拿到一个后台，渗透爆库第一件事不是渗透爆库急着找注入点，而是渗透爆库翻目录。去年某次攻防演练，渗透爆库目标站是渗透爆库套CMS，前台看着挺严实，渗透爆库waf拦得凶。渗透爆库我没碰登录框，渗透爆库直接扫备份文件，渗透爆库`/backup.zip` 躺在那儿，渗透爆库解压出来数据库配置明晃晃写着。渗透爆库这就是渗透爆库爆库的起点——不是技术多高超，是渗透爆库运维太懒。

渗透里“爆库”这词听着猛，渗透爆库其实拆开就两步：拿到数据库连接权限，渗透爆库再把数据拽出来。但这两步之间的路，比想象中野。有回碰上个站，SQL注入点藏在一个冷门参数里，`?id=1` 后面跟 `and 1=1` 没反应，换成 `and 1=2` 页面直接500。这种差异报错就是门缝。用 `extractvalue` 报错注入，一条条把库名、表名、字段名往外抽，像用吸管喝奶茶，慢，但能喝到。

更常见的是文件上传漏洞配合解析。某次遇到个编辑器，传图片马，路径回显直接给了绝对地址。蚁剑连上去，翻到 `config.php`，数据库账号密码写在里面。这时候爆库就变成体力活——用 `mysqldump` 导，或者直接 `select * from users into outfile '/tmp/x.txt'`。但后者常被 `secure_file_priv` 卡住，得先看权限。

爆库最爽的时刻，是拿到后台管理员表。密码是MD5，扔进cmd5查，没收录。但旁边有个 `salt` 字段，拼起来再跑hashcat，三分钟出明文。登进后台，再找注入点或者上传点，权限就像剥洋葱，一层层往里辣眼睛。

也有翻车的时候。某次用sqlmap跑一个站，跑出数据库名了，结果拖表时waf触发，IP被封。后来换手工，用 `/*!50000select*/` 这种内联注释绕过，慢得想砸键盘。但绕过去那一刻，比自动化工具跑出结果还爽。

数据库爆出来之后，别急着删。先看 `user` 表里有没有其他系统的账号——很多人所有平台用同一个密码。这就是撞库的素材。有次从一个小论坛爆出三千条用户数据，拿去撞目标企业的VPN，撞进去两个账号。其中一个还是运维的，直接RDP连上内网机器。

爆库不光是技术活，更是信息拼图。数据库里的表名、字段名、注释，甚至默认值，都在告诉你这个系统怎么长的。有回看到个 `admin_log` 表，里面记录了所有后台操作IP，顺藤摸瓜找到运维常用的跳板机地址。这比直接拿shell还有用。

最后说个真事。某站数据库备份在 `/data/backup/` 下，文件名是 `20230815.sql`。我用浏览器直接访问，下载下来。里面用户表密码是明文。问运维为什么明文存，他说“方便找回”。这种站，爆库都不需要技术，只需要耐心和一点点好奇心。

渗透的本质是信息差。爆库只是把信息差变成数据差。你比运维更懂他的数据库，你就赢了。