渗透突破点

攻击者从来不从正门进来。渗透他们找的突破是窗户没关、门锁老化、渗透保安打盹的突破那几秒钟。渗透测试里有个说法叫"突破点"，渗透指的突破不是最坚固的那面墙，而是渗透整条防线里最薄的那一层。

去年我帮一个做跨境电商的突破朋友看他们的系统。公司不大，渗透三十来号人，突破技术团队五个人。渗透他们花了不少钱买了WAF、突破上了CDN、渗透数据库也做了加密。突破听起来挺像回事。渗透我问了一句：你们的客服系统怎么登录？他说用企业微信扫码。我又问：那离职员工的账号呢？他愣了一下，说应该还在。

这就是突破点。

不是技术漏洞，是流程漏洞。一个已经离职半年的前员工，企业微信账号没被清理，他依然能看到客服后台的工单记录——里面包含客户姓名、电话、收货地址、订单金额。如果这个前员工心怀不满，或者他的账号在某次数据泄露中被撞库拿到，整条客户数据链就裸奔了。

很多人以为渗透突破点一定跟代码有关。SQL注入、XSS、反序列化，这些当然是经典路径。但真实世界里的突破点往往更"土"。我见过一家公司，内网渗透做到最后，发现最致命的入口是前台那台共享打印机。打印机连着内网，默认密码没改，固件三年没更新，从它跳进去，域控就在隔壁。

还有个案例让我印象很深。某中型企业的运维图省事，把生产环境的SSH密钥放在了GitHub的私有仓库里。私有，听起来安全。但那个仓库的协作者列表里，有一个已经离职两年的实习生账号没被移除。实习生后来去了另一家公司，某天翻自己的GitHub，发现还能访问那个仓库。他没做什么，但这件事本身说明——你的私有，只是你以为的私有。

突破点的本质是什么？是预期和现实之间的裂缝。你以为你的边界是防火墙，实际上你的边界是每一个拥有凭证的人。你以为安全策略覆盖了所有服务器，实际上那台测试机用的是默认密码，而且它跟生产库在同一个网段。你以为员工离职流程走完了，实际上他的VPN证书还有三个月才过期。

这些东西不需要多高深的技术就能发现。需要的是耐心，以及一种"不信任一切"的视角。渗透测试人员有个习惯：拿到一个目标，先不看它有什么防护，先看它有什么"懒得管"的地方。测试环境、临时接口、废弃域名、老版本API、没人维护的Wiki页面——这些地方往往藏着钥匙。

企业做安全建设，容易陷入一个误区：把资源堆在最显眼的地方。防火墙买最贵的，WAF上最高级的规则，渗透测试报告里高危漏洞修得飞快。但攻击者不跟你正面打。他去翻你的JS文件，找注释里遗留的测试账号；他去扫你的子域名，找那台没人记得的旧服务器；他去社工你的员工，从LinkedIn上拼出内部邮箱格式，然后发一封看起来像IT部门的钓鱼邮件。

防线越长，薄弱点越多。这不是让你放弃建设，而是说，安全不是堆产品，是持续地找自己的裂缝。找到它，补上它，然后继续找下一道。没有一劳永逸的边界，只有不断移动的突破点。

我那个做电商的朋友后来把离职账号清了，加了定期审计。但他新的突破点可能在别的地方——比如他刚招的那个实习生，用公司邮箱注册了某个第三方工具，密码跟公司VPN一样。这事儿还没发生，但它迟早会发生。