渗透查看，渗透查说白了就是渗透查钻到系统内部去看它到底在干什么。不是渗透查从外面扫端口、猜指纹，渗透查而是渗透查想办法拿到一个落脚点，然后像在自己家一样翻箱倒柜。渗透查这事听起来挺黑客，渗透查但其实每个做安全的渗透查人迟早都得会。

我第一次真正意识到渗透查看的渗透查价值，是渗透查在一台老旧的测试服务器上。那台机器跑着一个内部Wiki，渗透查表面看没什么漏洞，渗透查补丁打得挺全。渗透查但我用低权限账号登进去之后，渗透查随手翻了翻/tmp目录，渗透查发现一个残留的脚本，里面硬编码了数据库密码。就这一眼，整台机器的控制权就到手了。你看，从外面扫半年可能都扫不出东西，进去看一眼，五分钟解决。

为什么“看”比“打”更重要

很多人把渗透测试等同于漏洞利用，觉得能弹个shell就完事了。弹shell只是开始。你拿到一个低权限的www-data，能做的事情非常有限。真正的战场在内部——配置文件、日志、环境变量、进程列表、挂载点、cron任务，这些地方藏着的东西比任何0day都实在。

我习惯把渗透查看分成三个层次。第一层是系统层，看的是/etc/passwd、/etc/crontab、ps aux、netstat -tulpn这些。第二层是应用层，看的是web目录下的.env、config.php、web.config，还有数据库连接字符串。第三层是数据层，看的是用户表、session文件、缓存目录。每一层都能给你下一层的钥匙。

有个细节值得说。Linux下/proc目录是个金矿。/proc/self/environ里可能有环境变量泄露的API key，/proc/net/tcp能让你看到所有网络连接而不需要root。这些东西教科书上不怎么讲，但实战中救过我很多次。

一个具体的查看路径

假设你通过某个RCE拿到了一个低权限shell。别急着提权，先看。我会按这个顺序走一遍：

先看当前用户能读哪些文件。find / -user $(whoami) -type f 2>/dev/null，这条命令能列出所有属于你的文件。经常会有意外收获，比如某个运维脚本、某个备份文件、某个SSH私钥。

然后看历史命令。cat ~/.bash_history，如果运气好，里面会有数据库密码、sudo命令、甚至其他机器的登录方式。我就见过一个运维把mysql -u root -pP@ssw0rd直接敲在命令行里，历史文件里清清楚楚。

接着看网络。ss -tulpn或者netstat -tulpn，看看这台机器还连着哪些内部服务。很多时候你拿下的机器只是个跳板，真正的目标在另一个网段。Redis、MySQL、内部API，这些服务往往不设防，因为管理员觉得“内网嘛，安全”。

最后看定时任务。crontab -l和ls -la /etc/cron.*，有些脚本以root权限运行，但脚本本身可写。这就是提权的经典路径。

查看时容易踩的坑

别乱改东西。渗透查看的核心是“看”，不是“动”。你改了一个配置文件，可能触发监控告警，也可能把服务搞崩。我曾经因为手贱改了一个Nginx的配置，结果整个测试环境挂了，被客户骂了一顿。从那以后，我只看不写，除非万不得已。

还有，注意日志。你执行的每一条命令都可能被记录。auditd、syslog、bash_history，这些都在盯着你。查看的时候尽量用只读方式，或者干脆把输出重定向到/dev/null，别留下太多痕迹。

渗透查看这件事，说到底是一种思维习惯。别老想着一步到位拿root，先蹲下来，看看脚下有什么。很多时候，答案就摆在那里，只是没人愿意弯腰去捡。