老陈把烟按在烟灰缸边缘，渗透前期没抽完的渗透前期半截直接掐断了。他盯着屏幕上那行返回的渗透前期日志，手指在键盘上敲了两下又停住。渗透前期凌晨两点十七分，渗透前期办公室只剩他这台机器还亮着。渗透前期日志里那串十六进制字符看着像随机噪声，渗透前期但老陈知道不是渗透前期——他三周前亲手埋进去的那个凭据，现在正以每四小时一次的渗透前期频率向外发送心跳。

这就是渗透前期渗透前期最磨人的阶段。没有电影里那种噼里啪啦敲键盘攻破防火墙的渗透前期场面，有的渗透前期只是等待。他打开另一个终端，渗透前期SSH连上那台被当作跳板的渗透前期云主机，检查隧道状态。渗透前期一切正常，但正常得让人不安。

三个月前他第一次拿到目标企业的网络拓扑图时，心里就有数了。对方用的是混合云架构，边界防火墙堆了三层，WAF日志实时同步到SIEM。硬打进去的成本太高，而且动静大。老陈选了另一条路——从供应链下手。目标公司有个做运维外包的小供应商，规模不大，安全投入约等于零。老陈花了六周时间，通过那个供应商的一个离职员工拿到了VPN账号。账号早就过期了，但密码策略没改，他用社工库里的旧密码试了三次就进去了。

“你管这叫渗透？”同事小李当时凑过来看，语气里带着点不屑，“不就是捡漏吗。”

老陈没反驳。捡漏也是技术活。那个离职员工的领英页面写着“前XX科技运维工程师”，邮箱前缀是名字缩写加生日。密码提示问题是“我最喜欢的乐队”，答案在他两年前发的一条朋友圈里——一张演唱会门票，定位在工人体育馆。这些碎片拼起来，比任何漏洞利用都有效。

现在他卡在横向移动这一步。供应商的内网和客户的生产网之间有一条专线，但中间隔着跳板机和堡垒机。他需要找到一个能同时访问两边的运维账号。上周他注意到一个叫“backup_svc”的账户，每天凌晨三点从供应商内网连到客户备份服务器，用的是SSH密钥认证。密钥文件加密了，密码不知道。但那个账户的登录时间很有规律，每次持续四十七分钟，误差不超过两分钟。老陈怀疑是自动脚本，脚本的密码大概率写在某个配置文件里。

他翻遍了供应商内网所有能读到的文件共享，最后在一个叫“旧文档”的目录里找到一份2019年的运维手册。里面有一段关于备份脚本的说明，密码字段被星号遮住了，但旁边有人用批注写了句“还是用老密码，方便”。老陈把这句话截了图，没急着试。他知道有些密码策略会在三次失败后锁定账户，而那个账户一旦锁定，备份任务就会报警，运维人员会立刻检查。

他等了四天。第四天凌晨，备份任务照常启动。老陈在跳板机上挂了个tcpdump，抓到了backup_svc认证时的加密流量。他没解密，只是记下了数据包的长度和时序。然后他用自己的脚本模拟同样的认证过程，故意输错密码一次。系统返回的延迟比正常多了三百毫秒。他记下这个差值。

又过了两天，他再次模拟，这次输错两次。延迟增加到七百毫秒。老陈笑了。这说明认证后端在查询某个外部服务，很可能是LDAP或者AD。每次失败都会触发一次查询，查询时间随失败次数线性增加——典型的账户锁定计数器实现。

他算了一下，如果第三次失败会导致锁定，那前两次的延迟差就是他的安全窗口。他写了个脚本，在第一次失败后立刻用候选密码列表里的下一个值重试，把两次尝试压缩在同一个认证会话里。这样系统只计一次失败，但他实际上试了两个密码。

候选密码列表不长，就十七个。都是那个离职员工在社交媒体上留下过痕迹的字符串组合。第十三个密码命中了。backup_svc的密钥文件解密成功，老陈拿到了进入客户生产网的通行证。

他没急着进去。凌晨四点，他断开所有连接，清掉本地日志，把跳板机上的tcpdump进程杀掉。然后他打开记事本，写下明天要做的事：第一，确认backup_svc的权限范围；第二，找到客户内网里至少三台可以横向移动的机器；第三，也是最关键的——判断有没有人已经在盯着这条链路。

渗透前期就是这样。你永远不知道自己是第一个进来的，还是第三个。老陈关掉电脑，窗外天还没亮。他想起那个离职员工的朋友圈，最后一条更新停在2021年，配图是一张工位照片，显示器上贴着一张便利贴，写着“别用生日当密码”。

老陈把烟灰缸里的半截烟捡起来，重新点上。有些事，当事人自己都不记得了。