去年冬天，渗透破解我在一个安全论坛上看到有人贴了一张截图：某款智能门锁的渗透破解App登录请求里，密码字段居然是渗透破解明文传输的。底下有人回了一句“这玩意儿能撑过三秒算我输”。渗透破解后来真有人试了，渗透破解用一台旧手机抓包，渗透破解改了个参数，渗透破解门就开了。渗透破解整个过程不到两分钟。渗透破解

渗透测试这行干久了，渗透破解你会发现很多系统被攻破的渗透破解原因，根本轮不到什么高级漏洞。渗透破解弱口令、渗透破解未授权访问、渗透破解硬编码密钥——这些词听起来像十年前的渗透破解教材内容，但它们今天依然能轻松撕开一道口子。我见过一个后台管理系统，登录框下面写着“默认账号admin，密码admin123”。运维说这是“临时调试用的”，但那个“临时”已经挂了两年。

破解的本质不是暴力穷举，而是找捷径。有人花三天跑字典，有人花三分钟翻代码注释。后者往往更有效。比如某次评估一个物联网设备，固件解包之后，在/etc/config里直接躺着一个root密码。厂商把调试凭证打包进了量产固件，连改都没改。这种事你写报告的时候都不知道该用什么语气——是夸他们诚实，还是骂他们懒。

工具当然重要。Burp Suite、nmap、sqlmap这些是日常口粮。但工具替代不了观察。一个登录接口返回“用户名不存在”和“密码错误”两种不同提示，这就是枚举漏洞的入口。如果它还限速不严，你可以拿一份社工库跑出十几个有效账号。接下来的事就顺理成章了。

横向移动才是渗透里最考验耐心的环节。拿到一台机器之后，看ARP表、翻浏览器保存的密码、找共享目录、查计划任务。有时候一个运维图省事，把内网所有机器的SSH密钥放在同一台跳板机上。你拿下跳板机，就等于拿下了整个机房。这种“信任链”断裂的问题，比任何0day都致命。

有人觉得渗透测试就是搞破坏。其实恰恰相反，真正的价值在于证明“破坏是可能的”。一份报告里写“存在SQL注入风险”和直接贴出数据库里前十条用户记录，后者的说服力是前者的十倍。当然，得合法授权。没授权的那叫入侵，不叫测试。

防御方也不是完全被动。我见过一家公司，在登录接口加了设备指纹和速率限制之后，暴力破解的成功率从百分之百掉到几乎为零。成本不高，效果立竿见影。但更多时候，问题出在“知道但没做”。安全补丁堆在工单系统里排期，排到明年。攻击者不会等你排期。

写这篇文章不是教人搞破坏。是想说，很多系统的安全防线，薄得跟纸一样。你以为要翻墙，其实门根本没锁。你以为要拆锁，其实钥匙就插在锁孔上。渗透测试员的工作，就是走过去拧一下，然后告诉你：该换锁了。