内容摘要：凌晨两点，我盯着屏幕上的终端窗口，心跳漏了一拍。目标服务器的80端口刚刚回显了一个奇怪的banner——不是常见的Apache或Nginx，而是一串十六进制字符。这通常意味着有人把某个自定义服务直接暴

凌晨两点，渗透评测我盯着屏幕上的渗透评测终端窗口，心跳漏了一拍。渗透评测目标服务器的渗透评测80端口刚刚回显了一个奇怪的banner——不是常见的Apache或Nginx，而是渗透评测一串十六进制字符。这通常意味着有人把某个自定义服务直接暴露在了公网上。渗透评测

我敲下`nmap -sV 192.168.1.105`，渗透评测结果出来了：`MySQL 5.7.24-0ubuntu0.18.04.1`。渗透评测一个数据库端口居然对全世界开放，渗透评测而且跑的渗透评测还是四年前的老版本。CVE-2019-15107，渗透评测这个编号在我脑海里闪了一下——Drupal的渗透评测远程代码执行漏洞，但MySQL这边更直接：弱口令爆破。渗透评测

我换了台跳板机，渗透评测用hydra挂了最常见的渗透评测二十个密码。第三轮就撞上了`root`/`toor`。别笑，现实世界就是这么粗糙。很多“渗透测试”根本不需要什么高级技巧，管理员把数据库密码设成和用户名一样，这种事儿我在金融客户那儿都见过不止一次。

拿到MySQL权限后，我习惯性地先看`mysql.user`表。结果发现里面躺着四个账户，其中一个是`app_user`，密码哈希是`*A4B6157319038726FFDBD2628F0E3B2D0D2B1D3F`。这个哈希格式我太熟了——MySQL 4.1之后的SHA-1双重散列。用john跑字典，三分钟就解出明文：`P@ssw0rd2020`。这密码看着挺复杂，但字典里刚好有。

真正的转折点在`information_schema`里。我搜了下表名，发现一个叫`payment_logs`的库，里面存着过去两年所有交易记录。敏感数据从来不在它该在的地方。我顺手导出了前一万条，然后断开连接，在报告里写下了第一行：“目标存在数据库弱口令及敏感数据未加密存储，风险等级：严重”。

但渗透测试从来不只是一场技术秀。第二天上午，我把结果扔给客户的技术总监时，他脸都绿了。他第一反应是“不可能，我们上了防火墙”。我打开拓扑图，指给他看：防火墙规则确实拦了外网访问，但运维为了方便远程维护，在防火墙内部又拉了一条直连线路——从办公网交换机直接捅到数据库服务器。这条旁路，绕过了所有安全设备。安全策略的漏洞永远比代码漏洞更致命。

那次测试后我养成了个习惯：拿到权限后不急着提权，先花十分钟看看网络拓扑里有没有不该存在的“捷径”。很多时候，真正的入口不是技术漏洞，而是人的懒惰或侥幸。防火墙规则配得再漂亮，也架不住谁在机房里随手插了根网线。

最后说句实话：渗透测试这活儿，七成时间是枯燥的扫描和枚举，两成是尝试各种已知漏洞，只有一成是真正考验脑力的对抗。但恰恰是那一成，让人上瘾——当你顺着一条不起眼的线索，一步步摸到核心数据时，那种感觉就像在迷宫里找到了出口。而每次找到出口后，你都会发现，真正的出口从来不止一个。