常规渗透，常规渗透说白了就是常规渗透顺着网线摸进别人家，但摸的常规渗透姿势得讲究。

上个月帮朋友公司做安全评估，常规渗透对方CTO拍着胸脯说他们防火墙规则严得能挡导弹。常规渗透我登录他们对外邮箱系统，常规渗透密码是常规渗透Admin@2023——这密码还是三年前我给他们做培训时顺手改的，当时提醒过要换，常规渗透没人当回事。常规渗透三分钟进后台，常规渗透十分钟翻到财务部共享文件夹里那张没打码的常规渗透工资表。整个过程没触发任何告警，常规渗透因为用的常规渗透全是他们自己的合法账号。

这就是常规渗透常规渗透最吊诡的地方：你不需要多高深的0day，只要找到一把没人记得换的常规渗透钥匙。

真正的常规渗透流程像做菜。第一步是侦察，相当于看冰箱里有什么。公开的证书透明度日志、GitHub上泄露的代码片段、招聘网站挂出的技术栈要求——这些信息拼起来能画出一张比甲方自己HR还准的内部架构图。去年有个金融客户，他们运维在Stack Overflow上问过关于Redis集群的问题，帖子里带了内网IP段。这算白送的。

第二步是扫描和枚举，像拿钥匙挨个试门锁。Nmap扫端口只是基本功，现在更流行的是翻Shodan和Fofa，直接搜互联网上暴露的资产。很多公司以为内网系统不对外就安全，结果营销部门为了做个活动页面，把后台管理系统映射到了公网，还用的默认口令。这种案例我一个月能碰见三回。

真正有意思的是第三步——利用。不是所有漏洞都能直接getshell，更多时候需要组合拳。比如先通过邮件钓鱼拿到一个普通员工的域账号，然后发现这个账号能访问某个老旧的共享文件夹，里面躺着VPN的配置文件，密码是明文。用这个VPN连进去，内网就横着走了。

横向移动才是常规渗透的重头戏。Windows域环境里，Pass-the-Hash这种老古董依然好用。我见过最离谱的一次，某制造业客户的域控管理员密码是P@ssw0rd，就这还写在运维部门白板上。用Mimikatz抓完哈希，我甚至没急着提权，先打开他们ERP系统看了看上个月的原材料采购价——纯好奇。

写报告的时候最尴尬。客户问“你用了什么高级手段”，我说“用了你们忘了关的3389端口”。他们不信，觉得渗透测试就该是黑客帝国那种噼里啪啦敲代码。实际上常规渗透拼的是信息收集能力和耐心，跟侦探查案差不多。你翻一百个公开文档，可能只有一条能派上用场，但就这一条就够穿破整个防线。

现在很多乙方喜欢把渗透测试包装成“红队演练”，搞得跟军事行动似的。但绝大多数真实攻击根本没那么复杂。去年某大厂被拖库，后来查出来是某个内部Wiki站点用了Log4j的老版本，连补丁都没打。攻击者就是扫到了这个暴露的站点，丢了个反弹shell，然后顺着运维脚本里的硬编码密码一路摸到核心数据库。

你说这叫高级攻击？不，这叫门没锁。

常规渗透的终点不是拿到域控权限那一刻，而是后续的痕迹清理和权限维持。但国内很多客户根本不关心这个，他们要的只是那份“已发现X个高危漏洞”的报告好去应付等保检查。所以我每次做项目都会留个后门——不是恶意的，是提醒他们：你看，我能随时回来，别人也能。

这行干久了会有个后遗症：看到任何登录框都想试试弱口令，看到任何下载链接都想右键另存为。上周去银行办业务，柜员让我输密码时，我脑子里第一反应是“能不能绕过验证直接看数据库”。当然没这么干，但那种条件反射骗不了人。

常规渗透不酷，不炫，甚至有点枯燥。但它像检查门锁是否牢固——大部分时候是虚惊一场，可万一哪天没检查，真出事时哭都来不及。

(责任编辑：休闲)