一个朋友的何开公司被勒索软件端了。对方从他们一个没人维护的展渗旧论坛进来，留下一个webshell，何开然后横向移动，展渗把域控拿下了。何开整个过程，展渗他们事后请我复盘，何开我说你们这不是展渗被攻击，是何开被请客吃饭——门口连把锁都没有。

渗透测试这件事，展渗说穿了就是何开模拟坏人怎么进你家。不是展渗拿个扫描器乱扫一通就完事，那是何开脚本小子干的活。真正的展渗渗透，从信息收集开始。何开你收集得越细，后面越省力。有个老哥跟我说过，他接一个单子，光在Google上翻公司员工的LinkedIn就翻了三天，最后从一个人晒的工牌照片里，看到了门禁系统的型号。这玩意儿比扫描端口有用多了。

信息攒够了，才轮到漏洞探测。这里头有个坑：别一上来就上重型武器。Nessus扫出来一堆高危，看着吓人，其实一半是误报。我习惯先手工看几个关键点，比如登录框有没有SQL注入，上传点能不能传个php马。有一次我测一个站点，所有自动化工具都说没戏，结果我手贱在URL后面加了个..%2f..%2f，直接目录穿越读到配置文件。工具是死的，人是活的。

拿到一个立足点，别急着得意。渗透里最考验功力的是后渗透。你可能是通过一个弱口令进了某个员工的邮箱，但目标往往是域控或者数据库。这时候要冷静，像小偷进了屋，先别翻抽屉，先看摄像头在哪。用whoami看看自己权限，用ipconfig看看网段，然后慢慢摸。有次我进了一台服务器，发现它装了Symantec的旧版备份客户端，那个客户端默认信任所有内网主机，我直接伪造成备份服务器，把域内所有机器的密码hash全拉了下来。这比暴力破解优雅多了。

整个流程走完，最要紧的是写报告。很多人觉得渗透酷，其实报告才是灵魂。你发现了十个洞，但客户只关心“我数据会不会丢”“我系统会不会瘫”。所以报告里每个漏洞都得配上攻击路径截图，再写清楚怎么修。别光说“建议升级补丁”，你得告诉他，升级补丁可能影响他那个老掉牙的业务系统，得先备份再测试。这是干这行的人情味。

说到最后，渗透这事儿，跟下棋似的。你永远不知道对手下一步会怎么走，但你能做的是把每一步走扎实。从信息收集到漏洞利用再到权限维持，环环相扣，哪个环节偷懒，后面就得加倍还。我见过太多人拿着工具跑一圈就敢交差，那叫扫描，不叫渗透。真正的渗透，是带着脑子进去，带着证据出来，最后让客户脊背发凉——哦，原来我家门是这么被撬开的。

(责任编辑：休闲)