kali渗透外网

凌晨两点，渗透我盯着终端里滚动的外网扫描结果，咖啡杯沿凝着水珠。渗透目标是外网一家东南亚电商平台，子域名像散落的渗透弹珠——其中一个指向测试环境，HTTP头还带着开发者的外网玩笑注释。这不算漏洞，渗透但足以当敲门砖。外网

Kali装在虚拟机里，渗透工具链早就熟得闭眼能敲。外网nmap扫端口，渗透masscan撒网，外网gobuster跑目录，渗透这些动作重复了上千次。外网真正拉开差距的渗透，是拿到shell之后怎么活下来。

那次渗透，我顺着测试子域名的上传接口塞了个PHP马。权限低得可怜，www-data，连/etc/shadow都读不了。但Linux主机有个好处——cron任务总在跑。我蹲了四十分钟，看它每五分钟执行一次备份脚本，用tar打包网站目录。tar有个GNU特性，能通过通配符注入参数，我就在备份目录里放了个假文件，名字叫--checkpoint-action=exec=sh shell.sh。cron再跑，shell反弹回来了，root权限。就这么简单，像老式锁匠用一张塑料卡片捅开门。

外网渗透的难点从来不是技术，是判断。你得在噪音里找信号。某次客户给的授权范围是IP段，但防火墙后面藏着个内网CRM系统。我用了SSH隧道，把本地端口转发到目标内网的一台跳板机上，再通过它访问CRM。整个过程像在流沙上搭桥——每一步都可能塌。但真正危险的时刻，是当你在目标机器上敲下cat /etc/passwd，发现里面有十几个真实用户名的瞬间。那不是兴奋，是责任。你知道了太多，而对方还蒙在鼓里。

工具只是延伸。Metasploit的exploit我很少直接打，公开漏洞库里的POC像超市货架，人人都能拿。我更爱用Burp Suite手动改请求，或者写点一次性Python脚本。有一次，目标用了WAF，拦截所有包含union select的请求。我试了十几种编码绕过，最后发现把/*!50000union*/ select塞进去，MySQL解析器会忽略注释内容，而WAF的正则没覆盖这个版本标记。数据库吐出了三万条用户记录，里面包含明文密码。那家公司的安全工程师后来在邮件里说，他们测过OWASP Top 10，但没想过这种老式MySQL技巧还活着。

外网渗透的尽头是内网，但起点永远是那些不起眼的细节。一个未关闭的调试端口，一个带版本号的图片链接，甚至一封钓鱼邮件的HTML源码里泄露的内网IP。Kali只是给了你一套工具箱，真正的武器是你对系统行为的理解——知道Linux的/proc目录下藏着什么，知道Windows的WMI能做什么，知道数据库的错误提示会告诉你多少信息。

那晚的东南亚电商，最终止步于拿到root权限。我截了图，写了报告，然后清理了所有痕迹。退出时，天已经蒙蒙亮。目标公司的运维大概还在睡梦里，不知道自己的服务器曾经被人像翻口袋一样翻过。我关了虚拟机，屏幕暗下去，窗外的鸟开始叫。渗透测试就是这么个活儿——你进入别人的系统，带走证据，留下修补建议，然后假装什么都没发生过。

但每次关掉终端，我都会想：如果这是个真正的黑帽，他不会写报告，不会留修补建议。他会留下后门，会拖库，会把数据卖给下一个出价的人。我们的工作，本质上是在和这些人赛跑，看谁先发现那扇没关好的门。