渗透拿下

老陈把那个U盘插进内网终端的渗透拿下时候，手指头是渗透拿下稳的。干了八年渗透测试，渗透拿下他太清楚大多数企业的渗透拿下防线长什么样——外面糊着层防火墙，里面全是渗透拿下洞。这次目标是渗透拿下一家做工业控制系统的公司，客户要求“模拟真实攻击”，渗透拿下说白了就是渗透拿下想看看自家系统扛不扛揍。

他没用那些花里胡哨的渗透拿下0day。真正管用的渗透拿下往往是最笨的办法。先扫了一遍对外IP，渗透拿下发现一个测试用的渗透拿下Jenkins面板还开着默认口令，admin/admin，渗透拿下连改都没改。渗透拿下点进去，渗透拿下构建历史里躺着几条带明文数据库密码的日志。老陈笑了，这跟把钥匙插门上有什么区别。

拿到数据库权限只是第一步。真正有意思的是他们内网那套工控协议，Modbus TCP，连认证都没有。老陈写了个小脚本，把PLC的寄存器地址一个个读出来，温度、压力、阀门状态，全在裸奔。他甚至能直接写值——把某个反应釜的设定温度从80度改成200度。当然他没这么干，只是截了张图当证据。

横向移动的时候他碰到点麻烦。域控打了最新的补丁，常规的Kerberoasting打不动。老陈蹲了两天，翻到一台退休的打印服务器，系统还是Server 2008，MS17-010的洞都没补。用永恒之蓝弹了个shell，顺手把域管哈希抓了。整个过程安静得像在图书馆翻书。

客户的安全负责人后来问他，你们怎么进来的。老陈把报告推过去，第一页就写着：从外网到核心控制区，总共用了四小时十七分钟。负责人脸色不太好看，说我们买了那么多安全设备。老陈回了一句，设备是死的，配置是活的。你们那个Jenkins，装完就没人管过吧。

这事让我想起另一个项目。某次攻防演练，红队十几号人折腾一星期没打进去，最后是一个实习生发现目标公司食堂的WiFi密码跟VPN一个。连上去一看，内网共享文件夹里躺着全套网络拓扑图。渗透这行干久了就明白，技术漏洞好补，人的惰性没救。默认口令、未打补丁的老系统、乱放的配置文件——这些东西年年讲，年年有。

老陈收工前习惯性清日志。他删掉自己留下的webshell，把修改过的注册表项还原，连那个Jenkins的构建记录都恢复了原样。客户问要不要留个后门方便复测，他摇头。渗透测试的规矩是：进来，证明能搞破坏，然后悄悄退出去。真正的高手不是把系统搞崩，是让管理员压根不知道你来过。

回去路上他跟我发消息，说这次报告里建议客户把工控网络跟办公网做物理隔离。我问他觉得他们会不会改。他发了个狗头表情，说大概率不会，下次来还是这德行。干这行就这样，你永远叫不醒装睡的人，但至少能把他们被子掀了。

那个U盘后来被老陈格式化了三遍。他说里面装的不只是工具，还有这行当的某种执念——找漏洞不是为了炫技，是为了让那些觉得自己很安全的人，半夜能惊醒一次。惊醒之后改不改，那是他们的事。渗透拿下，拿下的是真相，不是系统。