去年秋天，渗透书我在一个客户的作业指导内网里泡了整整三天。目标是渗透书一台老旧的文件服务器，Windows Server 2008，作业指导补丁停留在2017年。渗透书第一天我什么都没干，作业指导就坐在那里翻共享目录，渗透书看谁在用什么、作业指导谁在改什么。渗透书这事听起来无聊，作业指导但渗透的渗透书本质就在这里——你得先变成那个环境里的“正常人”，再谈突破。作业指导

很多人把渗透想成敲键盘、渗透书跑工具、作业指导拿shell。渗透书工具当然要用，可工具跑出来的结果只是线索，真正决定成败的是你对目标的理解深度。我见过太多人上来就甩扫描器，端口一开就急着打exp，结果触发了IDS，连个回显都没看到就被踢出网络。反过来，那些愿意花时间做信息收集的人，往往能在看似无懈可击的边界上找到一条缝。

信息收集不是走过场

信息收集阶段最忌讳“清单式作业”。不是把whois、子域名、端口、指纹挨个跑一遍就算完事。你得问自己：这个组织用什么邮件系统？员工在社交媒体上晒过什么工牌照片？招聘信息里提到了哪些技术栈？这些碎片拼在一起，才构成一张有温度的地图。

举个例子。某次我盯上一家做物流的公司，官网做得挺像样，WAF也部署了。但我在他们HR的领英动态里发现，她发过一张办公室团建照，背景白板上写着内部GitLab的地址。那个GitLab没有公网DNS，但IP段和官网在同一C段。扫过去，8080端口开着，登录页连验证码都没有。后面的事就不展开了，总之弱口令进去了，代码仓库里翻到了数据库连接串。

这件事说明什么？技术漏洞往往藏在人的疏忽里。你扫一百遍端口，不如认真看一遍目标员工发过的每一张图。

漏洞利用要讲“手感”

拿到入口点之后，别急着提权。先稳一稳，看看当前权限能读到什么、能写到什么、能连到哪里。我习惯在目标机器上建一个隐蔽目录，把工具传上去，然后花半小时观察进程列表和网络连接。有时候你会发现，这台机器本身不重要，但它能访问一台内网数据库，而数据库的sa密码就写在某个配置文件里。

漏洞利用的“手感”来自经验，也来自对目标业务逻辑的揣摩。比如一个上传接口，你传个php上去被拦了，但传个.cer呢？传个.asp;.jpg呢？或者干脆传个压缩包，看它解压到哪里？这些不是工具能替你想到的，得靠你对IIS、Apache、Nginx各种解析特性的熟悉程度。

横向移动别贪快

内网横向最怕“动静太大”。有人一拿到域内普通用户就急着跑BloodHound，结果流量特征被EDR抓个正着。我的做法是先手工翻共享目录，找IT部门的脚本、运维的笔记、甚至聊天记录导出文件。这些地方经常藏着明文密码或者哈希。

有一次我在一个共享里翻到一个叫“迁移工具”的文件夹，里面有个bat脚本，写着net use连接另一台服务器，密码就硬编码在里面。用那个密码，我直接登上了备份服务器，而备份服务器有域管权限。整个过程没有跑任何扫描工具，流量看起来就像正常的文件访问。

清理和报告同样重要

拿到域管不代表结束。你得清理痕迹：删掉上传的工具、清掉日志里的异常记录、把改过的配置还原。更重要的是，写报告时别只列漏洞清单。客户要的是“怎么修”，不是“你有多厉害”。把每个漏洞的利用路径、影响范围、修复建议写清楚，最好附上截图和命令行记录。这样下次你再来，人家还愿意给你授权。

渗透作业说到底是一门手艺。工具会过时，漏洞会修补，但对人性的理解、对细节的敏感、对节奏的把控，这些东西不会变。你越像那个环境里的普通人，就越能走到别人走不到的地方。