web安全攻防 渗透测试实战指南

凌晨两点，全攻我盯着屏幕上那个红队靶场的防渗登录框，密码字典跑完最后一组，透测还是试实403。这种挫败感干这行的全攻人都懂——你明明知道漏洞就在那儿，可它就是防渗躲着你不出来。后来我换了思路，透测不再硬刚登录接口，试实转而去翻前端JS文件，全攻结果在压缩过的防渗代码里扒出一段硬编码的API密钥。三分钟后，透测系统被拿下了。试实这就是全攻渗透测试的真相：它不总是高深的0day利用，更多时候是防渗细心和耐心在较量。

先别急着打开扫描器。透测真正的渗透测试从信息收集就开始了，而且这一步决定了你后续80%的成功率。我见过太多新手直接扔个Nmap全端口扫描，然后对着结果发呆。换个思路——先去查目标公司的招聘信息，看看他们用的什么技术栈；去GitHub搜他们员工的公开仓库，有时候能直接找到内网文档；用Shodan搜他们的IP段，看看有没有暴露在公网的数据库或打印机。这些动作比任何扫描器都致命，因为它们是“人”的行为，而不是“工具”的痕迹。

漏洞利用阶段最容易让人上头。上周帮朋友测试一个电商站，发现了个SQL注入点，当时那个激动啊，直接掏出sqlmap就跑。结果跑了半小时，啥也没跑出来，还把目标WAF给触发了，IP直接被封。后来冷静下来，手工构造了几个payload，发现注入点在order by参数里，而且是盲注。改用时间盲注，配合二分法，一个字符一个字符地猜，花了三个小时才把管理员密码hash拿到。这活儿急不得，越急越容易触发防护机制。

权限提升是另一道坎。拿到webshell只是开始，能不能拿到root或者system权限才是分水岭。Linux系统上先看内核版本，查查有没有脏牛之类的提权漏洞；Windows系统就得翻翻补丁记录，看看MS17-010这类经典漏洞是不是还活着。但别忘了最简单的方法——检查配置文件里的明文密码，很多人为了方便，会把数据库密码、SSH密钥直接写在脚本里。我曾在一次测试中，通过读/etc/shadow文件发现root密码和普通用户密码相同，直接su切换，连提权漏洞都省了。

后渗透阶段最考验判断力。这时候你要决定是稳扎稳打地建立持久化，还是见好就收。有一次测试内网，拿下了一台域控，但发现域管账号的密码哈希跟域内所有机器都相同。当时只要再横向移动一下，整个内网就全沦陷了。可我停住了——因为客户签的授权范围只到那台域控。做这行得有底线，技术可以没底线，人得有。

写报告的时候才最磨人。很多人以为渗透测试完事儿就结束了，其实报告才是客户真正买单的东西。别写那种“发现SQL注入漏洞，风险高”这种废话。要写清楚：漏洞在哪个URL，参数是什么，怎么复现，影响范围多大，怎么修复。最好附上截图和请求包。我习惯在报告里加一段“攻击路径描述”，像讲故事一样把整个渗透过程串起来，客户看得明白，下次续费的几率也大。

最后说点实在的。工具只是辅助，思路才是核心。Burp Suite、Metasploit这些工具用熟了当然好，但别被工具绑架了。多去研究漏洞原理，多琢磨业务逻辑漏洞——那些才是真正能体现你水平的地方。比如改个支付金额参数、越权访问别人订单、篡改验证码返回包，这些漏洞扫描器根本发现不了，但造成的危害比SQL注入还严重。干渗透测试这行，永远要保持好奇心，永远要假设自己会漏掉点什么。因为攻击者不会按你的预设剧本来，他们总在你想不到的地方撬开一道缝。