黑盒渗透

去年冬天，黑盒渗透我在一个旧货市场花四十块钱买了台二手路由器。黑盒渗透摊主说“能亮灯”，黑盒渗透别的黑盒渗透不管。拿回家插上电，黑盒渗透指示灯确实亮了，黑盒渗透但管理后台进不去。黑盒渗透密码不对，黑盒渗透复位键也被人抠掉了，黑盒渗透焊死在主板上。黑盒渗透

这东西就是黑盒渗透个黑盒。你知道它通着电，黑盒渗透知道它有Wi-Fi信号，黑盒渗透但里面跑着什么固件、黑盒渗透藏着什么后门、黑盒渗透连过哪些设备——全不知道。

渗透测试里有个词叫“黑盒测试”，意思是不掌握任何内部信息，从零开始摸。听起来很酷，其实干起来特别笨。你得先扫端口，看哪些门开着。22端口开着？可能能SSH。80端口开着？有个网页。443？加密的。然后挨个试，像拿着一串钥匙去开一栋陌生大楼的每一扇门，钥匙还是自己现配的。

那台路由器我折腾了三个晚上。第一个晚上用nmap扫，发现它开了23端口——Telnet。这年头还跑Telnet的设备，基本等于把钥匙插在门上。但连上去要密码。试了admin/admin，不对。root/root，不对。翻了下同型号的默认密码表，试到第八个才进去。进去之后发现是个精简版的Linux，文件系统只读，但/tmp可写。这就够了。

第二个晚上我在/tmp里传了个静态编译的busybox，用它的tftp功能把固件备份拉了下来。binwalk一跑，里面有个硬编码的私钥，还有一串看起来像API密钥的东西。第三个晚上我顺着API密钥摸到了厂商的云管理平台，登录接口没做速率限制，也没验证码。我没继续往下走——再走就是法律问题了。但那个路由器的黑盒，已经变成灰盒了。

黑盒渗透最有意思的地方不在技术，在心态。你面对的是一个完全未知的系统，每一次探测都像在黑暗里扔石头，听回声判断前面是墙还是悬崖。有时候扔十块石头全是沉默，第十一块突然弹回来一个banner，告诉你“Hi，我是nginx 1.14.0”。那一瞬间的兴奋，跟钓鱼时浮漂突然沉下去差不多。

但黑盒渗透也有个悖论。你越深入，黑盒就越不黑。每拿到一个版本号、一个报错信息、一个目录列表，盒子就透明一分。到最后你手里攥着root shell，回头看，那台路由器已经没什么秘密了。可如果一开始就给你源码、给你网络拓扑图、给你管理员密码——你反而可能漏掉那个Telnet端口，因为你觉得“这年头没人用Telnet了”。

我后来把那台路由器刷了OpenWrt，当无线中继用。它现在跑得好好的，管理密码是我自己设的。但每次登进去，我都会想起那个被焊死的复位键，和那个开了23端口的固件。黑盒渗透教会我的不是怎么攻破一个系统，是怎么在信息最少的时候保持耐心，怎么在拿到一点线索之后不急着下结论，怎么接受“你永远不可能知道全部”这件事。

那四十块钱花得挺值。