常用渗透

拿到一台陌生机器，常用渗透第一件事不是常用渗透扫端口，是常用渗透先看它开了什么服务。

这话听起来像废话，常用渗透但很多人一上来就 nmap 全端口扫，常用渗透扫完对着一堆 open 发愣。常用渗透我见过一个哥们，常用渗透扫出 22、常用渗透80、常用渗透443、常用渗透3306，常用渗透直接跟我说“没啥可利用的常用渗透”。我说你把 3306 再仔细看看。常用渗透他用 mysql 客户端连上去，常用渗透root 空密码，常用渗透直接进去了。这不是段子，是 2023 年某云服务商默认镜像的真实情况。

常用渗透的核心不在于工具有多花哨，而在于你对“常见”这两个字的理解深度。Web 层面，80 和 443 背后可能是 nginx、Apache、IIS，也可能是 Tomcat、Jetty、WebLogic。同样是 80 端口，返回头里 Server: nginx 和 Server: Apache-Coyote/1.1 就是两条完全不同的路。前者你去看静态文件、目录穿越、配置泄露；后者直接想 Tomcat 的 manager 弱口令、CVE-2017-12615 PUT 上传。

我习惯先 curl -I 拿头，再看 body 里的 generator meta 标签，最后才上目录扫描。dirsearch 和 feroxbuster 都行，但字典比工具重要。很多人用默认字典扫半天，不如手动试 /api/v1/、/.git/、/actuator/env 这几个。Spring Boot 的 actuator 端点泄露，到现在还是内网渗透的常见入口。去年一个项目，外网只开了 443，路径爆破出 /actuator/heapdump，下载下来用 MAT 分析，直接拿到数据库密码。整个过程没用到任何 0day。

端口这块，除了 22、80、443、3306，还得盯 6379、27017、9200、5601。Redis 未授权访问写 SSH key 是老套路，但依然有效。MongoDB 默认无认证，连上去 show dbs 就能看到业务库。Elasticsearch 的 9200 更直接，/_cat/indices 列出所有索引，/_search?pretty 拉数据。Kibana 的 5601 有时候带 CVE-2019-7609，原型链污染 RCE。这些服务在开发环境里经常裸奔，运维觉得“内网没事”，但一旦边界被撕开，它们就是横向的跳板。

口令这块，别只盯着 hydra 爆破。先试默认口令，再试公司名+年份，再试 admin/admin123、root/root、test/test。我统计过自己经手的案例，弱口令成功率比漏洞利用高。尤其是 VPN、OA、Jenkins 这类系统。Jenkins 的 /script 页面如果没设权限，直接 Groovy 反弹 shell，比找漏洞快得多。

提权是另一个“常用”重灾区。Linux 下 sudo -l 看能跑什么，find / -perm -4000 2>/dev/null 找 SUID，getcap -r / 2>/dev/null 看 capabilities。Windows 下 whoami /priv 看 SeImpersonate，systeminfo 对补丁，wmic service get name,displayname,pathname,startmode 找未加引号的服务路径。这些命令背下来，比记一堆 CVE 编号实用。

工具链上，我现在的习惯是：信息收集用 httpx + nuclei 打一遍已知模板，漏洞利用用 metasploit 做验证，后渗透用 Cobalt Strike 或者 Sliver。但工具只是手，脑子里的路径图才是关键。看到 445 想 MS17-010 和 SMB 签名，看到 389 想 LDAP 匿名绑定，看到 161 想 SNMP 默认 community。这些条件反射，靠的是平时一台一台机器摸出来的。

最后说个反直觉的：常用渗透里，最容易被忽略的是“信息整理”。我见过太多人扫完就忘，连个笔记都不做。用 Obsidian 或者简单的 markdown，把 IP、端口、服务、版本、尝试过的口令、发现的路径记下来。下次再遇到同类目标，直接翻笔记，比重新扫一遍快十倍。渗透不是每次都要拿 shell，把资产摸清楚，本身就是价值。