实战渗透：从外网一个资产到内部立足点的方法论

原创

夜游神
夜游神

船山信安

2026年11月12日 00:00
湖南

去阅读

实战渗透 · PENTEST

实战渗透：从外网一个资产到内部立足点的方法论

外网渗透的第一性原理很朴素：把暴露的资产摸清楚，找到那个不该暴露的口子，拿下一个受限的立足点。后面才是内网的事。

这篇讲授权测试里从「外网一个资产」到「内部一个立足点」的方法论——不堆工具，只讲判断与节奏。

本文所有技术动作限定在书面授权范围内；不提供针对未修复系统的完整攻击链，不含可武器化内容。

0101 暴露面收敛：先别急着打

拿到目标先别扫，先收敛暴露面。域名、IP 段、证书透明日志、CDN 回源，先把「真实属于目标的资产」从「看起来像的」里挑出来。打错了资产，报告再漂亮也是白干。

证书透明日志反查子域（确认资产边界）

curl -s 'https://crt.sh/?q=%25.target.com&output=json' | python -m json.tool | grep name\_value

ASN 与网段归属

whois -h whois.radb.net '!iASN\_NUMBER'

这一步的价值，是把「我以为的资产」变成「授权内的资产」。后面所有动作都只在清单内做，既合规，也省时间。

0202 Web 弱点识别：从指纹到疑似

同一个洞，对不同框架的利用路径完全不同。先看指纹——响应头、报错栈、JS 规律——确认技术栈，再决定查哪类公告。

1响应头：Server、X-Powered-By、Set-Cookie 里的框架特征。

2报错页：故意触发一个 500，看栈信息暴露了什么。

3静态资源：JS 路径、CSS 命名、图标哈希都能反推技术栈。

工具链 whatweb / wappalyzer 配合手工核对，避免在 Nginx 上打 Java 洞这类笑话。

0303 拿到一个受限立足点：思路而非脚本

立足点不一定要 getshell。一个未授权接口、一个能写文件的低点、一个可触发的反序列化，都能成为「进去了一只脚」的起点。重点是「受限」——先有立足点，再谈深入。

验证只在授权隔离环境做，确认即停：不扩大影响面、不读无关数据、不写任何利用脚本到生产。

0404 立足点后的第一动作：看清自己站哪

拿到立足点第一件事不是横冲，是摸本机：我是谁、在哪个段、有什么凭据、连了谁。这步输出决定下一步候选目标。

whoami /priv          # 看特权

ipconfig /all        # 看网段

net view /domain     # 看域

0505 防守侧怎么断这条链

0606 方法论的尽头是清单

外网渗透不是比谁工具多，是比谁先把资产、弱点、边界这三件事想清楚。

把每次发现按「可利用性 × 影响面」排序，优先写高确定的。授权内止步于「确认存在」，不继续扩大验证深度。

参考来源

OWASP WSTG — Reconnaissance / Configuration Management

MITRE ATT&CK — Initial Access (TA0001)

CIS Controls v8 — Asset Inventory / Control 1

本文为授权外网渗透的方法论整理与防守视角对照。所有命令与案例均限定在书面授权范围内，不含针对未修复系统的完整攻击链或利用代码。