支持渗透

老周把新买的支持渗透iPhone递给我的时候，屏幕上还贴着出厂膜。支持渗透他说：“帮我看看，支持渗透能不能装个什么，支持渗透让我看看我老婆微信。支持渗透”我愣了一下，支持渗透接过手机，支持渗透没接话。支持渗透他以为我在犹豫，支持渗透又补了一句：“钱不是支持渗透问题。”

这不是支持渗透我第一次遇到这种请求。但我每次都会想起十年前，支持渗透我在某安全公司做渗透测试的支持渗透日子。那时候我们的支持渗透客户是企业，是支持渗透银行，是政府。甲方给我们签了授权书，我们对着他们的服务器、App、内网一顿猛攻，找出漏洞，写报告，收钱走人。正经生意，合法合规。

但“支持渗透”这四个字，从老周嘴里说出来，味道就变了。

我最后还是没帮他装监控软件。不是因为技术做不到——iPhone的漏洞我一直有跟踪，越狱方案、MDM描述文件、甚至社工库的钓鱼页面，我都熟。但老周的问题不是技术问题，是信任问题。他老婆的手机里没有答案，他老婆的心里才有。

真正的渗透测试，从来不是拿到权限那一刻结束的。拿到服务器root权限，只是开始。你得继续横向移动，找数据库，找敏感文件，找业务逻辑漏洞。最狠的一次，我花了三周时间，从一个前台WiFi的弱口令，一路打进了某大型国企的核心财务系统。中间穿过了十几个内网网段，绕过了两套防火墙，还伪造了一个域控证书。那种感觉，像在黑暗中摸到了一根根绳子，最后发现它们其实是一张网。

但老周要的不是网，是一把刀。

后来我听说，他自己找了个网上所谓的“黑客”，花了八千块，对方给他发了个“监控软件”的安装包。他偷偷装进老婆手机，结果那是个木马，老婆的微信没看到，自己手机里的通讯录、银行卡信息全被扒走了。报警的时候，警察问他软件哪来的，他说“网上买的”。

这事让我挺难受的。不是因为他被骗了钱，而是因为“渗透”这个词被污名化了。我们做安全的人，天天研究怎么防攻击，结果普通人最需要的“支持”，不是技术，是判断力。

我现在的公司偶尔还会接到一些“测试”需求。有的客户很坦诚，直接说：“我们怀疑内部有人泄露数据，你们模拟一下攻击路径，看看能不能防住。”这种单子我们接，因为目标明确，边界清晰。但有些客户会含糊其辞：“你们随便测测，看看有什么漏洞就行。”这种我反而会多问几句——你测的是自己的系统吗？你有授权吗？你打算拿报告干什么？

有一次，一个做P2P的老板找我，想让我“支持渗透”他的竞争对手。我问他：“你有对方书面授权吗？”他笑了：“要什么授权，你黑进去，把他们的用户数据导出来给我就行，我给你五十万。”我当场拒绝了。他走的时候骂我傻，说有钱不赚。

我傻吗？我不觉得。干我们这行，技术是工具，但工具用在哪，得看握工具的手。老周的手是抖的，因为他心里有鬼。那个P2P老板的手是脏的，因为他想偷。而我的手，得稳。

这行干久了，你会发现，真正的漏洞永远不在代码里。防火墙再厚，挡不住内鬼。加密再强，防不住贪念。我见过太多系统，技术上固若金汤，最后却因为一个员工把密码写在便利贴上而全线崩溃。也见过夫妻之间，手机互相随便翻，却因为一句“你怎么不让我看”而闹到离婚。

支持渗透，支持的不是技术，是人对边界的认知。老周后来离婚了，不是因为抓到了什么证据，是因为他老婆发现他装了监控软件，心凉了。他说他后悔，我说你后悔的不是装软件，是你压根没信过她。

技术无罪，但拿技术去填补信任的缺口，就像拿创可贴去堵大坝。渗透测试的最高境界，是发现漏洞后，告诉对方：“这里有问题，你修一下。”而不是利用漏洞，把对方拆了。

老周现在偶尔还找我聊天，问问我最近在忙什么。我说我在帮一些企业做红蓝对抗演练，就是模拟黑客攻击，帮他们找漏洞。他说：“那不就是合法的黑客吗？”我说：“对，但关键是，我们拿的是授权书，不是猜疑心。”

他没再说话。

(责任编辑：百科)