漫画渗透测试

凌晨两点，漫画我盯着屏幕上的渗透终端窗口，光标在最后一行命令后闪烁。测试目标服务器是漫画家小型电商网站，漏洞扫描报告显示它的渗透后台登录接口没有做速率限制。我敲下回车，测试hydra开始用字典文件暴力破解管理员密码——这已经是漫画第47个密码组合了。第89次尝试时，渗透服务器返回了302跳转。测试我登录进去，漫画发现后台订单数据全是渗透明文存储，连最基本的测试哈希处理都没做。这就是漫画渗透测试的日常，没有电影里那种酷炫的渗透黑客特效，更多的测试是和粗心开发者留下的漏洞玩捉迷藏。

漫画式的渗透测试，其实就三步：画靶子、射箭、看结果。靶子就是目标系统，射箭是模拟攻击手段，结果则是一份写满漏洞清单的报告。但真正干这行的都知道，最难的从来不是技术，而是画靶子的边界。你拿到授权测试一家银行，那它的第三方支付接口算不算范围内？云服务器上的备份数据库呢？有一次我测试某政府网站，顺着一个SQL注入点往下挖，居然连到了内网的人事管理系统——吓得我立刻停手，因为授权书里白纸黑字只写了“Web应用层测试”。

真正有意思的是那些非标准化的漏洞。去年帮一家物流公司做测试，常规的XSS、文件上传漏洞都堵得严严实实。但我注意到他们的快递单号查询页面，在输入框里输入`' OR '1'='1`时，页面居然正常返回了所有订单——开发者把参数直接拼进了MongoDB的查询语句，连最基本的参数化查询都没用。这种漏洞工具扫不出来，全靠测试者脑洞。所以漫画里那些主角总在翻代码、看文档，真不是装深沉，是在寻找这种藏在业务逻辑里的“野漏洞”。

还有个细节外行人不知道：渗透测试报告里，高危漏洞往往只占20%，剩下80%都是中低危的“卫生问题”。比如某系统管理员把密码设为`Admin@123`，或者某个旧接口没做权限校验就挂在公网上。这些漏洞单个看没什么威胁，但组合起来就是致命的攻击链。我见过最夸张的一次，攻击者先利用一个信息泄露漏洞拿到员工邮箱，再通过钓鱼邮件获取VPN账号，最后在内网横向移动——整个过程用的全是这种“低危”漏洞。

干这行越久越明白，所谓安全，其实就是跟人性的懒惰和侥幸心理较劲。开发图省事省掉参数校验，运维图方便把密钥写进配置文件，产品经理为了赶上线砍掉安全测试环节——每个漏洞背后都藏着一次偷懒。而渗透测试的漫画感就在于此：你以为自己在和代码斗智斗勇，其实是在和另一个程序员的人性弱点过招。每次拿到授权书，我都在想，这次又要替哪个倒霉同事收拾烂摊子。

(责任编辑：探索)