渗透试验报告

凌晨两点，渗透试验我盯着屏幕上的报告流量日志，心跳漏了一拍。渗透试验目标服务器的报告80端口刚刚返回了一个异常响应——不是标准的404，而是渗透试验一个带着`/admin`路径的302跳转。这不对劲。报告三天前我扫描时，渗透试验这个端口还只跑着静态页面。报告

我立刻打开Burp Suite，渗透试验抓包回放那个请求。报告响应头里藏着一行`Set-Cookie: session=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9`。渗透试验Base64解码后，报告payload里直接写着`"role":"guest"`。渗透试验这不是报告默认配置，是渗透试验有人改过认证逻辑。我试着把role改成admin，重新签名——密钥居然就是`secret`，明晃晃的硬编码在JS文件里。

整个过程不到四十分钟。从发现异常到拿下管理员权限，比预期快得多。但真正让我后背发凉的，是接下来的发现：这个后台的日志模块没有做输入过滤，我随手在搜索框里敲了个`' OR 1=1 --`，居然直接拉出了全量用户数据，包括密码哈希。那哈希是MD5的，没加盐。我拿彩虹表一查，三秒就解出了admin的明文密码：`P@ssw0rd2024`。

说实话，这活儿干得没什么成就感。对方是家做金融支付接口的公司，按理说安全等级该是银行级的，但实际防护薄得像层纸。防火墙倒是装了，可规则写得稀烂——允许所有来自`10.0.0.0/8`的流量直连数据库端口，这相当于把保险柜钥匙挂在门口，还贴了张纸条说“闲人勿进”。

更讽刺的是，他们开发环境里有一套完整的WAF配置，注释写得清清楚楚，每条规则都对应OWASP Top 10。但生产环境跑的是另一套代码，压根没接WAF。问就是“上线时忘了同步配置”。这种事儿我见多了，不是技术问题，是流程问题——安全永远是最后才考虑的事，等出了事才想起来补窟窿。

我把报告写完，重点标红了两处：一是那枚硬编码的JWT密钥，二是未加盐的MD5。修复建议写得很直白：换密钥，上bcrypt，把数据库端口从防火墙白名单里摘掉。至于WAF，我建议他们直接删掉开发环境里那份“完美配置”，免得自欺欺人。

报告交上去，对方安全负责人沉默了半天，最后问了句：“能不能别把漏洞写得这么详细？怕老板看了觉得我们太菜。”我笑了笑，删掉了截图里的IP地址，但保留了完整的攻击路径。糊弄老板没意义，下次真被黑的时候，这些细节才是救命的东西。

收工前我看了眼时间，凌晨四点。窗外天快亮了，我合上电脑，想着明天还得去测另一家——听说他们用的是最新的Kubernetes集群，但愿这次能有点挑战。