黑麒麟渗透

凌晨三点，黑麒我盯着屏幕上的麟渗漏洞报告，后背发凉。黑麒那是麟渗一家省级医院的体检系统，漏洞评级“严重”——未授权访问，黑麒意味着任何人只要输入正确的麟渗URL，就能下载全量体检数据。黑麒姓名、麟渗身份证号、黑麒手机号、麟渗甚至HIV检测结果，黑麒全部裸露在公网。麟渗这不是黑麒演习，这是麟渗我朋友老周在一次合规测试中发现的真实案例。

老周不是黑麒黑客，他是安全公司的渗透测试工程师，圈内叫“白帽”。但那天他接的活儿有点特殊，客户是一家保险中介，怀疑内部有“鬼”——员工勾结外部人员，批量查询客户保单信息倒卖。客户要求“黑渗透”，即不通知运维、不提前报备，模拟真实攻击路径。老周只拿到一个授权书，和三个IP地址，连目标系统长什么样都不知道。

他花了三天时间踩点。先是用搜索引擎语法找子域名，发现一个测试环境直接挂在生产网段下，登录页写着“内部系统，非授权禁止访问”——这行字在安全圈就是个笑话。他试了默认口令admin/admin，居然进去了。系统里全是保单查询接口，参数没做任何过滤。老周写了个脚本，用身份证号前六位加生日组合遍历，十分钟内跑出两千条真实保单记录，包括投保人、受益人、联系电话。他停手了，再往下就是犯罪。

但真正的难点不在这。客户要求证明是“内鬼”干的，不是外部攻击。老周调了系统日志，发现查询记录集中在每天下午两点到四点，IP段是公司办公楼的出口IP。他顺着时间线比对，发现这个时段正好是某部门例会结束后的半小时。老周说：“这活儿根本不需要技术，就是看谁每天准时打开那个页面，像打卡一样。”最后锁定了一个入职三年的员工，对方承认每条信息卖二十块钱，一个月能多赚八千。

这事儿让我想起另一个极端。上个月有个甲方找我咨询，说他们刚做完等保测评，觉得自己“固若金汤”。我随口问了一句：“你们那个OA系统的文件上传功能，过滤了后缀名吗？”对方愣住，说没测过。我让他自己试，把jpg改成php上传，结果直接弹了个shell。他后来在电话里沉默了很久，说“原来我们一直在裸奔”。

黑渗透和常规渗透最大的区别，是它默认对方是聪明人，会隐藏痕迹，会反侦察，会像真正的入侵者一样抹掉日志。老周那次最后还干了件事，他故意在服务器上留了个文本文件，内容是一句话：“我知道你几点下班。”第二天，那个内鬼就自首了。技术有时候是冰冷的，但人永远是最脆弱的一环。

所以别迷信什么防火墙和WAF，真正的安全漏洞，往往长在人心里。你永远不知道下一个被攻破的系统，是输给了代码，还是输给了贪念。