什么是渗透测试？
在网络安全领域，渗透测试是衡量组织防御体系有效性的关键手段。然而，一个真正专业、有价值的渗透测试，绝非简单的“黑客工具堆砌”或随机的攻击尝试。其背后是一套严谨、系统化的方法论。这套方法论确保了测试的全面性、可重复性、可衡量性，并能将安全风险与业务影响紧密关联。本文将深入剖析渗透测试的核心方法论，揭示其从混沌走向艺术的科学内核。
为什么要做渗透测试？
因为不存在绝对安全的系统，没有人敢说自己写出来的代码绝对安全。哪怕是一个纯静态网站，没有时间漏洞，那你能保证中间件不存在漏洞吗？
请记住，漏洞产生的原因是程序错误的把用户输入的数据当作代码去执行，从而改变了程序原本想要执行的程序逻辑。
所以漏洞一直都在，也不可能完全避免漏洞的出现。安全人员只能尽可能减少漏洞被发现的概率。这也是渗透测试的核心目的之一，即检查程序是否能抵御来自非可信网络的攻击。
那为什么不在一开始就讲计算机网络设计为安全的呢？
因为计算机网络最开始是给受信任的用户设计的，没有考虑到不受信任用户的入侵情况。
渗透测试中的方法论
我认为在渗透测试中要做到如下几点:
隐秘性：任何的渗透测试都要尽可能做到不被授权方发现，因为真实的攻击者基本不会让目标察觉到。
稳定安全性：你的目标是渗透测试，不是破坏对方系统，请记住这一点！！！
整体性：将你的目标作为一个整体，而不是将他们分离开来，否则就会一叶障目，不见泰山。
最简为佳性：全面观察目标资产后选择最可行与最简单的渗透路径优先进行尝试。
一、 为何需要方法论？
在没有方法论的指导下，渗透测试会陷入以下困境：
覆盖面不全：可能遗漏关键的攻击面。
结果不可复现：不同的测试人员可能得出截然不同的结论。
无法衡量进度：测试过程如同“黑盒”，管理者无法知晓进行到了哪一阶段。
风险无法量化：发现了漏洞，但无法评估其对业务的真实影响。
可能造成意外损害：未经规划的测试可能导致服务中断或数据损坏。
二、渗透测试流程
阶段一：前期交互与情报收集
此阶段是测试的基石，目标是明确规则、理解目标。
1.目标确定与范围界定：
内容：与客户共同确定测试目标（如：对外Web应用、内部网络、无线网络、社会工程学等）、IP地址范围、域名、测试时间窗口。
产出：签署的《测试授权书》，明确的法律边界和测试规则。
2.情报收集：
被动信息收集：在不与目标系统直接交互的情况下，通过公开渠道获取信息。例如：
DNS记录查询（查找子域名、MX记录等）
搜索引擎黑客技术（搜索暴露的文档、目录结构）
社交媒体与公司网站信息（用于社会工程学）
证书透明度日志（发现未公开的域名）
主动信息收集：通过与目标系统交互来获取信息。例如：
端口扫描（Nmap）
服务版本探测
网络拓扑发现
阶段二：威胁建模与漏洞分析
此阶段将收集到的信息转化为可行动的威胁情报。
1.威胁建模：
识别资产：确定目标系统内最有价值的数据或服务（如客户数据库、源代码、财务系统）。
识别威胁：分析可能威胁这些资产的攻击者（如竞争对手、黑客组织、内部人员），及其动机和能力。
分析攻击路径：构想攻击者可能利用的入口点和路径。
2.漏洞分析：
工具扫描：使用自动化漏洞扫描器（如Nessus, Qualys, OpenVAS）进行初步的脆弱性识别。
手动分析：对扫描结果进行验证，并深入分析逻辑漏洞、业务逻辑缺陷等自动化工具难以发现的问题。结合情报收集阶段的结果，交叉验证潜在的脆弱点。
阶段三：漏洞利用
这是最富有关联性的阶段，测试人员尝试利用已识别的漏洞来获取未授权访问。
核心目标：证明漏洞的真实危害性。
常见手段：
利用已知的Exploit（如Metasploit框架中的模块）。
进行口令爆破或密码喷洒攻击。
利用SQL注入、文件上传等Web漏洞获取Shell。
进行权限提升，从低权限用户（如www-data）提升至高级权限（如root/Administrator）。
0day（有就用，没有就算了）
关键原则：最小化影响。在利用过程中需谨慎，避免对生产系统造成实质性损害。
阶段四：后渗透攻击
一旦获得初始访问权限，测试并未结束。此阶段模拟高级持续性威胁，展示漏洞在攻击链中的真实影响。
1.权限维持：在系统上创建后门、计划任务等，以模拟攻击者建立持久化访问的能力。
2.内部横向移动：以被攻破的主机为跳板，探测并攻击内网中的其他主机。技术包括：口令哈希传递、Kerberoasting、LLMNR/NBT-NS投毒等。
3.目标达成：最终访问到阶段二所识别的关键资产（如盗取核心数据库、完全控制域控制器），并收集证据。
阶段五：报告与结果分析
这是整个测试价值的最终体现。一份优秀的报告应能让技术人员和管理层都能清晰理解风险。
1.漏洞梳理与风险评级：对发现的所有漏洞进行整理，并采用CVSS 等标准进行风险评级，同时结合业务上下文进行调整。
2.报告撰写：
执行摘要：用非技术语言向管理层汇报整体安全状况、主要风险及业务影响。
技术细节：为技术人员提供详细的漏洞描述、复现步骤、攻击路径图、请求/响应包截图及修复建议。
3.成果汇报：与客户团队开会，讲解发现的问题，并答疑解惑，确保修复方向正确。
这就是基本的渗透测试流程。
基于以上，我们就得到了渗透测试的核心思想方法：
首先要建立几个贯穿始终的核心思想：
由外到内，由浅入深：总是从最公开、最易访问的点开始，逐步向核心推进。
假定突破口存在：不相信任何默认配置、不信任任何用户输入、不相信前端验证。
权限是核心目标：整个测试过程就是“权限获取-权限提升-权限维持”的循环。
突破边界思维：不要被预设的网络边界限制，思考一个点如何影响另一个点（例如，一个Web漏洞如何成为内网入口）。
自动化与手动结合：用自动化工具提高效率，用手动分析发现复杂、深层次的漏洞。
三、渗透测试中主要有两个视角，即Web与内网视角
一、 Web视角的渗透测试思路
Web应用的攻击面直接暴露在互联网上，通常是渗透测试的第一站。其思路可以概括为：“突破边界，获取权限，以此为跳板”。
思想流程：
第1步：描绘攻击面 -> “目标有哪些门和窗？”
思路：尽可能全面地找出所有交互点。
动作：
识别主域名、子域名。
爬取网站目录、文件和参数（gobuster, dirsearch）。
发现功能端点（API接口、上传点、登录口、找回密码等）。
分析使用的技术栈（前端框架、后端语言、中间件、数据库），不同技术有其特定的漏洞模式。
第2步：寻找薄弱点 -> “哪扇门没锁好？哪扇窗有裂缝？”
思路：对每个攻击面进行漏洞模式匹配。
动作：
通用型漏洞检测：SQL注入、XSS、命令/代码执行、文件包含、XXE、SSRF等。
业务逻辑漏洞挖掘：这是手动思维的精华。
越权：修改用户ID、参数，看是否能访问他人数据或功能。
流程绕过：能否跳过验证步骤直接进入下一步？密码重置功能能否被劫持？
竞争条件：并发请求是否可能导致优惠券超额发放、余额重复计算？
组件漏洞分析：检查已知框架、中间件、库的版本是否存在公开漏洞（如Shiro反序列化、Fastjson RCE、Log4j2等）。
第3步：利用与突破 -> “打开这扇门，我能进去多远？”
思路：利用找到的漏洞获取系统权限或敏感数据。
动作：
通过SQL注入获取管理员账号密码。
通过文件上传漏洞上传Webshell，获取服务器命令执行权限。
利用SSRF攻击扫描或访问内网系统。
通过逻辑漏洞接管高权限账户。
第4步：站稳脚跟 -> “在门口放个钥匙，方便下次进来”
思路：将Web漏洞的成果转化为一个稳定的后门。
动作：
在服务器上写入一句话木马或生成一个反弹Shell。
创建计划任务或系统服务实现持久化。
窃取服务器上的SSH密钥、数据库密码等敏感信息。
第5步：视角转换 -> “从Web服务器看向内网”
思路：将Web服务器视为进入内网的跳板。
动作：
在Web服务器上执行 ipconfig / ifconfig，查看其网络配置，发现它所在的内部网段。
尝试从Web服务器向内网其他主机进行探测（端口扫描、服务识别）。
至此，Web视角的渗透测试思路自然过渡到内网视角。
二、 内网视角的渗透测试思路
一旦进入内网，环境从“一对一的公开攻击”转变为“多对多的内部探测”。其思路可以概括为：“隐蔽探索，权限提升，横向移动，直指核心”。
思想流程：
第1步：信息收集 -> “我在哪？这里都有什么？”
思路：摸清内网环境，绘制“作战地图”。
动作：
本机信息：系统版本、补丁、安装软件、进程、服务、网络共享、会话、用户/组信息。
网络拓扑：查看路由表、ARP缓存，识别关键网段（如 192.168.0.0/24, 10.10.10.0/24）。
存活主机发现：使用ICMP, TCP, ARP等方式扫描内网网段。
端口与服务探测：对内网存活主机进行端口扫描，识别数据库、文件共享、域控、远程管理等服务。
第2步：权限提升 -> “我如何从‘游客’变成‘管理员’？”
思路：将当前立足点的低权限提升为所在机器的最高权限（如Windows的SYSTEM，Linux的root）。
动作：
Windows：
利用系统内核漏洞（查找缺失补丁，使用如PrintNightmare、EternalBlue等Exp）。
利用服务配置错误（服务路径空格、可写服务二进制文件、不安全的服务权限）。
利用注册表、启动项、AlwaysInstallElevated等配置漏洞。
Linux：
内核漏洞（Dirty Cow）。
SUID/GUID错误配置（find, vim, bash等）。
sudo权限配置错误（sudo -l查看）。
环境变量劫持、Cron任务劫持等。
第3步：凭证获取 -> “拿到开门的钥匙”
思路：获取其他主机或域环境的登录凭证，这是横向移动的“燃料”。
动作：
Windows：
抓取内存中的密码哈希和票据（Mimikatz）。
转储SAM文件获取本地用户Hash。
查找配置文件、注册表中的明文密码。
Linux：
查看/etc/shadow文件。
查找~/.bash_history, ~/.ssh/目录下的密钥、各类配置文件（如数据库连接字符串）。
通用：键盘记录、网络嗅探。
第4步：横向移动 -> “用一把钥匙，去开更多的门”
思路：利用获取的凭证和信息，向网络中的其他机器扩散。
动作：
Pass the Hash：无需破解密码，直接使用哈希进行认证（主要针对Windows）。
Pass the Ticket：利用Kerberos票据进行认证。
PsExec/WMI/SMB：使用获取的凭证通过远程执行功能在另一台主机上获得Shell。
WinRM/SSH：尝试使用获取的凭证进行远程登录。
第5步：核心目标攻击 -> “找到皇冠上的明珠”
思路：定位并攻陷域环境中最核心的资产——域控制器，或访问核心数据库、应用服务器。
动作：
识别域控：通过DNS查询、端口扫描（389, 636, 88等）定位域控制器。
攻击域控：
Kerberoasting / AS-REP Roasting：攻击Kerberos协议，离线破解服务账户密码。
LLMNR/NBT-NS投毒：欺骗网络名称解析，获取用户哈希。
DNS Admins组、Print Spooler服务等滥用。
利用MS14-068、Zerologon等高危漏洞直接攻击域控。
夺取权限：最终获取域管理员的权限，从而控制整个域森林。
一个完整的渗透测试，往往是 Web视角 和 内网视角 的完美衔接与融合。
起点：通过Web漏洞（如文件上传RCE）获取一个Web Shell。
过渡：在Web服务器上发现它处于内网的双网卡环境中，一张网卡对外提供Web服务，另一张连接着庞大的内网（10.10.10.0/24）。
纵深：以此为跳板，开启内网渗透的思路：信息收集 -> 权限提升（在Web服务器上） -> 凭证获取 -> 横向移动 -> 最终攻陷域控制器。
这种系统性的思想方法，确保了测试人员能够像真正的攻击者一样思考，不放过任何可能的攻击路径，从而全面、深入地评估目标网络的安全状况。
在渗透测试中一定要有新奇的思路：
什么叫新奇的思路？其实就是一些巧妙的攻击链，比如最简单的用dns劫持结合钓鱼来获取密码。再比如一下这些：
CSRF + XSS = 0-Click Account Takeover：找到一个修改用户邮箱的CSRF漏洞找到一个反射型XSS。构造一个恶意页面，当受害者（如管理员）访问时，XSS触发一个Ajax请求，执行CSRF攻击将管理员的邮箱修改为攻击者控制的邮箱，然后利用“密码重置”功能接管账户。整个过程受害者无感知。
权限提升的“三级跳”：利用一个信息泄露漏洞获取某个用户ID。利用IDOR（不安全的直接对象引用）漏洞查看该用户的私密数据。在这些数据中发现了后台管理地址和另一个系统的默认密码。用该默认密码成功登录后台，完成从普通用户到管理员的跃迁。
核心思想总结
这些新奇思路的背后，是几种核心的思维模式转变：
信任链攻击：不直接攻击目标，而是攻击目标所信任的人、系统或服务。
滥用合法功能：“这不是一个漏洞，这是一个功能”，但攻击者以开发者未曾预料的方式使用了它。
隐蔽是王道：追求在雷达下飞行，速度慢一点没关系，不被发现才能走得更远。
积木式攻击：没有高危漏洞？没关系。用几个中低危漏洞巧妙组合，其威力远超单个高危漏洞。
突破数字边界：将网络攻击与社会工程学、物理安全漏洞相结合，往往能打开全新的攻击面。
一名优秀的渗透测试师，正是在熟练掌握基础工具和方法论之后，通过这种创造性的、发散的思维，才能模拟出最真实、最狡猾的对手，为客户提供最具价值的安全洞察。
渗透测试是一门艺术，思路要巧，要新颖。不要小看任何一个低危漏洞，当几个低危结合起来，其恐怖程度并不比任何的高危漏洞低。思路也不要只停留于系统表面，而是要考虑到其背后的管理人员。世界上没有绝对安全的系统，请记住，最大的漏洞，就是人本身。
