人工渗透

去年秋天，人工渗透我在一个客户的人工渗透内网里泡了整整三天。目标是人工渗透一个后台管理系统，登录页面看起来平平无奇，人工渗透但扫端口的人工渗透时候发现8080端口跑着一个旧版Tomcat。就这一个点，人工渗透最后拿到了域控权限。人工渗透

这就是人工渗透人工渗透的日常——不是靠什么神兵利器一键拿站，而是人工渗透靠人眼去盯那些机器扫不出来的东西。

自动化扫描器能告诉你“这里有个漏洞”，人工渗透但它不会告诉你这个漏洞在当前业务场景下能不能用、人工渗透怎么用、人工渗透用了之后会触发什么告警。人工渗透我见过太多扫描报告列了一堆CVE，人工渗透结果全是人工渗透误报。也见过扫描器完全没反应的接口，手工一测就是个SQL注入。差别在哪？扫描器只看请求和响应，人看的是逻辑。

举个例子。某次测试一个电商后台，扫描器跑完说一切正常。我手工翻了一遍JS文件，发现一个被注释掉的API路径：/api/v1/admin/export。直接访问返回403。但把请求方法从GET改成POST，再补上Content-Type: application/json，返回了200，附带全量用户数据。扫描器为什么不报？因为它不会去猜被注释掉的路径，也不会尝试方法切换。这种事只有人会干。

人工渗透的核心不是“黑科技”，是耐心和好奇心。你得愿意花两个小时去翻前端代码里的注释，愿意把每个参数单独拎出来测一遍边界值，愿意在Burp里反复重放同一个请求改不同编码。听起来很笨，但真正能挖到东西的往往就是这些笨功夫。

我习惯把渗透过程分成三层来看。第一层是入口点，就是那些明面上的登录框、搜索框、上传点。第二层是隐藏面，藏在JS、Cookie、HTTP头、错误信息里的线索。第三层是逻辑链，把前两层发现的东西串起来，看能不能形成一条完整的攻击路径。自动化工具基本只能覆盖第一层，偶尔碰运气摸到第二层的边。第三层完全靠人。

说个具体细节。有次测试一个OA系统，登录处做了验证码，扫描器直接放弃。我手工试了试，发现验证码校验存在Session复用问题——同一个Session下验证码只校验一次，后续请求不再检查。这意味着只要第一次输对，后面就可以暴力破解密码。这种逻辑漏洞，扫描器根本理解不了，因为它不理解“Session”和“验证码”之间的业务关系。

工具不是没用。Nmap、Burp、SQLMap这些我每天都在用。但工具的角色是辅助，是帮你省掉重复劳动，不是替你思考。真正决定渗透成败的，是你对目标业务的理解程度。一个不懂电商业务的人，看到订单接口只会测越权；懂的人会去测并发、测金额篡改、测优惠券叠加、测退款逻辑。

人工渗透还有一个容易被忽略的价值：它模拟的是真实攻击者的行为。真实攻击者不会只跑一遍扫描器就走，他们会盯着一个点反复琢磨，会尝试各种奇怪的组合，会在凌晨三点突然想到一个绕过思路然后爬起来验证。这种持续性的、带思考的交互，才是渗透测试的本质。

所以每次有人问我“用什么工具能自动挖到漏洞”，我都说工具先放一边，先把目标系统的每个功能点手动点一遍，把每个请求看一遍，把每个响应读一遍。做完这些，你自然就知道下一步该干什么了。渗透不是点按钮，是跟系统对话。