凌晨两点，渗透我盯着屏幕上的靶场Nmap扫描结果，呼吸都放轻了。网站目标是渗透一台部署在公网的Linux服务器，开放了80和22端口。靶场这类靶场网站，网站说白了就是渗透给人合法练手的“沙袋”，但每一次渗透测试，靶场依然像在走钢丝——你不知道下一秒会撞上什么。网站
我习惯从Web层入手。渗透浏览器打开目标IP，靶场映入眼帘的网站是一个普通的登录框，背后跑着Apache和PHP。渗透先试了几个默认密码，靶场毫无悬念地失败了。网站没报错，没提示，干净得像刚洗过的白衬衫。但越是干净，越说明管理员可能藏了东西。我随手查看页面源码，在注释里发现一个不起眼的路径：/backup/。直接访问，居然返回了目录列表。里面躺着一个config.php.bak，下载下来一看，数据库账号密码就明文躺在里头。
这一步叫信息泄露，算不上高明，但真实世界里，这种低级失误比电影里的黑客技术管用得多。
拿到数据库凭据后，我试着用Navicat远程连接3306端口，被拒了。防火墙只放行了80和22。没关系，我转念一想，既然有Web入口，何不试试SQL注入？回到那个登录框，在用户名位置输入一个单引号，页面直接报错——数据库类型、查询语句全暴露了。经典的UNION SELECT注入，我用了不到五分钟就拖出了管理员密码的MD5哈希。丢到彩虹表里一查，是“admin888”。真够懒的。
登录后台后，发现有个文件上传功能，只校验了MIME类型。我改了个扩展名，把PHP一句话木马伪装成图片上传，再用中国菜刀连接。整个过程行云流水，但心里其实有点发毛——这靶场设计得这么脆弱，要么是给新手练手用的，要么暗处还埋着反制陷阱。
拿到Webshell后，我尝试提权。查看当前用户是www-data，权限低得可怜。翻了下系统日志，发现管理员曾用root执行过某个脚本，但没留下密码。我扫了一遍crontab，果然有个定时任务每五分钟以root权限运行/opt/cleanup.sh。这个脚本存在写入权限，我改了里面的命令，插入一条反弹Shell。等了两分多钟，我的监听端口接到了来自root的会话。
整个过程用了大约四十分钟。说实话，靶场网站和真实目标的区别在于，前者永远有条“隐藏的梯子”在等你找，而后者可能连梯子都没有，只有一堵高墙。但渗透测试的乐趣恰恰在这——每一次突破，都是对系统设计者思维的一次反向揣摩。你猜他哪里会疏忽，他赌你不会往那里看。
拿到root权限后，我习惯性地看了下服务器上的历史命令。有个rm -rf /var/www/html，被注释掉了。想必是某个测试者留下的痕迹，也可能是靶场管理员在提醒后来人：别只想着攻破，也得想想怎么收尾。
我关掉连接，清理了日志，屏幕上只剩一个空白的终端。窗外天快亮了，这种夜深人静的时刻，最适合和机器对话。靶场网站就像一本写满错误的教科书，每一页都在告诉你：安全不是装个防火墙就完事，而是每个细节都不能偷懒。