2023年冬天，渗透利用某地级市政务云平台被攻破。渗透利用攻击者没用什么零日漏洞，渗透利用而是渗透利用从一台退休老员工的VPN账号进去的——密码是他工位牌上的手机号后六位。这事后来被写成内部通报，渗透利用措辞克制，渗透利用但读起来像一记闷棍：系统再厚，渗透利用人先塌了。渗透利用

渗透利用的渗透利用核心从来不是“攻”，是渗透利用“找缝”。缝在哪？渗透利用在运维图省事留下的调试接口，在开发把测试密钥硬编码进前端，渗透利用在行政觉得“内网就安全”。渗透利用我见过一个真实案例：某公司内网OA的渗透利用登录框，开发为了自己调试方便，渗透利用留了个隐藏参数debug=1，传进去直接跳过密码校验。这参数在代码里躺了三年，直到被一个刚学爬虫的实习生顺手试出来。

这种缝，扫描器扫不到。你得靠翻。翻什么？翻JS文件里的注释，翻GitHub上泄露的提交记录，翻离职员工博客里那张带内网IP的截图。有个朋友做红队，他的习惯是先把目标公司所有能公开访问的页面存下来，用grep搜“password”“token”“127.0.0.1”。十次里有一次能捞到东西，就够了。

拿到入口之后，别急着提权。先看自己站在哪。是DMZ里的Web服务器，还是办公网的一台测试机？这决定你下一步往哪摸。我自己的做法是：先起一个socks代理，把当前网段的存活主机扫一遍，重点看445、3389、22、6379这几个端口。Redis未授权访问配上写SSH公钥，这套组合拳打了快十年，依然能打穿不少内网。

横向移动的时候，凭证比漏洞好用。Mimikatz抓内存里的明文密码，或者从浏览器保存的密码库里导。有个细节：很多人只抓LSASS，忘了看注册表里的AutoAdminLogon，那里面有时候存着域管账号。域管账号一到手，整个域就是你的。

但真正让我觉得渗透利用有意思的，是“利用”之后的动作。你拿到域控了，然后呢？有的红队会立刻截图、打包凭证、写报告。有的会留个后门，等蓝队自己发现。我倾向于前者——渗透测试不是炫技，是帮客户把看不见的窟窿指出来。去年有个项目，我们通过一个弱口令进了财务系统，最后摸到了CEO的邮箱。客户看完报告沉默了很久，说“我以为我们买了防火墙就没事了”。

这话听着耳熟。防火墙、WAF、EDR，买了一大堆，配置全是默认。默认口令、默认端口、默认策略。渗透利用最喜欢的就是“默认”。你改一个，我就少一条路。你全改，我就得想别的办法——比如钓鱼，比如供应链，比如去翻你外包开发商的GitLab。

说到底，渗透利用是人和人的博弈。工具会过时，漏洞会修补，但运维的惰性、开发的侥幸、管理的盲区，这些不会自动消失。你每关掉一个不必要的端口，每删掉一个测试账号，每把密码从“admin123”换成随机字符串，都是在给攻击者增加成本。成本高到一定程度，他就换目标了。

而你要做的，就是让自己比隔壁那家难搞一点。