黑客渗透测试

去年冬天，黑客我给一家做跨境电商的渗透公司做内部渗透测试。老板拍着胸脯说他们的测试后台“绝对安全”，因为用了某款知名WAF。黑客结果我花了不到二十分钟，渗透用一份伪造的测试物流面单PDF就拿到了客服系统的登录态——文件上传功能没做内容检测，WAF只拦了常见的黑客SQL注入特征。这事说明一个道理：渗透测试不是渗透买产品，是测试买思路。

很多人把渗透测试和漏洞扫描混为一谈。黑客扫描器跑一遍，渗透报告里列出一堆CVE编号，测试那叫体检。黑客渗透测试是渗透模拟真实攻击者的行为链条：信息收集、边界突破、测试权限提升、横向移动、目标达成。区别在于，扫描器只会敲前门，渗透测试会翻窗户、爬通风管、甚至骗保洁阿姨开门。

信息收集阶段最容易被低估。我习惯先花两三天只做被动侦察，不碰目标任何系统。查Whois、看DNS记录、翻GitHub提交历史、搜LinkedIn员工动态。有一次发现某运维在技术论坛提问时贴了内网IP段，顺藤摸瓜找到VPN入口的默认口令没改。这种线索扫描器永远给不了你。

边界突破讲究“低慢小”。别一上来就上sqlmap狂扫，流量特征太明显。我常用的是业务逻辑漏洞：密码重置时把手机号改成自己的、订单金额传负数、越权查看他人收货地址。去年某在线教育平台，我就是通过修改课程ID遍历到了所有学员的身份证号。开发觉得“ID是哈希的没法猜”，但他们忘了哈希值在URL里是明文传输的。

拿到低权限账户后，提权才是分水岭。Windows环境先看补丁列表和服务权限，Linux翻SUID文件和计划任务。有次在CentOS上发现一个root运行的备份脚本，它调用的tar命令路径没写全。我在/tmp下放了个同名恶意文件，等定时任务触发，直接拿到root shell。这种手法老套但管用，因为运维总以为“内网没人能进来”。

横向移动阶段，凭据复用是王道。用mimikatz抓本地哈希，拿哈希去撞其他机器。域环境里更简单，一个域管登录过的跳板机就能撬动整个内网。我见过最离谱的案例：某公司所有服务器本地管理员密码相同，且就是公司名字加123。从一台暴露在公网的Jenkins打到核心数据库，全程不到四十分钟。

最后说报告。别堆砌技术名词，老板看不懂。用业务语言写：能造成多少资金损失、泄露多少用户数据、影响哪些监管合规。修复建议要分优先级，别列五十条让开发自己挑。我通常只给三条：立刻改的、本周改的、下季度改的。渗透测试的价值不在挖了多少洞，而在让决策层意识到风险的真实形状。

这行干久了会形成条件反射。看到登录框就想试弱口令，看到上传点就想传webshell，看到报错信息就想构造注入。但真正的高手懂得克制——测试范围写清楚，别碰生产数据，发现严重漏洞先口头同步再出报告。毕竟你的目的是帮客户修房子，不是把房子拆了证明它不结实。