网络渗透实训报告

凌晨两点十七分，网络靶机终于弹回了那个久违的渗透实训shell。屏幕上的报告光标闪烁，像黑暗中唯一亮着的网络烟头。我盯着那行uid=0(root)的渗透实训提示，后背的报告汗把T恤黏在椅子上——第七次尝试，总算拿下了这台模拟的网络银行内网服务器。

实训第一天，渗透实训导师丢给我们一个黑盒靶场，报告只说了一句：“拿到域控，网络算你们及格。渗透实训”没人当真。报告结果一上午，网络二十多号人连最初的渗透实训Web入口都没撬开。我卡在SQL注入的报告过滤规则上，试了大小写、编码绕过、堆叠注入，全被WAF拦死。午饭时隔壁组已经在传flag，我碗里的面坨成一团，脑子里全是那个永远返回200的HTTP响应。

下午换了思路，从信息收集重新开始。用nmap扫全端口，发现8080上跑着一个老旧的Jenkins版本。CVE-2018-1000861，我记得这个洞，反序列化直接RCE。但靶机做了网络隔离，只能从外网访问到这一台。拿到shell之后，眼前是个docker容器，内网一片漆黑。

这才算真正开始。内网渗透的每一步都像在烂泥里走路——横向移动靠的是SMB共享里翻出来的明文密码，那管理员居然把备份脚本的凭据写在bat文件里，注释还写着“临时用”。提权用的是内核漏洞，脏牛太老，换成CVE-2021-4034，polkit的洞，一击命中。整个过程没有花哨操作，全是笨功夫：翻日志、看配置文件、试弱口令。

最磨人的是域控那台机器。金票伪造需要krbtgt哈希，可我们连普通域用户都没抓到。后来在文件服务器上找到一个旧版Outlook的PST文件，用pst2ldif解析，里面躺着一封五年前的邮件，附件是Excel表格，存着所有服务账号的密码——明文，没加密。那一刻我忽然明白，所谓高级攻击，往往败在最低级的习惯上。

最后一天复盘，导师让我们把过程写成报告。我没写那些“通过多种手段最终获取权限”的废话，只列了时间线：哪个漏洞花了多久，哪次尝试走错了路，哪条线索是误判。他看完只说了一句：“真实渗透里，90%的时间都在试错，剩下10%才是利用。”这话比任何教材都管用。

实训结束那天，我把靶机里的flag截图存进手机。不是为了炫耀，是想提醒自己——网络安全的本质不是攻破，而是理解系统如何信任他人，又在哪里疏忽。那些漏洞，每一个都对应着某个开发者的想当然，某个运维的偷懒，某个管理员的“临时用”。

现在再看到网上那些“渗透测试三天入门”的广告，我只想笑。三天连nmap的-sV参数都记不牢。真正的技术，是熬出来的，就像那晚的shell，等了七次才等到。