服务器渗透测试

拿到一台目标服务器的服务权限，有时候只需要一个弱口令。器渗去年某次授权测试，透测客户内网一台CentOS 7机器，服务SSH端口对外开放，器渗root密码是透测`Admin@123`。字典跑了两分钟就进去了。服务这不是器渗段子，是透测真实发生的事。服务器渗透测试的服务核心，从来不是器渗堆砌多少漏洞利用工具，而是透测找到那条最短的路径——往往就是最不起眼的疏忽。

信息收集阶段决定了后面所有工作的服务效率。我习惯先做端口扫描，器渗nmap的透测`-sV -sC`参数基本够用。有一次扫出一台机器开了8080端口，返回的是Tomcat默认页。顺手试了`/manager/html`，居然还能访问，弱口令tomcat/tomcat直接部署war包拿shell。整个过程不到十分钟。你说这算渗透还是算捡漏？都算。服务器渗透的本质就是利用配置缺陷，而配置缺陷往往藏在那些“默认”和“懒得改”里。

Web应用层面的漏洞更常见。SQL注入、文件上传、命令执行，这些老生常谈的东西依然有效。某次遇到一个ThinkPHP 5.0.22的站，直接打`index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id`，命令回显干净利落。框架漏洞的好处是不用猜，版本对了就是通杀。但别急着高兴——拿到Webshell只是第一步，服务器渗透的目标通常是提权到root，或者横向移动到内网其他机器。

提权这块，Linux下先看`sudo -l`，再看SUID文件。`find / -perm -u=s -type f 2>/dev/null`这条命令我敲了不下几百次。有次发现`/usr/bin/find`带了SUID位，直接`find . -exec /bin/sh -p \; -quit`就拿到了root shell。Windows那边更依赖补丁对比，`systeminfo`配合`wesng`脚本，MS16-032、MS17-010这些老漏洞在内网里依然一打一个准。客户经常说“我们打了补丁”，但总有一两台机器漏了，或者补丁装了没重启。

横向移动是服务器渗透里最考验耐心的环节。拿到一台机器的权限后，翻配置文件、翻history、翻内存里的凭据。`mimikatz`抓Windows明文密码，`grep -r "password" /home/`在Linux上碰运气。有次在`/root/.bash_history`里看到运维人员用`sshpass -p 'P@ssw0rd' ssh admin@10.0.0.5`，直接白捡一台数据库服务器。这种案例说明一件事：服务器渗透测试里，人的操作痕迹比系统漏洞更致命。

清理痕迹和维持权限是最后一步，但别做过头。客户授权测试里，我通常只留一个隐蔽的SSH公钥，其他日志该清就清。不过说实话，真遇到应急响应团队，你清得再干净也能被揪出来。所以渗透测试报告里，我从来不说“无法被发现”，只说“增加了溯源难度”。

服务器渗透测试不是炫技。它是一套逻辑：信息收集找入口，漏洞利用拿权限，提权横向扩战果，最后写报告说清楚风险。工具会过时，漏洞会修补，但“配置疏忽”和“人的惰性”这两件事，十年内不会消失。你信不信？反正我信。