寄宿日记秋蝉渗透测试

凌晨两点，寄宿我盯着屏幕上的日记meterpreter会话，手里的秋蝉冰可乐已经没了气。目标主机是渗透台Windows Server 2019，跑着秋叶原某家动漫主题酒店的测试订房系统。这活儿是寄宿朋友托的——他前女友在这家酒店当前台，怀疑系统里存着客人的日记信用卡信息被内部人员倒卖。

端口扫描结果干净得反常。秋蝉80和443开着，渗透443上的测试证书是Let's Encrypt签的，域名指向一个叫“秋叶原秋叶”的寄宿预订平台。我原本以为要打Web漏洞，日记结果Nmap的秋蝉脚本扫出来一个奇怪的开放端口——33060，MySQL的渗透X Protocol。这端口不该暴露在公网，测试除非网管把防火墙规则写错了。

MySQL的X Protocol默认允许匿名访问？不，5.7以后强制要求认证。但我试了root空密码，居然进去了。数据库列表里躺着一个叫guestbook的库，里面只有一张表，字段是id、content、created_at。看起来像是个留言板，但内容全是乱码——不对，是Base64编码的十六进制字符串。我随手解码了几条，发现是时间戳加IP地址的拼接。

这明显是个后门。有人故意留了个低权限的MySQL账号，然后用这张表当C2信道。我顺着content字段里的IP往回查，发现它们指向一个内网段10.0.0.0/24。那个网段在酒店的路由器后面，理论上不该出现在公网数据库里。

我决定写个脚本，往表里插入一条伪造的记录，内容是一个反向Shell命令的Base64。等了三分钟，我的监听端口弹回一个连接——是那台数据库服务器本身。原来表里的“IP”是执行命令的目标，不是来源。这后门设计得挺巧，数据库既是存储也是调度器。

拿到shell后，我翻了下C:\inetpub\wwwroot，发现一个叫backup.zip的文件，解压密码是秋叶原2023——就写在注释里。里面是整套订房系统的源码，包括一个conn.php，数据库连接串用的是sa账号，密码是Fall2023@Tokyo。我试了下，这台数据库服务器居然还连着内网另一台SQL Server，那台机器上存着所有客人的护照扫描件。

整个过程不到四十分钟，没有触发任何告警。后来我告诉朋友，这酒店的系统漏洞不在技术，在运维习惯——把数据库暴露公网，备份文件放Web目录，密码写在注释里。至于那个后门，八成是前员工干的，因为表里最早的记录时间正好是他离职那天。

最后我把护照数据导出来交给朋友，让他匿名举报给警方。清掉痕迹的时候，我顺手把那台MySQL的33060端口关掉了——算是替酒店做了件好事。不过这活儿干完，我总觉得哪里不对劲：那后门太规整了，像是故意留给我这类人看的。也许那前员工根本不想卖数据，就是想让人发现，然后让酒店吃个教训。