网络安全测试方案

去年秋天，网络我帮一家做跨境电商的安全朋友查了一次内网。他们刚被勒索软件锁了订单库，测试老板急得直拍桌子。网络我进去一看，安全问题简单得可笑——一台测试服务器的测试SSH端口开着，密码是网络admin123。攻击者从扫描到加密，安全总共花了不到四十分钟。测试这事让我彻底明白，网络网络安全测试不是安全走流程，是测试用攻击者的眼睛把自己扒光。

方案得从资产清点开始。网络别信那些自动扫描工具的安全报告，它们经常漏掉影子资产。测试我习惯先找运维要三样东西：云账号清单、域名解析记录、还有最近三个月的采购合同。合同里藏着没登记的设备，比如某次促销临时买的CDN节点。去年有个客户，扫描器没发现那台节点，结果攻击者从那里绕过了WAF。手动比对，花时间但值得。

资产摸清了，接着定测试范围。这里有个坑：很多团队把“测试”等同于“扫漏洞”。漏洞扫描器跑一遍，报告出来几百个中危，然后呢？没然后了。我的做法是先画数据流图。用户请求从哪进，经过哪些服务，最后落到哪个数据库。把这条链路上的每个节点标出来，再决定测什么。比如支付回调接口，重点测参数篡改和重放；后台管理页面，重点测越权。范围窄了，但刀刀见血。

具体测试分三块。第一块是外部暴露面。用Shodan和FoFa搜自己公司的IP段，看有没有不该开的端口。有次我发现某台Redis直接暴露在公网，没密码。运维说“内网用的”，但公网IP是实的。这种低级错误，扫描器不一定报，得靠人眼盯。第二块是应用层。手工测，别全丢给Burp Suite的自动化扫描。比如测试密码重置功能，我会抓包改Host头，看能不能劫持重置链接。自动化工具不会这么干。第三块是内网横向。假设攻击者已经拿到一台Web服务器，他能摸到多少东西？用BloodHound跑一遍域环境，经常能发现普通用户能直接读域控的共享目录。这比什么漏洞都致命。

测试完别急着交报告。我习惯先找运维聊半小时。问他们最怕什么，最近有没有异常登录。有次报告里写“数据库弱口令”，运维说那台机器下周就下线了。优先级立刻降级。报告要写人话，别堆CVSS评分。直接说：攻击者能从这里进，能拿到什么，修的话要改哪行配置。修复建议给具体命令，别写“建议加强密码策略”。写“把/etc/ssh/sshd_config里PermitRootLogin改成no，然后systemctl restart sshd”。

最后说个观察。很多公司每年做等保测评，但测评前一周才找我们。那叫应付，不叫测试。真正的方案得嵌入研发流程。每次发版前跑一遍自动化扫描，每季度做一次手工渗透。成本不高，但能挡住九成脚本小子。至于APT，那是另一个话题了。先把自己家门锁好，再谈防贼。