渗透攻击的渗透阶段

凌晨两点，某金融公司的攻击安全监控屏上弹出一条告警——一个来自内部IP的请求，正试图读取域控服务器的阶段密码哈希。值班工程师以为是渗透误报，随手点了忽略。攻击三小时后，阶段整个域被勒索软件加密。渗透事后溯源发现，攻击攻击者早在两周前就通过钓鱼邮件拿到了一个普通员工的阶段VPN凭证，之后每天凌晨用这个账号登录，渗透每次只做一个小动作，攻击从没触发过任何阈值。阶段

这就是渗透渗透攻击的常态——它不是电影里那种噼里啪啦敲键盘的黑客大战，而是攻击一场耐心的、分阶段的阶段蚕食。我把它拆成五个阶段，每个阶段都有鲜明的行为特征和防御盲区。

第一阶段：侦察。攻击者像个踩点的小偷，先围着目标转圈。被动侦察是翻LinkedIn、GitHub、招聘信息，从员工晒的工牌照片里读出门禁系统型号；主动侦察则是用Nmap扫描你的公网IP段，找开放端口和脆弱服务。这个阶段最容易被忽略——因为扫描流量和正常访问混在一起，除非你部署了流量基线分析，否则很难察觉。

第二阶段：武器化与投递。这一步其实发生在攻击者自己的机器上——他们根据侦察到的信息，定制一个诱饵。比如知道你们用Outlook，就伪造一封来自HR的邮件，附件是伪装成Excel的宏病毒文档。投递方式五花八门：钓鱼邮件、恶意USB、水坑攻击，甚至直接买通内部人员。我见过最绝的案例，是攻击者往目标公司楼下的咖啡店Wi-Fi里植入恶意热点，专门等员工连上去。

第三阶段：利用与安装。当受害者点开那个Excel，宏运行，恶意代码下载一个远控木马到内存里——不落地磁盘，杀毒软件根本扫不到。这时候攻击者已经拿到了一台“肉鸡”，但别高兴太早，这只是个普通用户权限。他们会利用系统漏洞提权，比如Windows的PrintNightmare，或者干脆用弱密码爆破本地管理员账号。提权成功后，木马会把自己伪装成系统服务，设置自启动，确保重启后还能活着。

第四阶段：横向移动。这是最危险的一步，也是攻防双方真正较量技术的地方。攻击者拿着这台机器做跳板，用Mimikatz抓取内存里的明文密码，用Pass-the-Hash技术冒充其他用户，在局域网里一个接一个地渗透其他服务器。他们专挑运维机器下手——因为这些机器上往往存着所有服务器的root密码。防御方如果没做网络分段，或者没监控异常的远程登录行为，攻击者就能像逛超市一样在内部网络里自由穿梭。

第五阶段：目标达成与痕迹清理。攻击者的最终目的各不相同——有的要窃取数据库里的客户信息，打包压缩后分批次传出去；有的直接勒索，加密所有文件并留下比特币地址；还有的纯粹为了破坏，删库跑路。干完这些，他们会清理日志、删除工具、抹掉注册表键值，甚至故意留下一些误导性的痕迹，让安全团队查错方向。有些高级攻击者会留一个后门，方便下次再来——就像贼偷完东西，还会把撬开的锁重新装上。

说回开头那家金融公司。如果他们的安全团队能在第一阶段就发现异常扫描，或者在第四阶段监控到那个员工账号在凌晨访问域控服务器，整个事件本可以避免。渗透攻击最可怕的不是某个阶段有多高明，而是每个阶段都像呼吸一样自然，直到你发现时，已经晚了。