3306端口，端口渗透MySQL的端口渗透默认监听口。渗透测试里，端口渗透它往往是端口渗透内网沦陷的起点，也可能是端口渗透最无聊的入口——全看管理员有没有偷懒。 我见过最蠢的端口渗透一次，是端口渗透某金融公司测试环境。nmap扫到3306开放，端口渗透用户名root，端口渗透密码root。端口渗透连上去，端口渗透库里有几万条客户流水。端口渗透那哥们儿当场就愣住了，端口渗透转头问我：“这算不算已经攻破了？端口渗透”我说不算，你得证明能拿到服务器权限。端口渗透于是用`select ... into outfile`写了个webshell，丢到web目录，拿下。整个过程不到十分钟。对方安全主管后来复盘，说测试环境跟生产环境隔离，但忘了改数据库密码。你看，漏洞从来不是技术问题，是管理问题。 3306渗透的核心就三步：爆破、提权、横向。爆破最无脑，但有效。用hydra跑弱口令字典，五分钟没结果就换思路——别死磕，除非你时间多。我习惯先看版本，MySQL 5.7以下的直接试`CVE-2016-6662`，那是个堆溢出，能直接拿shell。不过现在大部分都patch了，现实点，还是靠密码。 真正有意思的是提权。拿到数据库权限不等于拿到系统权限。MySQL的`UDF`提权是老套路了，但架不住有人不更新。编译个`sys_exec.so`，上传到插件目录，创建函数，然后`select sys_exec('id')`。看到uid=0的那一刻，心跳会加速。但注意，mysql用户通常没写权限，得先找web目录或者/tmp碰运气。我碰到过一台服务器，mysql跑在docker里，宿主机完全隔离，那才是真的绝望——数据库炸了都出不去。 横向移动才是3306的终极玩法。数据库里藏着内网IP、账号密码、业务逻辑。翻`information_schema`，找`mysql.user`表，看有没有其他机器的授权。有一次我连上一台测试库，发现里面有生产库的只读账号，密码还是同一个。顺着那个账号，直接跳到生产环境，绕过了所有边界防火墙。事后复盘，问题出在密码复用，跟3306本身没关系，但它就是突破口。 别指望3306能直接给你root。真正值钱的是它背后的数据资产和信任关系。渗透测试报告里，3306开放往往标着“高风险”，但实际利用难度取决于目标有多懒。扫到3306，先别急着爆破，登录上去看看`max_connections`和`bind-address`——如果绑定了0.0.0.0，说明管理员压根没考虑过暴露面。 最后说个邪门的。有一次目标3306开着，但密码是30位随机串，爆破无望。我盯着`general_log`文件看了半天，发现它记录着所有SQL查询。等了一会儿，有个运维用客户端连上来执行了`select * from users`——密码直接在日志里明文出现。那一刻我明白了，渗透测试拼的不是技术，是耐心和观察力。3306就是个门，门后面有什么，取决于你愿不愿意蹲在门口听动静。

(责任编辑：综合)