渗透基础

去年秋天，渗透基础我在一个客户的渗透基础内部网络里待了整整三天，没有被任何人发现。渗透基础过程说出来可能让人失望——没有电影里那种噼里啪啦敲键盘突破防火墙的渗透基础画面，我只是渗透基础用了一个从领英上找到的员工邮箱，配合一个看起来像IT部门发的渗透基础钓鱼页面，拿到了他的渗透基础域账号密码。就这么简单。渗透基础

渗透测试的渗透基础核心不是技术对抗，是渗透基础信息不对称。防守方要堵住每一个洞，渗透基础攻击方只需要找到一个没关好的渗透基础窗户。这个不对称性决定了渗透的渗透基础思路：先收集，再找薄弱点，渗透基础最后才是渗透基础利用。

踩点是渗透里最枯燥也最关键的环节

很多人一上来就想找漏洞、打payload，这是本末倒置。你连目标用的是什么邮件系统、有没有VPN入口、员工在哪些社交平台上活跃都不清楚，怎么打？

我通常花整个项目60%的时间在信息收集上。子域名枚举、whois反查、GitHub上搜泄露的密钥、翻员工的社交媒体看他们用什么技术栈、甚至去招聘网站看目标公司最近在招什么岗位——招安全工程师说明他们可能刚出过事，招运维说明基础设施在变动。这些碎片拼在一起，能画出一张相当清晰的攻击面地图。

有个细节值得说：很多公司的测试环境和生产环境共用同一套认证体系。测试环境的防护通常松懈得多，从那里切入，再横向移动到生产环境，比正面硬刚容易十倍。

漏洞利用不是炫技，是找最短路径

拿到攻击面之后，选利用方式的原则只有一个：用最不引人注意的手段拿到权限。一个存在了三年的未授权访问接口，比一个刚爆出来的0day好用得多。0day动静大，容易被发现，而且往往不稳定。

我见过太多新手拿着扫描器跑出一堆中危漏洞就不知道怎么办了。其实大部分时候，一个配置错误的S3存储桶、一个弱口令的管理后台、一个暴露在公网的Redis未授权访问，就足够撕开口子了。技术含量不高，但管用。

横向移动阶段，Pass-the-Hash、Kerberoasting这些技术确实好用，但前提是你已经拿到了域内一台机器的权限。第一步永远是最难的，后面反而顺理成章。

权限维持和痕迹清理才是分水岭

拿到域管权限不算结束。客户真正想知道的是：你能不能在被发现之前长期潜伏？我习惯在拿到初步权限后立刻建立两到三条独立的维持通道——计划任务、服务账户、Golden Ticket，互相备份。任何一条被查出来，还有其他路可以回去。

痕迹清理这块，说句实话，Windows事件日志比大多数人想象的难清理干净。与其费劲删日志，不如一开始就用合法工具和正常流量来伪装。用PowerShell的合法cmdlet、走HTTPS协议、模仿正常的管理员行为模式，比任何rootkit都隐蔽。

渗透测试的终点不是拿到flag，是写出一份让甲方安全团队能真正修好问题的报告。我见过太多报告只写“存在SQL注入，建议修复”，这不叫报告，叫扫描器输出。好的报告会写清楚：这个注入点是怎么被发现的、能拿到什么数据、攻击路径是什么、修复优先级怎么排、修完之后怎么验证。甲方花了几十万请你来，要的不是漏洞列表，是能落地的整改方案。

这行做久了会发现，技术只是基础。真正拉开差距的是对目标业务的理解、对人性弱点的把握，以及把零散信息串成攻击链的能力。工具会过时，漏洞会修复，但这套思维方式不会。