去年秋天，渗透攻防我帮一家做跨境电商的渗透攻防朋友看服务器日志。凌晨三点十七分，渗透攻防一个来自立陶宛的渗透攻防IP在六分钟内试了四百多次后台登录，用户名从admin到root到他自己名字的渗透攻防拼音，密码字典跑得飞快。渗透攻防防火墙没拦住，渗透攻防因为对方用的渗透攻防是慢速撞库，每次请求间隔恰好卡在告警阈值下面。渗透攻防这不是渗透攻防电影里的黑客桥段，这就是渗透攻防日常。

渗透攻防这件事，渗透攻防外行看热闹，渗透攻防内行看的渗透攻防是一层一层剥开的过程。攻击者从不硬闯正门，渗透攻防他们找的是窗户没关严的那条缝。比如一个忘了下线的测试接口，返回包里带着数据库连接字符串；比如前端JavaScript里硬编码的API密钥，用浏览器F12就能翻出来。我见过最离谱的一个案例，某公司把内部管理后台的入口藏在robots.txt里，以为搜索引擎不收录就安全了——这跟把钥匙插在门锁上还盖了张报纸有什么区别。

防守方常犯的错误是只盯着边界。买最贵的WAF，配最严的防火墙规则，然后内网里一台Redis没设密码，直接bind 0.0.0.0。攻击者一旦拿到一台边缘机器，横向移动比逛自家后院还轻松。去年某车企被勒索，源头就是一个运维人员图省事，把公司VPN账号密码设成了和某论坛一样的。撞库撞出来的，就这么简单。

渗透测试和真实攻击最大的区别是时间。测试有窗口期，有范围限定，攻击者没有。他们可以花三个月养一个0day，可以蹲在GitHub上监控某公司员工提交的代码里有没有不小心带出的内网IP。我认识一个做红队的朋友，他最喜欢干的事是翻目标公司员工在Stack Overflow上的提问，有人贴报错日志时忘了打码，里面直接暴露了内网域名和端口。信息收集这一步，大部分人输在起跑线上。

说回防守。真正有效的策略不是堆设备，是减少攻击面。把不需要的服务关掉，把默认口令改掉，把内网东西南北向流量管起来。听起来像废话，但你去扫一遍随便哪家中小企业的外网IP段，开放的高危端口一抓一大把。445、6379、27017，这些端口暴露在公网上，跟把保险柜搬到人行道上没区别。

攻防之间没有一劳永逸。你今天补了Struts2的洞，明天Log4j爆了。你上了EDR，人家转头去搞供应链，往npm包里塞后门。节奏永远在变。我自己的习惯是每周花半小时看CVE更新，不一定要全懂，但至少知道哪些组件在裸奔。安全这件事，懒就是最大的漏洞。

最后说个观察。很多公司被渗透了根本不知道。日志不集中收集，告警没人看，等发现的时候数据已经在暗网打包卖了。攻击者比防守方更有耐心，这是不对等的游戏。你不需要比所有攻击者都强，你只需要比隔壁那家公司难搞一点。就这么现实。