不到四十秒，比泡一碗方便面还快。

但真正让我脊背发凉的，是接下来的发现。我输入net user，想看看这台服务器上有哪些账户。列表滚下来，除了Administrator和Guest，还有一个叫“backup”的账户。我尝试用弱密码字典跑了一下——密码是“backup123”。这显然不是偶然，是有人故意留的后门。

我顺着这个账户的登录日志往前翻，发现它从三个月前就开始定期连接一台外部IP。每个月一次，每次只停留几分钟，下载一个文件后立刻断开。我拉出那个文件分析，是个压缩包，里面装的是服务器上所有数据库的备份——包括用户表、订单表、甚至管理员密码的哈希值。

原来我根本不是第一个进来的人。在我之前，已经有人把这里当成了自己的提款机，每个月来取一次数据，然后悄悄离开。我攻破的这台服务器，不过是个被反复利用的肉鸡。而那个“backup”账户，就是别人留下的后门钥匙。

我坐在椅子上，盯着屏幕看了很久。渗透测试做了这么多年，我见过太多类似的场景——企业买了防火墙，装了杀毒软件，却连最基本的账户密码策略都没设置。他们以为安全是买来的，而不是管出来的。但真实世界里，最脆弱的永远是人。

我删掉了自己留下的所有日志，然后关掉会话。离开前，我改了那个backup账户的密码，把它的登录权限全部回收。不是出于正义感，只是不想让那个不知名的同行继续拿这台机器当提款机——至少今晚不行。

关掉电脑时，窗外已经泛起灰蓝色的光。我想起第一次学渗透时老师说过的话：每一台被攻破的主机，都藏着一段被忽视的故事。今晚这个故事，讲的是一个粗心的管理员，和一个更粗心的黑客——他们都在同一条路上走了太久，却忘了回头看看自己留下的脚印。