内容摘要：去年十月，我蹲在客户办公楼消防通道里，用一台二手树莓派连上了他们内网的核心交换机。整个过程没触发任何告警。原因简单到离谱——他们IT主管把SNMP默认口令改成了“Admin@123”，然后五年没动过。

去年十月，渗透我蹲在客户办公楼消防通道里，渗透用一台二手树莓派连上了他们内网的渗透核心交换机。整个过程没触发任何告警。渗透原因简单到离谱——他们IT主管把SNMP默认口令改成了“Admin@123”，渗透然后五年没动过。渗透

这不是渗透电影桥段。渗透测试干久了你会发现，渗透真正能打穿一家企业的渗透往往不是零日漏洞，而是渗透这种让人哭笑不得的运维惰性。Access这个词在渗透语境里有两层意思：一是渗透拿到初始入口，二是渗透横向移动到核心资产。大部分人卡在第一步，渗透因为他们只盯着扫描器报出来的渗透高危端口，忽略了人的渗透惯性。

入口比你想象的更“日常”

我做过一次针对某物流公司的测试。外网暴露面很小，WAF规则也还算新。扫了两天没找到突破口。后来我在他们官网招聘页看到一条信息：运维工程师，要求熟悉Zabbix，接受远程值班。顺着这个线索，我用Google语法搜到了他们一个未加认证的Zabbix Web前端，版本3.0，存在已知的SQL注入。三个小时后，我拿到了那台服务器的shell。

入口往往藏在“业务需要”和“安全让路”的夹缝里。比如为了方便远程办公临时开放的RDP端口，比如测试环境直接复用生产数据库凭据，比如离职员工没被回收的VPN账号。这些不是技术漏洞，是流程漏洞。但渗透测试报告里写“贵司管理制度不严”没人爱看，写成“通过CVE-2022-XXXX获取域控权限”才显得专业。

横向移动：别急着扫，先看日志

拿到第一台机器后，新手会立刻开扫描器扫内网。动静大，效率低。老手会先翻本地文件——浏览器保存的密码、SSH私钥、配置文件里的数据库连接串。我曾在某台Web服务器的/home目录下找到一个.my.cnf，里面明文写着MySQL的root密码。用这个密码试了试同网段的几台机器，直接登上了他们的财务系统数据库。

Windows域环境里，BloodHound是神器。但别迷信工具。有次我导出的关系图显示从当前用户到域管只有两步，实际打的时候发现中间那条边依赖一个已经禁用的服务账号。工具给的是理论路径，能不能走通得看运气和细节。后来我是通过抓取LSASS内存里缓存的凭据才完成提权，过程比BloodHound画的图曲折得多。

权限维持：别留后门，留“前门”

很多渗透测试员喜欢在目标机器上种Webshell或者加注册表自启动。客户的安全团队不是吃素的，清理这些是基本功。我的习惯是——不额外留东西，而是利用目标本身的管理通道。比如拿到域管后，在域控上创建一个新的服务账号，权限给到刚好够用，名字起得像他们内部命名规范。这个账号能活多久，取决于对方多久做一次账号审计。

有一次我甚至没建任何新账号。我发现他们Exchange服务器上有个管理员邮箱，密码写在某台跳板机的notes.txt里。我直接登录OWA，给自己发了封邮件，附件是加密的渗透报告。客户IT看到邮件时以为是自己人发的，直到我打电话过去说明。

渗透的终点不是拿到域管。是让客户真正理解：你花三个月加固防火墙，不如把默认口令改掉。你买再贵的EDR，不如定期查一遍离职账号。Access的本质是信息差——你知道的比防守方多，你就进去了。而大多数时候，防守方不是不知道，是觉得“不会有人盯上我们”。这种侥幸，才是最好的入口。