渗透打油诗

老张把工牌往闸机上一贴，渗透诗“滴”一声，打油绿灯亮了。渗透诗他走进办公区，打油顺手把背包放在工位上，渗透诗掏出手机连上公司WiFi。打油整个过程行云流水，渗透诗没人多看他一眼。打油可他今天不是渗透诗来上班的——他三个月前就离职了。工牌是打油前同事借的，WiFi密码是渗透诗猜的，因为行政部从来没改过默认密码。打油

这就是渗透诗渗透测试里最不起眼却最要命的一环：物理渗透。很多人一提到“渗透”，打油脑子里全是渗透诗黑底绿字的终端、Nmap扫描、SQL注入。现实是，你费半天劲绕WAF、找0day，不如直接走进大楼，找个没锁的会议室，把网线插进墙上的端口。老张那天的收获是一台没设密码的打印机，里面存着全公司的通讯录和最近三个月的合同扫描件。他拍了张照，发到群里，附了句打油诗：“门禁不刷卡，WiFi随便连，打印机里藏合同，渗透就这么简单。”

甲方安全负责人看到照片时脸都绿了。他们刚花八十万买了套EDR，结果人家从大门走进来，连个告警都没有。这事儿我后来跟几个搞安服的朋友聊，大家一致认为：渗透的本质是找短板，而人永远是最短的那块板。你防火墙配得再严，架不住前台小姑娘帮陌生人刷门禁；你密码策略再复杂，挡不住运维把root密码贴在显示器边框上。

去年有个项目，目标是一家做跨境电商的公司。外网扫了一遍，端口关得挺干净，WAF也部署了，看起来没缝。我们换了个思路，去招聘网站搜他们公司，发现运维岗JD里写着“熟悉Jenkins、GitLab、Docker”。好，那就从供应链下手。注册了个类似“jenkins-plugin-update.com”的域名，给他们运维发了封钓鱼邮件，说插件有安全更新。邮件里链接指向一个仿冒的登录页，连logo都没换。第二天早上九点，运维点了，账号密码到手。我们登进Jenkins，里面存着生产环境的SSH密钥。整个过程没写一行exploit，用的全是公开信息加一点社工。

后来复盘，甲方问我们怎么防。我说，你们先把Jenkins的登录加上双因素认证，再把GitLab的访问权限收一收，别让实习生都能看到生产配置。另外，给运维做一次钓鱼演练，别等到真被钓了才后悔。他们听完沉默了一会儿，说预算不够。我说行，那至少把默认密码改了吧。他们笑了，说这个可以。

打油诗里还有一句：“内网不隔离，横向随便移。”这话不夸张。很多公司外网防得像铁桶，内网却像菜市场。一台机器中了招，攻击者用mimikatz抓个hash，就能一路pass-the-hash打到域控。我见过最离谱的，是某国企的内网，域管理员密码和普通员工密码一样，都是“Company@2023”。问就是“方便记忆”。你跟他讲安全，他跟你讲效率。你跟他讲风险，他跟你讲“我们内网没人进得来”。

所以渗透测试报告里，技术漏洞只占一半，另一半全是管理问题。你写“建议加强员工安全意识培训”，甲方觉得你在凑字数。你写“建议将域管理员密码从Company@2023改为随机32位”，他们才觉得你动了真格。人就是这样，不看到具体案例，总觉得风险离自己很远。直到某天早上，发现数据库被删了，桌上多了一张勒索信，才想起来问：“你们上次说的那个备份策略，能不能再讲一遍？”

老张后来把工牌还了，请前同事吃了顿火锅。前同事问他：“你那天到底干嘛来了？”老张说：“给你们做体检。”前同事没听懂，老张也没多解释。有些事，懂的人自然懂。就像那首打油诗，外行看热闹，内行看门道。门道就是：安全不是买出来的，是改出来的。改流程，改习惯，改那些“一直这么干也没出事”的侥幸。

下次你走进一栋写字楼，不妨留意一下：门禁是不是形同虚设？WiFi是不是还叫“Company-Guest”？打印机是不是默认没密码？如果全是，那恭喜你，你离渗透测试入门只差一个背包和一张借来的工牌。别真去试，想想就行。