凌晨两点十七分，黑客我盯着终端里跳动的渗透光标，手边第三罐红牛已经见底。笔记目标是黑客一台暴露在公网的Jenkins服务器，版本2.138——这个版本有个反序列化漏洞，渗透CVE-2018-1000861，笔记能直接RCE。黑客不是渗透啥高级货，但足够让我拿到第一层shell。笔记

扫描器跑完，黑客端口8080开着，渗透HTTP响应头里躺着“X-Jenkins: 2.138”。笔记我嘴角抽了一下。黑客这年头还有人拿这版本跑生产？渗透不过也好，省得我绕WAF。笔记直接上exp，payload是ysoserial生成的CommonsCollections5链，base64编码后塞进X-Jenkins-Session头。回车。三秒后，回显里蹦出个uid=0(root)。

拿root不代表结束，恰恰相反——刚进大门，里面全是锁。我习惯先看/root/.bash_history，这玩意儿比任何扫描器都管用。果然，倒数第三条命令暴露了内网跳板机的密钥路径：/home/deploy/.ssh/id_rsa。权限是600，但我在root组里，直接cat。

密钥到手，接下来是横向。内网网段是10.0.8.0/24，跳板机IP 10.0.8.11。ssh -i key deploy@10.0.8.11，连上了。这机器干净得离谱，连tmux都没装。但deploy用户的crontab里有个每五分钟执行一次的脚本，从10.0.8.23拉取配置。脚本本身没毛病，问题出在它用curl时没校验证书——中间人一把梭。

我在跳板机上起了个mitmproxy，把10.0.8.23的HTTPS请求劫持下来。返回的JSON里藏着数据库连接串：mysql://admin:P@ssw0rd_2023!@10.0.8.30:3306/prod。密码硬编码在配置里，经典操作。连上MySQL，user表里躺着三百多个账号，密码是bcrypt哈希。我挑了个admin的哈希，扔进hashcat，字典是rockyou加规则。四十分钟后，明文出来了：Summer2023!。

用这密码登进后台管理系统，界面丑得像2008年的CMS。但功能全，能上传文件。传个jsp马，路径是/upload/2023/，访问一下，冰蝎连上。这时候我已经在核心业务区了，但还没完——域控在10.0.8.5，Windows Server 2016。从Linux跳Windows，得靠凭据。

翻后台数据库的audit_log表，发现管理员每周三会从10.0.8.5远程桌面到10.0.8.30做维护。RDP凭据在日志里被base64编码后当“备注”存着。解码，得到域账号svc_backup，密码是Backup@2023#。用xfreerdp连过去，桌面一片蓝，Windows Defender在右下角安静地转。我关了实时保护，上传mimikatz，抓lsass内存。域管哈希到手，整个内网就算平了。

整个过程没用什么0day，全是配置错误、弱密码、未打补丁的服务。渗透测试干久了会发现，最锋利的刀往往是目标自己递过来的。凌晨四点零九分，我清掉日志，断开连接。窗外有鸟叫了，我关掉终端，把红牛罐扔进垃圾桶。明天还得写报告，但那是白天的事。