进行渗透

拿到一台陌生服务器，进行渗透第一件事不是进行渗透扫端口。我习惯先看它回包的进行渗透速度和TTL值。上个月遇到一台CentOS，进行渗透ping延迟稳定在0.3ms，进行渗透TTL=64。进行渗透这不对劲——内网跳板机不可能这么干净。进行渗透后来发现是进行渗透蜜罐，防火墙做了ICMP重定向。进行渗透真正的进行渗透生产机往往带着点"脏"：延迟忽高忽低，TTL值偶尔跳变，进行渗透甚至HTTP头里混着内网IP的进行渗透X-Forwarded-For。

端口扫描这步，进行渗透nmap的进行渗透默认参数会害死人。-sS半开扫描在云环境里容易被流量镜像抓包，进行渗透我改用-sA发送ACK包。没开防火墙的主机回RST，开了的回ICMP不可达。有次扫一个C段，-sA扫出37台存活，-sS只扫出12台。那25台全被iptables的DROP规则挡了SYN，但没挡ACK。不过要注意，ACK扫描看不到端口开放状态，只能判断主机存活。

服务识别比端口号可靠。22端口不一定是SSH——我见过用nginx做SSH over WebSocket的，也见过把Redis伪装成MySQL的。nmap的-sV加--version-intensity 9能扒出不少东西，但更笨的办法是nc连上去看banner。有次连一个8080端口，返回"HTTP/1.1 400 Bad Request"但Server头是空的。手动发个GET /，返回的HTML里藏着注释：<!-- debug: admin:admin123 -->。这比任何扫描器都直接。

Web路径爆破别用大字典。我见过有人拿dirsearch跑出2000个403，然后放弃。其实403说明路径存在但没权限，这时候该换User-Agent。有些WAF只拦curl和python-requests，把UA改成Mozilla/5.0 (Windows NT 10.0; Win64; x64)就能过。还有更阴的——返回200但内容是"Access Denied"的静态页。得看Content-Length，正常页面不会所有路径都返回一样大小。

拿到shell之后，别急着提权。先看history。有次在/root/.bash_history里发现运维敲过mysql -u root -p'P@ssw0rd'，但那个密码早改了。不过history暴露了内网拓扑：10.0.1.0/24是数据库段，10.0.2.0/24是办公段。比nmap扫内网快多了。还有一次，/tmp下有个deploy.sh，里面写着Ansible的inventory文件路径，直接拿到37台机器的SSH密钥。

横向移动最怕触发EDR。我不用mimikatz，用procdump抓lsass.dmp然后离线读。或者更简单——找找有没有存密码的配置文件。Web应用的.env、数据库的my.cnf、Jenkins的credentials.xml。有次在Tomcat的conf/tomcat-users.xml里看到manager-script角色，密码是明文。直接部署war包拿shell，比打漏洞快。

清理痕迹这事，很多人只删日志。但Linux的/var/log/wtmp和/var/log/btmp得用utmpdump清，或者直接echo > /var/log/wtmp。还有~/.bash_history，记得unset HISTFILE再exit。Windows更麻烦，Event Log得用wevtutil cl System清，但清完会产生一条ID 104的日志——"日志已清除"。所以要么别清，要么把104也删掉。我一般不动日志，只改时间戳。touch -r /bin/ls /var/log/secure，把修改时间对齐到系统文件。

最后说个反常识的：别用VPN。很多红队喜欢搭个OpenVPN回连，但VPN的TLS握手特征太明显。我直接用SSH -R做反向隧道，或者更绝——用DNS隧道。iodine跑53端口，防火墙基本不拦。慢是慢点，但稳。有次传个2MB的数据库，跑了40分钟，但全程没触发任何告警。