去年秋天，客户我帮一个做电商的端渗朋友看他的服务器日志。凌晨三点，客户有个IP在十分钟内试了四千多次登录，端渗用户名从admin到zhangsan，客户密码全是端渗123456、admin888这类。客户没成功，端渗但把带宽占满了。客户他问我："这算攻击吗？端渗"算，当然算。客户只是端渗这种客户端层面的渗透，往往比服务器漏洞更隐蔽——因为大多数人只盯着后端。客户

客户端渗透的端渗核心逻辑很简单：用户手里的设备，就是客户进入内网的跳板。浏览器、微信、甚至一个PDF阅读器，都可能成为入口。我见过最离谱的案例，是一家公司财务点了封"发票"邮件，附件是个.xlsm文件。打开后宏自动执行，三秒内下载了远控木马。整个过程没有弹窗，没有卡顿，用户甚至以为文件损坏了。等发现时，攻击者已经用她的Outlook给全公司发了钓鱼链接。

为什么客户端这么容易得手？因为防护和便利天生矛盾。你让员工装EDR，他们嫌卡；你禁用宏，业务部门跟你急。去年有个客户，IT部门强制全公司浏览器禁用JavaScript，结果OA系统直接瘫痪。安全策略一落地就变成业务阻力，最后往往不了了之。攻击者赌的就是这个——他们不需要攻破所有防线，只要找到那个"必须开"的例外。

具体手法上，浏览器漏洞利用已经不如前几年流行了。Chrome的沙箱和自动更新把门槛拉得很高。现在更常见的是"合法工具滥用"。比如用PowerShell下载payload，用certutil解码文件，用mshta执行远程脚本。这些全是系统自带组件，杀软默认信任。我测试过，在一台只装Windows Defender的机器上，用mshta加载远程hta文件，Defender全程静默。直到我手动运行了那个hta里的命令，它才反应过来。

钓鱼页面也进化了。以前是粗制滥造的假QQ空间，现在直接克隆目标公司的SSO登录页。域名用typo-squatting，比如把"company.com"写成"cornpany.com"。更狠的是用反向代理做中间人，用户输完密码，页面真的跳转到真实系统，只是凭证已经被截获。这种攻击连MFA都能绕——攻击者实时转发验证码，用户完全无感。

客户端渗透的另一个趋势是"供应链投毒"。去年某知名输入法被曝出远程代码执行漏洞，攻击者可以构造恶意皮肤文件。用户下载安装后，输入法进程直接加载shellcode。这种攻击面太广了，你不可能让所有人不用输入法。类似的还有浏览器扩展、办公软件模板、甚至字体文件。只要用户会打开文件，就有攻击路径。

防御上，别指望单一手段。我自己的习惯是：浏览器开严格模式，禁用不必要的扩展；Office禁用宏，用组策略锁死；重要账号全上硬件密钥。但这些都是个人层面的。企业环境里，最有效的反而是最笨的办法——网络分段。把客户端和核心服务器隔开，就算一台机器被控，攻击者也横移不了。我见过一个客户，内网用VLAN隔离，攻击者拿到一台财务电脑后，扫了三天只找到一台打印机。

最后说个观察。很多公司愿意花几十万买WAF，却不愿意给员工做钓鱼演练。WAF防的是自动化扫描，而客户端渗透靠的是人的疏忽。一封精心构造的邮件，比零日漏洞好用得多。攻击者也在算成本——买漏洞要钱，写exploit要时间，但骗人点链接，只需要一个话术。所以下次你收到"IT部门要求更新密码"的邮件，先别急着点。停三秒，看看发件人域名。这三秒，可能就是防线。