渗透测试的流程

去年帮一家电商做渗透测试，渗透客户拍着胸脯说“我们刚过等保，测试程安全得很”。渗透结果我们只用了一个弱口令，测试程就从他们的渗透后台管理页面摸进了核心数据库。整个过程不到四十分钟。测试程渗透测试从来不是渗透拿着扫描器跑一遍就完事，它更像一场有预谋的测试程入室盗窃——你得先踩点，再撬锁，渗透最后还得擦掉指纹。测试程

拿到授权书的渗透那一刻，测试才算真正开始。测试程没有书面授权的渗透渗透测试都是耍流氓，搞不好要进去踩缝纫机。测试程授权范围得写清楚：哪些IP段能碰，渗透哪些系统不能动，测试时间窗口是几点到几点。我见过同行没注意授权书里的“仅限办公网”几个字，顺手把生产环境扫了，直接被客户投诉到公司。信息收集这一步最枯燥，但也最见功力。Whois查注册人，DNS查子域名，搜索引擎查泄露的邮箱和文档。有一次我用Google语法搜“site:target.com filetype:xls”，翻出来一个员工通讯录，里面连VPN账号密码都写在备注栏里。这种低级错误，比任何0day都致命。

漏洞扫描器会告诉你“这里可能有个SQL注入”，但它不会告诉你这个注入点能不能拿到数据库权限。手工验证是分水岭。我习惯先试弱口令，admin/admin、admin/123456、test/test，十次里有三次能中。然后看登录接口有没有验证码绕过，密码重置逻辑能不能爆破。有个客户的重置密码功能，验证码是前端生成的，抓包改一下返回包就能任意用户密码重置。这种逻辑漏洞，扫描器根本扫不出来。拿到低权限账户后，下一步是提权。Windows下用PowerUp.ps1看未引用的服务路径，Linux下翻SUID文件。去年遇到一台CentOS，`find / -perm -4000`列出来一个自定义的备份脚本，里面调用了tar但没写绝对路径，直接`echo 'cp /bin/bash /tmp/bash; chmod +s /tmp/bash' > /tmp/tar`，等定时任务一跑，root到手。

横向移动是最考验耐心的环节。拿到一台机器不等于拿下整个域。先看当前用户有没有域管权限，没有就翻本地凭据。Mimikatz抓明文密码或者哈希，然后拿哈希去撞其他机器。有个内网里，运维图省事，所有服务器本地管理员密码都一样，我们一台传一台，最后摸到了域控。这时候别急着截图交差，得清理痕迹。删掉上传的工具，清掉系统日志里的登录记录，把新建的账户删掉。客户的安全团队不是吃素的，留下尾巴等于自曝。

报告怎么写比测试本身还重要。别堆一堆CVSS评分就完事，客户看不懂。把漏洞按业务影响排序，能直接拿数据的排第一，需要交互的排后面。每个漏洞写清楚复现步骤，截图要带时间戳和IP。修复建议别写“升级到最新版本”这种废话，具体到“在nginx配置里加`add_header X-Frame-Options DENY`”。最后附上测试过程中用到的工具和命令，方便客户自查。我习惯在报告末尾加一句：“本次测试未发现某类漏洞，不代表不存在。”这不是免责，是事实。

渗透测试的终点不是报告交付，是客户真正把漏洞修了。我见过太多报告躺在邮箱里吃灰，半年后同一个漏洞还在。所以交付后一周，我会主动问一句：“那个SQL注入修了吗？要不要我复测一下？”这行干久了，你会发现技术只是工具，真正决定成败的是细节和沟通。