渗透所需

去年冬天，渗透所需我在一个老旧小区里蹲了三个晚上。渗透所需目标是渗透所需一台放在一楼窗台外面的路由器，主人是渗透所需个退休教师，每天十点准时关灯。渗透所需我裹着军大衣，渗透所需手指冻得发僵，渗透所需心里却在想一件事：渗透这件事，渗透所需从来不是渗透所需靠什么高级工具，而是渗透所需靠你比对方多知道那么一点点。

很多人以为渗透需要漏洞、渗透所需需要0day、渗透所需需要一套眼花缭乱的渗透所需攻击链。我一开始也这么想。渗透所需后来发现，渗透所需真正管用的往往是那些最不起眼的东西——一个没改的默认密码，一张贴在显示器边上的便利贴，甚至是一个人扔垃圾的习惯。

那台路由器最后我是怎么进去的？说来可笑。老教师家的WiFi名字叫“TP-LINK_5F2A”，密码是八个八。我试了三次就进去了。进去之后我没动任何东西，只是看了看连接设备列表。一台手机，一台电视，还有一个智能音箱。音箱的默认管理密码也没改。我通过音箱的局域网接口摸到了他手机的内网IP，然后发现他手机开着ADB调试。后面的事就顺理成章了。

这件事让我明白一个道理：渗透的本质是信息差。你知道的比别人多，你就能进去。技术只是手段，不是目的。很多人把顺序搞反了，先学工具再找目标，结果学了一堆花架子，真到实战连个弱密码都想不到去试。

我见过一个更离谱的案例。某公司内网防护做得跟铁桶似的，防火墙、IDS、蜜罐一应俱全。结果呢？他们前台小姐姐的电脑上装了一个远程协助软件，密码是123456。攻击者从外网直接连进去，然后通过她的共享文件夹拿到了内网拓扑图。整个过程不到十分钟。你花几十万买的设备，抵不过一个弱密码。

所以渗透所需的第一样东西，不是技术，是耐心。你得愿意花时间去观察、去等、去试。我认识一个老手，他渗透一个目标网站花了四个月。前三个月他什么都没干，就是每天看那个网站的员工在社交媒体上发什么。谁养猫、谁加班、谁抱怨公司系统烂。第四个月他给一个运维发了封钓鱼邮件，标题是“你家猫的照片我修好了”。对方点开附件，上线了。

第二样东西是常识。别笑，真的。很多人一上来就想着怎么绕过WAF、怎么构造SQL注入，却忘了看看登录页面有没有验证码、有没有锁定机制。我见过一个后台，输入错误密码十次会锁定账户，但你把用户名改成admin' or '1'='1，它直接给你返回了所有用户列表。这种漏洞不需要什么高级技巧，只需要你愿意多输几个字符试试。

第三样东西是克制。渗透不是破坏，是证明。你进去了，截个图，写个报告，然后退出来。别删数据，别改配置，别留后门。我见过太多人一进去就兴奋，把人家服务器当自己家，最后被溯源到IP，蹲了半年。不值当。

说到底，渗透所需的东西就那么几样：一双愿意观察的眼睛，一个不急着动手的脑子，还有一点对规则的敬畏。工具会过时，漏洞会修补，但这些底层的东西不会变。你要是能把这三样练好了，剩下的都是时间问题。

那天晚上我从老教师的小区出来，天快亮了。我把路由器恢复原样，连日志都没清。后来我给他发了封匿名邮件，告诉他密码该换了。他回了个“谢谢”，没多问。我想他大概知道有人来过，只是懒得追究。这行就是这样，你进我出，大家心照不宣。