测试渗透

去年夏天，测试渗透我在一个甲方内网里翻到一台没打补丁的测试渗透Confluence。版本是测试渗透7.4.0，CVE-2021-26084的测试渗透payload扔进去，两分钟拿到了shell。测试渗透权限不高，测试渗透但能读配置文件。测试渗透数据库密码明文躺在那儿，测试渗透连猜都不用猜。测试渗透这事让我重新想了一个老问题：渗透测试到底在测什么。测试渗透

很多人以为渗透就是测试渗透找漏洞、拿权限、测试渗透写报告。测试渗透流程走完，测试渗透交付一份PDF，测试渗透客户点头，项目结束。但真实情况往往更别扭。那次我拿到数据库密码后，没有继续横向，而是停下来给对接人打了个电话。他沉默了几秒，说这套系统三年前就报过风险，预算没批，一直拖着。所以渗透测出来的不是技术缺陷，是组织里某个被忽略的决策。

技术层面的事反而简单。信息收集、漏洞扫描、手工验证、提权、维持访问、清理痕迹——这套东西网上教程一抓一大把。工具也成熟，Burp、nmap、sqlmap、Cobalt Strike，组合起来能应付八成场景。真正难的是判断哪些资产值得打、打到什么程度停手、哪些发现写进报告会让人睡不着觉。

我见过一个乙方团队，为了展示能力，把客户域控直接打穿，连Golden Ticket都做了。报告写得漂亮，客户却当场翻脸。原因很简单：那台域控上跑着生产线控制软件，一旦真被恶意利用，停产损失按分钟算。渗透测试的边界感比技术本身更考验人。你能打进去是一回事，该不该打进去是另一回事。

另一个容易被忽略的点是时间。甲方通常给一到两周窗口，但真实攻击者可能已经潜伏了几个月。我习惯在报告里加一节“假设攻击者已有初始访问”，然后推演后续路径。这比单纯列漏洞更有说服力。有一次客户看完这节，直接改了应急响应预案，把重点从边界防护挪到了内网流量分析上。

工具输出和人工判断之间的差距也值得说。扫描器报了一堆中危，手工一看全是误报。反过来，有些逻辑漏洞扫描器根本碰不到。比如某个API的越权，参数从user_id=1001改成1002就能看到别人订单。这种问题靠工具跑不出来，得靠对业务的理解和一点好奇心。我习惯在测试前花半天时间翻前端JS，找那些没在文档里出现的接口。十次里有三次能挖到东西。

报告写作是另一个战场。技术细节要准，但给管理层看的那页必须说人话。“存在SQL注入”不如“攻击者可通过搜索框直接读取用户表，包括手机号和密码哈希”。后者能让决策者立刻明白为什么要修。我见过太多报告堆满CVSS评分和请求响应包，却没人告诉客户最该先修哪个。

渗透测试这行做久了，会慢慢从“找漏洞”转向“理解风险”。漏洞永远修不完，但风险可以排序。一个暴露在公网的低危漏洞，可能比内网的高危漏洞更紧急。一个能导致数据泄露的业务逻辑缺陷，可能比RCE更值得关注。这些判断没有标准答案，靠的是经验、沟通和一点直觉。

最后说个细节。每次项目结束，我会把测试过程中用到的临时文件、上传的webshell、创建的账号全部清理干净。有一次客户说不用清，反正要重装。我还是清了。这不是流程要求，是习惯。渗透测试是模拟攻击，不是真的破坏。留下烂摊子，下次没人敢让你进门。