一个平平无奇的网站提权周三下午，我盯着屏幕上的网站提权403错误页面，已经骂了十分钟娘。网站提权目标站点的网站提权后台登录框就在眼前，密码试了二十组，网站提权全被拒之门外。网站提权这不是网站提权什么高价值的金融系统，只是网站提权个地方小企业的官网，但越是网站提权这种破站，越容易藏着一扇没锁的网站提权后门。

提权这事，网站提权说白了就是网站提权两步：先进去，再变大。网站提权但很多人卡在第一步就放弃了，网站提权因为光想着怎么正面硬刚密码，网站提权忘了看看周围有没有梯子。

我先翻了下前端源码，注释里躺着一行小字：// TODO: 删掉test.php。好家伙，程序员自己留的暗门。直接访问/test.php，页面空白，但响应头里带着X-Powered-By: PHP/5.2.17。老版本，有漏洞。我顺手试了试?cmd=id，屏幕上跳出www-data。成了，shell到手。

但www-data算什么，就是个受气包。真正的目标是root，或者至少拿到可写目录外的权限。这时候提权才刚开始。我传了个反弹shell上去，稳定连接后，第一件事就是看内核版本。uname -r返回2.6.32——老掉牙的版本，脏牛漏洞应该能打。但我不想用现成的exp，太吵了，容易触发安全狗。

翻了翻服务器上的日志，发现一个有意思的事：管理员每隔半小时会跑一次cron脚本，脚本里写了tar -czf /backup/$(date).tar.gz /var/www/html。tar有个老毛病，通配符注入。我提前在html目录下放了个--checkpoint-action=exec=sh evil.sh的文件，等管理员执行备份时，脚本就自动跑起来了。没等十分钟，反弹shell回来，id显示root。

整个过程没有爆破，没有0day，就是利用了几个低级失误：测试文件没删、内核不更新、cron任务用tar带通配符。你说这网站安全做得烂吧，它还真装了安全狗；你说它认真吧，连最基本的补丁都不打。很多防守方就这样，花大钱买设备，却漏了最基础的卫生。

提权成功后，我反而有点空虚。拿到root又能怎样？这破站一个月也没几个访问量，数据库里全是十年前的产品信息。但这个过程教会我一件事：真正的漏洞不在代码里，在人性的懒惰里。管理员嫌麻烦不删测试文件，程序员图省事用老框架，运维偷懒不打补丁——每一个“省事”都是一扇门。

后来我给这家公司发了份报告，没要钱，就提了个建议：把服务器上的tar升级一下，再写个脚本定期检查未授权文件。对方回了个“谢谢”，估计也没当回事。三个月后我再看，那个test.php还在，cron照样跑，只是换了台服务器。有些坑，填了又挖，挖了又填，这就是安全的常态。

你问我提权最爽的一刻是什么？不是看到root提示符的那瞬间，而是当我意识到，原来安全这东西，大部分时候不是靠技术赢的，是靠耐心等出来的。等管理员犯错，等系统漏出破绽，等那个永远不会来的补丁。就这么简单。