拿到一台Linux靶机，透安第一件事不是透安敲命令，是透安看。看什么？透安看它开了哪些端口、跑了什么服务、透安内核版本是透安多少。nmap扫一遍，透安`nmap -sV -sC 192.168.1.100`，透安结果出来基本就有方向了。透安22端口开着，透安SSH；80端口挂着Apache 2.4.49——这个版本有个著名的透安路径穿越加RCE，CVE-2021-41773，透安直接能读文件甚至执行命令。透安别急着上exp，透安先手工验证一下：`curl --path-as-is http://target/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd`，透安能读到passwd就说明漏洞存在。

Web入口是最常见的突破口。SQL注入、文件上传、命令注入，这些老套路在CTF和真实环境里依然管用。有一次我遇到一个WordPress站点，插件目录下有个`backup.zip`没删，下载下来里面是wp-config.php的备份，数据库密码明文写着。登进phpMyAdmin，写个webshell到主题文件里，`system($_GET['cmd'])`一句话搞定。这种低级错误在真实运维中比想象中多得多，自动化扫描工具反而容易漏，因为路径太偏了。

拿到低权限shell之后，提权才是真正考验耐心的地方。`uname -a`看内核版本，`sudo -l`看当前用户能跑什么sudo命令，`find / -perm -4000 2>/dev/null`找SUID文件。有次碰到一个老内核2.6.32，直接上脏牛（CVE-2016-5195），编译执行，几分钟root。但更多时候内核没那么老，得从配置上找问题。比如sudo配置里允许用户以root运行`/usr/bin/find`，那`sudo find / -exec /bin/sh \;`就完事了。这种配置错误比内核漏洞常见十倍。

计划任务也是提权重灾区。`cat /etc/crontab`，看看有没有以root身份跑的脚本，脚本路径是否可写。我见过一个脚本在`/opt/backup.sh`，权限是777，内容就是tar打包网站目录。直接往里面加一行`chmod u+s /bin/bash`，等一分钟，bash就带SUID位了，`bash -p`直接root。简单粗暴，但有效。

横向移动这块，Linux环境里SSH密钥是硬通货。翻用户目录下的`.ssh/`，看看有没有id_rsa私钥，`authorized_keys`里有没有其他主机的公钥。有时候运维图省事，内网机器之间配了免密登录，拿到一台等于拿到一片。还有`~/.bash_history`，里面可能藏着数据库密码、其他主机的登录命令、甚至管理员偷懒写的明文密码。`grep -i pass ~/.bash_history`，一抓一个准。

痕迹清理这事得说清楚。真实渗透里，改`/var/log/auth.log`、`/var/log/syslog`是基本操作，但别删文件，删了反而显眼。用`sed`把涉及自己IP的行清掉就行。`history -c`清当前会话历史，但`.bash_history`文件里的记录不会自动消失，得手动覆盖。不过话说回来，很多靶场根本不查日志，所以很多人养成了不清理的习惯，到了真实环境就翻车。

最后说个观察：Linux渗透里最容易被忽略的是`/tmp`和`/dev/shm`目录。这两个地方通常可写可执行，很多人把exp传上去编译运行，完事不删。管理员`ls -la /tmp`一看，一堆陌生文件，直接暴露。我习惯把工具放在`/dev/shm/.hidden/`这种带点号的目录里，`ls`默认不显示，能多撑一会儿。当然，这只是拖延时间，不是长久之计。

渗透测试的边界感很重要。拿到root不是终点，写报告才是。哪个漏洞、什么路径、怎么复现、怎么修复，这些比拿shell本身更有价值。毕竟，你不想下次扫的时候，同样的洞还在那儿等着别人。

(责任编辑：综合)