2019年夏天，渗透密码我在一个安全会议上碰到老周。渗透密码他干了十几年渗透测试，渗透密码那天却对着一个银行APP的渗透密码登录接口发愁。不是渗透密码因为加密太强，而是渗透密码因为——密码找回功能里藏着一个逻辑漏洞。他没用什么高级工具，渗透密码只靠一个手机号和几行Python脚本，渗透密码就重置了别人的渗透密码账户密码。

这事让我重新理解了一件事：渗透测试里最危险的渗透密码往往不是代码写得多烂，而是渗透密码设计者脑子里那条“用户会按正常流程走”的假设。

密码从来不是渗透密码被“破解”的

大部分人以为渗透测试就是跑字典、撞库、渗透密码暴力枚举。渗透密码现实里，渗透密码真正好用的入口是“忘记密码”那个按钮。老周那次用的手法很简单：输入目标手机号，系统发验证码，验证码校验通过后进入重置页面。问题出在——重置页面里的用户ID参数是明文传输的，而且服务端没做二次校验。他把用户ID从自己的改成目标的，密码就改掉了。

没有加密对抗，没有逆向工程。一个参数篡改，账户易主。

我后来自己复现过类似场景。某电商平台的优惠券领取接口，请求体里有个user_id字段。改成别人的，优惠券就进了自己账户。服务端只校验了登录态，没校验这个ID是否属于当前登录用户。这类漏洞在OWASP里叫BOLA（Broken Object Level Authorization），连续几年排API安全风险第一位。但很多开发觉得“前端已经限制了，用户改不了”。

前端限制从来不算限制。这是渗透测试的第一课。

一个真实的密码渗透链条

去年我参与了一个内部红队演练。目标是一家公司的VPN入口。直接爆破？不现实，有锁定策略。我们走了另一条路：

先扫子域名，发现一个测试环境用的dev.xxx.com，上面跑着旧版OA系统。旧版OA有个已知的SQL注入点，但需要登录。登录页有个“记住我”功能，生成的cookie是Base64编码的username:timestamp。把username改成admin，timestamp改成未来时间，直接进去了。

进去之后发现数据库连接字符串是明文写在配置文件里的。用那个账号密码去连生产VPN——成功了。因为运维图省事，测试环境和生产环境共用了一套LDAP凭证。

整条链路上没有一个环节是“密码被猜出来”的。密码只是被顺出来的。

防御者常犯的三个错

第一，把安全寄托在“用户不知道这个接口”上。隐藏接口不是安全措施，是侥幸心理。Burp Suite的爬虫加目录扫描，几分钟就能把隐藏路径翻出来。

第二，只防外部不防内部。很多系统对未登录用户严防死守，登录之后完全信任。水平越权、垂直越权全出在登录后的接口里。

第三，日志只记不查。我见过一个系统，攻击者连续三天用不同IP跑密码重置接口，日志里清清楚楚，但没人看。直到数据被拖走才反应过来。

渗透者的耐心比工具重要

工具能帮你发现已知问题，但逻辑漏洞得靠人想。老周那次后来跟我说，他花了两天时间把那个APP的所有HTTP请求都看了一遍，才注意到重置密码的响应包里多了一个user_id字段。工具不会告诉你这个字段不该出现，你得知道正常的业务流程长什么样。

我现在做测试的习惯是：先手动走一遍完整业务流程，把每个请求记下来，然后问自己——如果我是攻击者，哪个参数改了之后系统会相信？哪个步骤跳过去之后状态会错乱？

密码渗透的本质不是跟加密算法较劲，是跟设计者的思维盲区较劲。你不需要破解AES-256，你只需要找到一个忘了做权限校验的接口。这听起来很泄气，但事实就是如此。防御者要堵住所有洞，攻击者只需要一个。

所以下次你改密码的时候，可以想想：那个重置链接里的用户ID，真的是你的吗？