网络安全实战攻防

去年秋天，网络某省级政务云平台被攻破，安全攻击队只用了不到四十分钟就拿到了核心数据库的实战root权限。事后复盘，攻防漏洞不在防火墙，网络也不在WAF，安全而在一台没人管的实战测试服务器——上面跑着三年前离职员工留下的Tomcat，默认口令没改，攻防端口还对着公网开着。网络防守方花了八百万买的安全态势感知平台，连一条告警都没发出来。实战

这就是攻防实战攻防的真相：你花大价钱修的城墙，敌人从来不走正门。网络

攻击者的安全眼睛比你想象的多

很多人以为渗透测试就是扫端口、打漏洞。实战真正打过实战的人知道，信息收集才是七成的工作量。一个目标单位的暴露面远超IT部门的台账：子公司官网、外包开发商的GitHub仓库、招标文件里附带的IP段、甚至员工在脉脉上晒的工牌照片——上面有内网系统地址。

我见过最离谱的一次，攻击队从某单位公众号一篇推文里，通过图片的EXIF信息定位到了他们办公楼的经纬度，再结合谷歌地球找到了楼顶的定向天线，推断出他们用的是某品牌的点对点微波回传。顺着这个品牌设备的默认SNMP口令，直接进了内网核心交换机。

防守方连自己有什么资产都说不清楚，谈何防守？

漏洞利用只是临门一脚

拿到边界权限后，攻击者不会急着横向移动。他们会先蹲几天，摸清域控的备份周期、杀软更新规律、运维人员的登录习惯。有个真实案例：攻击队发现目标单位每周三凌晨三点会重启所有业务服务器，重启后十分钟内EDR agent不会加载。他们就卡着这个窗口，用计划任务把横向工具推到了二十多台机器上。

零日漏洞当然可怕，但实战中八成以上的突破口是弱口令、未授权访问和配置错误。某次攻防演练，一个Redis未授权直接写SSH公钥就拿了十几台服务器。防守方还在群里问“Redis不是只在内网吗”——内网早就被VPN的弱口令撕开了。

防守不是堆设备，是拼细节

我见过一个做得好的防守方。他们没有买最贵的蜜罐，而是把办公网和服务器网之间那台老旧的硬件防火墙策略翻出来，一条一条核对。发现有一条any-any的规则是三年前临时加的，早没人记得。关掉之后，攻击队从钓鱼邮件打进来的C2连接直接断了。

他们还做了一件小事：把所有运维人员的个人邮箱从Git提交记录里清掉，换成统一的devops账号。攻击队本来已经通过GitHub上泄露的邮箱撞库拿到了VPN账号，结果发现那个账号没有内网权限，白忙一场。

实战攻防里，一个细节的疏忽就能让整条防线崩掉。反过来，一个细节的修补也可能让攻击队前功尽弃。

蓝队不是被动挨打

好的蓝队会主动出击。某金融机构的防守队在自己的DMZ区部署了几个伪装成业务系统的蜜罐，攻击队扫到之后花了两天时间打点，蓝队就利用这两天把真正的核心系统做了微隔离，同时溯源到了攻击队的C2服务器IP，反手封了对方整个C段。

还有更狠的：蓝队在蜜罐里放了伪造的数据库配置文件，攻击队拿到之后以为捡到宝，连夜分析，结果触发了埋在里面的一段shell脚本，直接回连了蓝队的监控平台。攻防转换就在一瞬间。

人的因素永远最大

技术再强，也怕内部人掉链子。某次演练，攻击队发了一封钓鱼邮件，主题是“关于调整公积金基数的通知”，附件是个带宏的Excel。一个财务大姐点了，宏运行了，但她电脑上装了某国产杀软，弹窗拦截了。她嫌弹窗烦，点了“允许本次运行”。

三十秒后，攻击队拿到了她的Outlook凭证，进而访问了财务共享邮箱，里面躺着全公司的工资表。后续的横向移动就简单了——用工资表里的身份证号后六位猜域账号密码，一猜一个准。

安全培训不是发个邮件就完事。得让每个人知道，你点的那一下“允许”，可能就是给攻击者开的门。

实战攻防没有银弹。攻击者找的是最短的那块木板，防守方要做的，是让每块木板都别太短。做不到完美，但至少别让一台三年前的测试服务器成为整个防线的突破口。