凌晨两点，渗透干我盯着屏幕上的渗透干红队靶场，第七次尝试绕过WAF。渗透干键盘敲了又删，渗透干删了又敲。渗透干旁边的渗透干咖啡凉透了，烟灰缸里堆了三个烟头。渗透干渗透测试这行，渗透干外人看着像黑客电影，渗透干实际上百分之八十的渗透干时间都在跟枯燥的数据包较劲。

上周接了个银行的渗透干项目，客户说他们的渗透干移动App“绝对安全”，语气里带着那种甲方的渗透干笃定。我没反驳，渗透干只是渗透干掏出手机连上他们WiFi，五分钟后，后台管理员的登录日志出现在我屏幕上。他们连最基本的证书固定都没做，抓包就能看到明文密码。这种事见多了，反而让我怀疑——到底是黑客太厉害，还是很多所谓的安全防护根本就是摆设。

渗透测试说白了就三件事：找入口、深入、拿证据。但真正干起来，每一步都是跟人性的博弈。开发人员总爱在注释里写“这里别用弱口令”，然后自己设个admin123；运维图省事，把SSH端口暴露到公网还开着root登录。技术漏洞背后全是人的懒惰和侥幸。我经常说，渗透测的不是系统，是人心。

有个案例印象特别深。某政务系统，扫描器报了二十多个漏洞，客户急得不行。我一看，全是低危的信息泄露。真正致命的是他们某个子域名下挂着老旧的测试环境，用的是三年前的框架版本，一个已知的RCE漏洞就能直接拿shell。可没人注意到那个子域名，因为它不在主站列表里。这种“边缘资产”才是真正的突破口。攻击者不会挑你防守最严密的地方打，他们专找那些被遗忘的角落。

干这行久了，反而越来越谨慎。刚入行那会儿，拿到一个shell就兴奋得截图发朋友圈。现在就算拿到了域控权限，也只是默默记录好证据链，然后赶紧清理痕迹。不是怕被抓，是知道真正有价值的不是“能攻进去”这个事实，而是“为什么能攻进去”这个答案。客户要的是修复方案，不是炫耀的战果。

说实话，这工作挺矛盾的。平时教人怎么防，自己却整天琢磨怎么破。有人问我，整天找漏洞会不会变得特别多疑？我倒是觉得，恰恰相反。正是因为见过太多系统里的千疮百孔，才更明白绝对安全根本不存在。我们能做的，只是把攻击者的门槛抬高一点，再高一点。就像给门上了十道锁，虽然挡不住真正的高手，但至少能让那些随手推门的小偷知难而退。

凌晨四点，我终于绕过了那道WAF，在测试环境里拿到了一个低权限shell。没什么好庆祝的，这只是今晚的第N次尝试。我关了电脑，决定明天把报告里那条“建议启用双因素认证”加粗标红。至于那些还在用admin123的系统，随它去吧——等真出了事，他们自然会想起还有渗透测试这回事。

(责任编辑：休闲)