去年冬天，渗透手段我帮一家小电商做应急响应。攻击服务器上没什么异常进程，渗透手段防火墙日志干净得像新装的攻击。但老板说，渗透手段客户下单后收到的攻击确认邮件里，收款账号被换了。渗透手段查了两天，攻击最后在网站根目录一个几乎没人注意的渗透手段 `.htaccess` 文件里找到了猫腻——攻击者没碰数据库，也没上传 Webshell，攻击只是渗透手段加了两行重写规则，把支付页面的攻击 POST 请求悄悄转发到了自己的服务器。这就是渗透手段渗透攻击的日常：不炸门，不撬锁，攻击只是渗透手段在你每天路过的走廊里换了一块地砖。
很多人以为渗透攻击就是扫端口、爆密码、拿 Shell。那是入门脚本小子的玩法。真正有威胁的渗透，第一步往往是“不攻击”。攻击者会花几天甚至几周观察目标：员工在 GitHub 上提交的代码里有没有硬编码密钥，运维在 Stack Overflow 提问时暴露的内网 IP 段，市场部发的招聘 JD 里写明了用什么版本的 Confluence。这些信息拼起来，比任何漏洞扫描器都精准。我见过一个案例，攻击者从某公司实习生上传到个人博客的 `.ovpn` 配置文件里提取出内网 VPN 地址，然后用该实习生在其他网站泄露的旧密码撞库成功，直接进了内网。整个过程没有触发任何 IDS 告警。
拿到一个低权限入口后，渗透攻击的核心逻辑就一个字：爬。不是提权，是爬。横向移动比纵向提权更隐蔽。Windows 域环境里，攻击者常用 net use 挂载共享目录，或者用 WMI 远程执行命令。Linux 环境下，SSH 密钥复用和 sudo 配置错误是重灾区。有个细节值得注意：很多运维为了图方便，会在所有服务器上部署同一套 SSH 公钥。攻击者拿到其中一台的私钥，就能像串门一样登录整个集群。这比零日漏洞好用多了，因为零日会被修补，而人的懒惰不会。
权限维持阶段，攻击者最怕的是“动静大”。所以你会看到他们偏爱计划任务和系统服务，而不是注册表 Run 键。Windows 下用 schtasks /create 加一个每小时回连的 job，Linux 下往 /etc/cron.d/ 丢一个伪装成日志轮转的脚本。更高级的玩法是劫持 DLL 或利用 WMI 事件订阅，这些手法在常规安全巡检里几乎不会被发现。我曾在一次红队评估中，把一个反向 Shell 藏在 IIS 的 applicationHost.config 里，通过自定义 HTTP 模块加载。蓝队查了三天进程和网络连接，愣是没找到。
数据外传才是渗透攻击的终点。但直接 scp 或 curl 传数据太蠢了。攻击者会把数据拆成小包，混在正常的 DNS 查询或 HTTPS 流量里。比如用 DNS TXT 记录分片回传，每次只带 200 字节，慢是慢，但几乎不可能被基于阈值的 DLP 系统拦住。还有一种更损的：把数据编码后写进图片的 EXIF 注释，上传到目标自己的 CDN 上，再从外部拉取。你封了出口 IP，但 CDN 的流量你封不了。
防御渗透攻击，别迷信“纵深防御”那套 PPT 话术。先做三件事：把内网所有 SSH 密钥换成短时效证书，禁止密码登录；在域控上启用 LAPS，让每台机器的本地管理员密码都不一样；把出站 DNS 查询强制走内部解析器，禁止直连 8.8.8.8。这三条做到，能挡掉八成以上的横向移动和 C2 通信。剩下的，靠人盯。盯什么？盯那些“合法但反常”的行为——比如财务部的电脑凌晨三点在查域管组，比如 Web 服务器突然开始解析内网主机名。工具会漏，人会累，但攻击者总会留下痕迹。你不需要抓住每一次，只需要让他觉得，待在你网络里比走钢丝还难受。