我盯着屏幕上滚动的十六进制数据，手指在键盘上敲下 nmap -sS -O 192.168.1.105。客模三秒后，拟攻终端弹出一行结果：22/tcp open ssh; 80/tcp open http; 3306/tcp open mysql。线黑这不是客模电影里的场景，而是拟攻我上周在虚拟靶场里做的一次模拟攻击。目标是线黑一台故意留了漏洞的 Ubuntu 容器，我的客模任务是在十分钟内拿到 root 权限。

很多人以为“黑客攻击”就是拟攻狂敲键盘、满屏绿色代码乱飞。线黑扯淡。客模真实的拟攻模拟攻击更像是在玩一个极度硬核的解谜游戏，而且每一步都有迹可循。线黑我用的客模工具都是公开的——Metasploit、Burp Suite、拟攻sqlmap——甚至不用自己写 exp。真正难的是判断哪里能捅进去。

那次我卡在登录框上。SQL 注入被简单过滤了，但时间盲注没防住。我花了六分钟跑出数据库里的用户名和 MD5 哈希，然后丢进 hashcat 用 rockyou 字典跑。密码是 sunshine，弱得离谱。登进后台，上传一个 php 反弹 shell，连上 netcat 监听，拿到 www-data 权限。最后用 sudo -l 发现可以无密码运行 find，直接提权到 root。全程不到九分钟。

这玩意儿有意思的地方在于——它把安全漏洞从抽象概念变成了可触摸的链条。你不需要懂汇编，不需要会逆向，只要知道 nmap 扫什么、sqlmap 怎么用、msfconsole 里哪个模块对应哪个 CVE。上周有个朋友问我：“模拟攻击算不算真黑客？” 我说看你怎么定义。如果目标是学习防御，那模拟攻击就是最好的教材。你亲手捅一刀，才知道伤口在哪、有多深。

“攻击者永远找最薄的那块木板。你修好了防火墙，他可能从 SSH 弱口令进来；你禁了 root 登录，他可能从 Web 漏洞上传 shell。模拟攻击就是让你自己当一次那个找木板的人。”

我见过太多公司买了几十万的 WAF，结果后台管理员密码还是 admin123。模拟攻击能暴露这种荒诞。去年有个小电商网站找我做测试，我扫到他们用了某开源 CMS 的旧版本，直接 searchsploit 找到 RCE 漏洞，三分钟拿到 webshell。他们技术负责人还不信，说“我们装了安全狗”。我让他看日志——安全狗根本没拦，因为请求是伪装成正常图片上传的。

当然，模拟攻击有边界。没授权就是犯罪，这点没得洗。但靶场环境、自己搭的虚拟机、CTF 比赛——这些随便玩。我建议每个运维都该在隔离网络里跑一遍完整的攻击链：从信息收集到权限维持，每一步都记下来。你会发现，所谓“黑客”不过是对系统了解得足够深的人。你越懂正常流程，越知道哪里能出岔子。

昨天我又开了一台新靶机。这次是 Windows Server 2019，开了 SMB 和 RDP。我还没想好从哪下手。可能先试试永恒之蓝，如果补丁打了就换密码喷洒。反正模拟攻击就是这样——你永远不知道下一个漏洞藏在哪个服务里。但你知道它一定在。只要找得够仔细。

屏幕右下角弹出提示：meterpreter > getuid。回显 Server username: NT AUTHORITY\SYSTEM。我笑了笑，关掉虚拟机。下次换个更难的靶场。