《渗透全集》不是渗透全集一部剧的名字，是渗透全集我给一套内网渗透测试笔记起的标题。三年前我在一家乙方安全公司做渗透测试，渗透全集项目排期紧，渗透全集客户催报告，渗透全集我们几个同事就把每天踩过的渗透全集坑、写过的渗透全集payload、绕过的渗透全集WAF规则全扔进一个共享文档。后来文档越滚越大，渗透全集有人提议干脆整理成册，渗透全集名字就叫《渗透全集》。渗透全集

那会儿最头疼的渗透全集是信息收集。有一次目标是渗透全集一家地方银行的对外门户，表面上看只有登录页和几个静态页面。渗透全集我用subfinder跑了一遍子域名，渗透全集出来四十多个，其中三个指向测试环境，两个返回401。同事老张说别急着上扫描器，先看证书透明度日志。果然，crt.sh里翻出一个泛域名证书，覆盖了另外十几个没被DNS解析到的内部系统。这种细节教科书上不会写，但实战里能省掉半小时的盲目爆破。

漏洞利用阶段更依赖手感。某次打一个Struts2的站，S2-045的exp扔进去直接弹计算器，但客户要求不能执行命令，只能读文件。我改了下OGNL表达式，用new java.io.BufferedReader读/etc/passwd，返回的字符串里混着乱码。后来发现是编码问题，加了个InputStreamReader指定UTF-8才干净。这种微调在《渗透全集》里记了整整两页，旁边还画了流程图，箭头歪歪扭扭的。

权限维持是最容易翻车的环节。有次在Windows域环境里拿到一个普通用户，想提权到域管。先试了MS14-068，补丁打了。再试Kerberoasting，SPN列表里只有两个服务账户，密码强度高得离谱。最后用BloodHound跑了一遍，发现一条到域管的路径经过一台SQL Server，而那个SQL Server的sa密码就写在某台Web服务器的web.config里。这条链子绕了四跳，每一步都有运气成分。我把这个过程写成案例，标题叫“别小看配置文件”，放在《渗透全集》的第四章。

清理痕迹这事，很多人不当回事。我见过一个同行，渗透完忘了删自己上传的webshell，结果客户第二天做应急响应，直接顺着文件时间戳找到他的IP。后来我们定了个规矩：每次收工前必须跑一遍日志清理脚本，Windows下清事件日志，Linux下清bash_history和auth.log。脚本本身也放在《渗透全集》的附录里，二十行Python，够用。

这套笔记后来在圈子里传开了，有人打印出来装订成册，有人做成电子书。但我觉得最有用的不是那些exp和工具，而是每篇末尾的“踩坑记录”。比如“某次用nmap -sT扫描导致目标IDS告警”，或者“sqlmap的--os-shell在Windows Server 2012上返回乱码”。这些破事没人会写进正式文档，但下次遇到类似环境，翻一眼就能少走弯路。

现在我不做一线渗透了，转去搞安全开发。《渗透全集》还在更新，只是速度慢了。偶尔有新人问我怎么入门，我就把共享文档的链接发过去，说先看第三章的“信息收集的笨办法”，再看第五章的“提权失败的一百种原因”。他们看完通常会回一句：原来实战这么脏。对，就是这么脏。