外部渗透

去年秋天，外部渗透我们给一家做工业控制器的外部渗透客户做了一次外部渗透。目标很明确：从互联网侧打进去，外部渗透拿到他们内网核心数据库的外部渗透访问权限。客户自己觉得防护还行，外部渗透毕竟买了防火墙、外部渗透WAF，外部渗透也做了基本的外部渗透端口收敛。结果呢？外部渗透我们只花了不到四个小时。

入口是外部渗透一个测试环境的Jenkins。这玩意儿挂在公网上，外部渗透IP没做任何访问控制，外部渗透版本是外部渗透两年前的。登录页面直接暴露，外部渗透默认口令没改，外部渗透admin/admin 就进去了。进去之后发现构建任务里硬编码了生产环境的SSH密钥——他们用同一套密钥管所有服务器。到这里基本就结束了，剩下的只是挑一台数据库服务器登录、导出数据、留个后门。

这事让我想聊一个老生常谈但总被忽略的问题：外部渗透的突破口，往往不在你花大钱买的那套防护设备上，而在某个没人管的边缘资产里。

资产测绘：你根本不知道自己在互联网上暴露了什么

很多公司做安全建设，思路是“把核心系统保护好”。这没错，但外部攻击者不跟你正面硬刚。他们会去找那些被遗忘的角落：三年前上线的测试环境、离职员工没交接的云主机、市场部为了做活动临时开的端口、子公司的OA系统。这些东西通常不在安全团队的资产清单里，但都在互联网上裸奔。

我们那次渗透之前，先跑了一遍子域名枚举和端口扫描。客户IT部门坚称“对外只开了80和443”。实际扫出来137个公网IP，开放端口超过400个，涉及Jenkins、GitLab、RDP、Redis、甚至一个没密码的MongoDB。IT负责人看到报告时沉默了很久，最后说了一句：“这些IP哪来的？”

资产测绘不是买套扫描器就完事了。你得持续做，得把云上资产、子公司资产、历史遗留资产都纳进来。很多企业连自己有多少个域名都说不清楚，更别提IP和端口了。

弱口令和未授权访问：老问题，新代价

技术圈有个不好的习惯，喜欢追新漏洞。Log4j、Spring4Shell，一出来就全员加班。但真正在外部渗透里最稳定的突破口，永远是弱口令和未授权访问。为什么？因为它们不依赖特定版本，不依赖特定配置，只要管理员偷懒就存在。

我们统计过过去两年做的几十个外部渗透项目，超过60%的初始入口是弱口令或未授权访问。Redis未授权写SSH密钥、MongoDB未授权直接拖库、Jenkins未授权执行命令、Docker API未授权启动容器挂载宿主机磁盘。这些手法老得掉牙，但每次都能得手。

有个客户，安全预算不低，买了EDR、NDR、SIEM，结果被我们用一台暴露在公网的GitLab打穿了。GitLab版本不算旧，但管理员账号密码是 company@2023。我们猜了三次就进去了。进去之后发现他们所有项目的代码、数据库配置、云平台AK/SK全在里面。

钓鱼：技术手段失效时的降维打击

外部渗透不全是技术活。当目标的外网暴露面收得很紧、漏洞修复也及时，钓鱼就成了最有效的路径。而且钓鱼不一定需要多高明的手段。一个伪造的VPN登录页面，一封伪装成IT部门的密码过期通知，就能拿到第一组凭证。

去年有个项目，客户外网就一个VPN入口，补丁打得很全，扫了两周没找到突破口。后来我们注册了一个跟他们域名很像的域名，搭了个假的VPN页面，给IT部门五个人发了邮件。三个人点了链接，两个人输了账号密码。其中一个人的账号没开MFA，直接登进内网。

钓鱼的成功率跟技术防护关系不大，跟员工的安全意识关系很大。而安全意识这东西，靠一年两次的培训视频是培养不出来的。

打进去之后：横向移动比入口更考验耐心

拿到第一个shell只是开始。外部渗透的最终目标通常是核心数据或域控，这中间要经过横向移动、权限提升、凭证窃取。这个过程很考验攻击者的耐心和对目标环境的理解。

有意思的是，很多内网横向移动的手法，跟十年前没本质区别。Pass-the-Hash、Kerberoasting、黄金票据，这些技术依然有效，因为Active Directory的架构没变，很多企业的补丁管理也没跟上。我们曾经在一个客户内网里用MS17-010（永恒之蓝）打穿了十几台服务器，那个补丁是2017年发的。

外部渗透的终点不是拿到某个系统的权限，而是证明攻击者能造成多大的业务影响。能进内网不等于能碰核心数据，能碰核心数据不等于能悄无声息地拿走。真正的渗透测试报告应该回答一个问题：如果这是真实攻击，业务会停多久，数据会丢多少。

写完报告那天，客户问我们有什么建议。我说先把Jenkins关了，把硬编码的密钥换了，把公网资产清单理清楚。这些事不需要买新设备，不需要加预算，只需要有人认真去做。但往往最难的就是这个“认真去做”。