去年冬天，渗透实践我在一个老旧小区做了一次渗透测试。渗透实践目标是渗透实践一台门禁控制器，型号老得连厂商官网都下架了。渗透实践物业说这玩意儿连着整个小区的渗透实践门禁和监控，但没人知道它到底跑着什么系统。渗透实践我花了二十分钟，渗透实践用默认密码进了后台——admin/admin。渗透实践屏幕上跳出一排排住户信息，渗透实践姓名、渗透实践房号、渗透实践进出记录，渗透实践全在。渗透实践那一刻我盯着屏幕，渗透实践脑子里只有一个念头：这玩意儿要是渗透实践被恶意利用，整栋楼的人什么时候出门、什么时候回家，全在别人眼皮底下。

渗透这件事，很多时候不是电影里那种噼里啪啦敲键盘、屏幕上跳绿色代码的场面。现实里更常见的，是你在一个没人注意的角落发现一个没人管的接口。去年有个客户找我，说他们的后台管理系统“绝对安全”，因为登录页面加了图形验证码。我打开浏览器开发者工具，发现验证码的校验逻辑写在前端JavaScript里，只要把那个函数改成永远返回true，验证码就形同虚设。整个过程不到五分钟。客户后来问我用了什么高级工具，我说就一个F12。

工具当然有用。Burp Suite、Nmap、Metasploit这些是日常口粮。但工具跑出来的结果，得靠人去判断哪些是噪音、哪些是真正能打的点。有次扫一个内网段，Nmap报了一堆开放端口，其中有个8080端口跑着Tomcat，版本很旧。我试着访问管理后台，发现需要凭证。翻了一下目录，有个备份文件没删干净，里面写着数据库连接字符串。数据库是MySQL，root密码是空。从发现端口到拿到数据库权限，前后大概四十分钟。如果只看扫描报告，这个点很容易被淹没在几十个开放端口里。

渗透测试和攻击的区别，在于授权。没有书面授权的测试叫入侵，有授权的叫评估。我见过太多人拿着扫描器随便扫别人的站，觉得“我只是看看又不破坏”。法律上不这么认为。去年有个同行，帮朋友“检查”了一下公司网站，发现漏洞后没走正规流程，直接截图发给了对方老板。结果对方翻脸，说他非法入侵。最后赔了钱，还留了案底。这事在圈子里传了一阵，大家唏嘘归唏嘘，该守的线还是得守。

说回技术。现在很多系统上了云，边界模糊了，渗透的切入点也跟着变。以前盯着防火墙和Web应用，现在得看API网关、容器配置、IAM策略。有次评估一个SaaS产品，Web端做得滴水不漏，WAF规则严得连正常的SQL关键字都拦。我换了个思路，去看它的移动端App。反编译APK，发现里面硬编码了一个测试环境的API密钥。用那个密钥去调接口，直接绕过了WAF，拿到了管理权限。云环境里，边界不是一堵墙，是一张网，任何一个节点松了，整张网都可能被扯开。

干这行久了，会养成一种习惯：看到任何输入框都想试试注入，看到任何登录页都想试试弱口令。有次在咖啡馆，旁边一个人对着笔记本发愁，我瞄了一眼，他在填一个后台登录页。我随口说了句“试试admin加123456”，他试了，进去了。他愣了半天，问我怎么知道的。我说猜的。其实不是猜，是见得多了。很多系统的默认凭证从来没人改过，就像很多人家的路由器密码还是admin。

渗透到最后，拼的不是谁工具用得好，是谁更了解人的惰性。开发图省事留的后门、运维图方便开的端口、用户图好记设的密码，这些才是真正的入口。技术只是把这些惰性翻译成可执行的路径。我包里常年带着一个U盘，里面装着一个定制版的Linux，专门用来做物理渗透。有次去一个客户现场，前台没人，我插上U盘，从启动菜单进去，十五分钟拿到了域控的哈希。走的时候前台还没回来。这事后来写进报告里，客户把前台换了，也把USB接口封了。但我知道，封了USB还有别的口子，只要人还在图省事。