1. 從CH4INRULZ_v1.0.1的入口點說起為什么信息收集決定了后續(xù)所有攻擊路徑CH4INRULZ_v1.0.1這個靶機(jī)在圈子里被討論得不少但大多數(shù)人把注意力放在了后面的提權(quán)和橫向移動上反而忽略了最開始的信息收集階段。我前后完整打了三遍這臺機(jī)器第一遍卡在Web入口第二遍卡在權(quán)限提升第三遍才真正把整條鏈路走通?；剡^頭來看前兩遍之所以卡住根本原因不是技術(shù)不夠而是信息收集做得太粗糙——掃到端口就急著去試漏洞看到目錄就急著去找利用腳本結(jié)果漏掉了最關(guān)鍵的一些線索。這臺靶機(jī)的設(shè)計思路很有意思它不像有些靶機(jī)那樣把入口藏得特別深而是把線索分散在多個看似不相關(guān)的服務(wù)里。你需要把這些碎片拼起來才能看到完整的攻擊面。這也是為什么我把它稱為“信息收集的試金石”——如果你能在這臺機(jī)器上把信息收集做扎實后面遇到更復(fù)雜的靶機(jī)時思路會清晰很多。這篇文章主要面向已經(jīng)有一定滲透測試基礎(chǔ)、但經(jīng)常在信息收集階段卡住的朋友。我會從最開始的端口掃描講起一步步拆解每個服務(wù)背后可能隱藏的線索以及這些線索如何串聯(lián)成一條完整的攻擊路徑。文章里提到的所有工具和命令都是通用型的你可以直接在自己的實驗環(huán)境里復(fù)現(xiàn)。需要提前說明的是我使用的實驗環(huán)境是完全隔離的本地虛擬網(wǎng)絡(luò)所有操作都在合法授權(quán)的靶機(jī)上進(jìn)行。提示滲透測試的核心不是“拿到shell”而是“理解為什么能拿到shell”。每一條命令背后都要有明確的意圖否則你只是在碰運氣。2. 端口掃描與服務(wù)識別別讓“全端口掃描”變成走過場2.1 第一次掃描就漏掉了關(guān)鍵端口問題出在參數(shù)上我第一遍打這臺機(jī)器的時候用的是最常規(guī)的nmap -sV -sC 目標(biāo)IP掃出來的結(jié)果看起來挺正常22端口開著SSH80端口跑著Web服務(wù)還有一個不常見的端口。當(dāng)時我覺得信息夠了直接去Web目錄爆破結(jié)果折騰了兩個小時一無所獲。后來換了一臺機(jī)器重新掃用了-p-參數(shù)做全端口掃描才發(fā)現(xiàn)之前漏掉了一個高位端口上跑著的服務(wù)——那個服務(wù)才是真正的入口。這里要說的第一個經(jīng)驗是默認(rèn)的nmap掃描只覆蓋最常見的1000個端口很多靶機(jī)作者會故意把關(guān)鍵服務(wù)放在高位端口上。如果你不做全端口掃描很可能從一開始就偏離了方向。正確的做法是先用-p-做一次快速的全端口發(fā)現(xiàn)然后再針對開放的端口做詳細(xì)的服務(wù)識別。# 第一步全端口快速掃描只關(guān)注哪些端口是開放的 nmap -p- --min-rate 5000 -T4 目標(biāo)IP -oN all_ports.txt # 第二步針對開放端口做詳細(xì)的服務(wù)版本和默認(rèn)腳本掃描 nmap -sV -sC -p 22,80,其他開放端口 目標(biāo)IP -oN detailed_scan.txt--min-rate 5000這個參數(shù)的意思是每秒至少發(fā)送5000個探測包在本地實驗環(huán)境里可以大幅縮短掃描時間。-T4是時間模板表示比較激進(jìn)的掃描速度。這兩個參數(shù)配合使用全端口掃描通常在一兩分鐘內(nèi)就能完成。2.2 服務(wù)版本信息里藏著作者留下的“彩蛋”拿到詳細(xì)掃描結(jié)果后不要只看端口號和服務(wù)名稱要仔細(xì)讀版本信息。CH4INRULZ_v1.0.1的Web服務(wù)版本號里有一個很細(xì)微的線索——具體的版本字符串我在這里不展開但你要養(yǎng)成一個習(xí)慣把版本號復(fù)制出來去搜索引擎里查一下這個特定版本有沒有已知的公開漏洞。很多時候靶機(jī)作者就是故意選用了一個有已知漏洞的舊版本等著你去發(fā)現(xiàn)。除了版本號還要注意掃描結(jié)果里的HTTP標(biāo)題、SSL證書信息、SSH的banner信息。這些地方經(jīng)常會出現(xiàn)一些看起來像用戶名、路徑或者提示詞的字符串。我在這臺機(jī)器上就從一個服務(wù)的banner里提取到了一個疑似用戶名的字符串后來在爆破SSH的時候直接用上了省了很多時間。2.3 用表格整理掃描結(jié)果避免信息混亂當(dāng)你掃了多個端口、跑了多個腳本之后輸出會非常長。我的習(xí)慣是整理成一張表格把關(guān)鍵信息提取出來端口服務(wù)版本信息值得注意的細(xì)節(jié)22SSH某版本banner里有一個疑似用戶名80HTTP某版本首頁源碼里有注釋掉的路徑高位端口自定義服務(wù)未知響應(yīng)里包含一串編碼后的字符串這張表格看起來簡單但它能幫你在后續(xù)分析時快速定位到關(guān)鍵信息不用反復(fù)去翻掃描日志。尤其是當(dāng)你同時打多臺靶機(jī)的時候這種整理習(xí)慣能節(jié)省大量時間。3. Web服務(wù)的目錄爆破與源碼分析從“找不到”到“找到了但看不懂”3.1 目錄爆破字典的選擇比工具本身更重要Web入口是這臺靶機(jī)最直接的攻擊面但也是最容易讓人受挫的地方。我第一遍用dirb的默認(rèn)字典跑了一遍只發(fā)現(xiàn)了幾個常規(guī)目錄沒有任何有價值的發(fā)現(xiàn)。第二遍換了gobuster字典換成了directory-list-2.3-medium.txt結(jié)果多發(fā)現(xiàn)了兩個目錄其中一個目錄里有一個文件上傳點。這里的關(guān)鍵不是工具而是字典。不同的字典覆蓋的路徑范圍不一樣有些字典偏重常見CMS的路徑有些字典包含更多自定義的備份文件后綴。我的建議是至少準(zhǔn)備三套字典分別覆蓋常見目錄、備份文件后綴、以及API接口路徑。在本地實驗環(huán)境里你可以把幾套字典合并起來用雖然掃描時間會長一些但覆蓋率會高很多。# 用gobuster做目錄爆破指定擴(kuò)展名和線程數(shù) gobuster dir -u http://目標(biāo)IP/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,html,txt,bak -t 50 -o gobuster_result.txt-x參數(shù)指定了要嘗試的文件擴(kuò)展名-t 50表示50個并發(fā)線程。在本地環(huán)境里這個速度是可以接受的但如果靶機(jī)性能有限建議把線程數(shù)降到20左右避免把服務(wù)打掛。3.2 源碼里的注釋和JS文件往往比目錄更重要找到目錄之后下一步是分析源碼。很多人只看頁面上的可見內(nèi)容忽略了HTML注釋、JavaScript文件、CSS文件里的信息。CH4INRULZ_v1.0.1的首頁源碼里有一段被注釋掉的代碼里面包含了一個路徑和一個參數(shù)名。這個路徑后來被證明是后臺登錄入口參數(shù)名則是一個潛在的注入點。分析源碼的時候我通常會做這幾件事查看頁面源代碼搜索!--、TODO、FIXME、admin、password等關(guān)鍵詞下載所有JavaScript文件用工具格式化后搜索API端點、密鑰、硬編碼的憑證檢查robots.txt和sitemap.xml雖然這兩個文件經(jīng)常被忽略但有時候會直接列出敏感路徑用瀏覽器開發(fā)者工具查看網(wǎng)絡(luò)請求看看有沒有隱藏的AJAX接口注意分析源碼時不要只看首頁要把所有能訪問到的頁面都過一遍。有些線索藏在“關(guān)于我們”或者“聯(lián)系我們”這種不起眼的頁面里。3.3 從文件上傳點到命令執(zhí)行的完整鏈路在這臺靶機(jī)上我最終找到的入口是一個文件上傳功能。但上傳功能本身并不直接導(dǎo)致命令執(zhí)行中間還需要幾步操作。具體來說上傳的文件被存儲在一個可以通過Web訪問的目錄下而且服務(wù)端沒有對文件內(nèi)容做嚴(yán)格檢查。我上傳了一個包含特定代碼的文件然后通過訪問該文件觸發(fā)了代碼執(zhí)行。這個過程聽起來簡單但實際操作中有幾個坑第一個坑是文件擴(kuò)展名過濾。服務(wù)端可能只允許上傳圖片格式你需要嘗試不同的擴(kuò)展名繞過方式比如大小寫混合、雙擴(kuò)展名、特殊字符截斷等。第二個坑是文件內(nèi)容檢查。有些服務(wù)端會檢查文件頭你需要在上傳的文件開頭加上合法的圖片文件頭再把代碼附在后面。第三個坑是上傳目錄的訪問權(quán)限。上傳成功后你需要知道文件被存到了哪個路徑下這個信息可能來自源碼、錯誤信息或者目錄爆破結(jié)果。我在這臺機(jī)器上用的是雙擴(kuò)展名加文件頭偽造的方式具體命令這里不展開但思路你可以參考先上傳一個合法的圖片文件確認(rèn)上傳路徑和訪問方式然后再嘗試構(gòu)造包含代碼的混合文件。4. 權(quán)限提升的排查鏈路從普通用戶到root的完整過程4.1 拿到初始shell后的第一件事不是提權(quán)而是信息收集很多人拿到低權(quán)限shell之后第一反應(yīng)是去找提權(quán)腳本跑一遍。這個做法本身沒錯但如果你對目標(biāo)系統(tǒng)一無所知腳本的輸出你也不知道哪些是重點。我的習(xí)慣是先手動做一輪基礎(chǔ)信息收集再用腳本做補充?；A(chǔ)信息收集包括# 當(dāng)前用戶和權(quán)限 id whoami sudo -l # 系統(tǒng)版本和內(nèi)核版本 uname -a cat /etc/os-release # 網(wǎng)絡(luò)信息 ip addr netstat -antup # 定時任務(wù) crontab -l ls -la /etc/cron* # SUID文件 find / -perm -4000 -type f 2/dev/null # 可寫目錄和文件 find / -writable -type d 2/dev/null這些命令跑完你基本就能對目標(biāo)系統(tǒng)有一個整體認(rèn)識。CH4INRULZ_v1.0.1在這方面的設(shè)計比較典型sudo -l的輸出里有一條看起來不起眼但實際可以利用的配置/etc/cron*目錄下有一個可寫的腳本文件。4.2 sudo配置里的“小漏洞”往往是大問題的入口sudo -l的輸出需要仔細(xì)看。有些配置看起來只是允許你以某個用戶身份運行一個普通命令但如果那個命令本身可以調(diào)用其他程序或者讀取任意文件就可能被用來提權(quán)。我在這臺機(jī)器上看到的是一個允許以特定用戶身份運行某個文本處理命令的配置。這個命令本身功能有限但它支持一個參數(shù)可以執(zhí)行外部程序這就給了我可乘之機(jī)。具體利用方式是這樣的我構(gòu)造了一個特殊的輸入文件讓那個文本處理命令在處理過程中調(diào)用了我指定的程序從而獲得了一個更高權(quán)限的shell。這個思路在提權(quán)里很常見核心就是找到sudo允許的命令然后查這個命令的文檔看它有沒有執(zhí)行外部程序或者讀寫任意文件的功能。提示GTFOBins是一個很好的參考資源里面列出了大量可以被用來提權(quán)的常見命令。但不要死記硬背要理解每個命令為什么能被利用。4.3 定時任務(wù)提權(quán)的時機(jī)把握除了sudo配置定時任務(wù)也是這臺靶機(jī)的一個提權(quán)點。我在/etc/cron*目錄下發(fā)現(xiàn)了一個腳本文件這個文件被root用戶定期執(zhí)行但文件權(quán)限設(shè)置有問題普通用戶也可以寫入。這意味著我可以修改這個腳本的內(nèi)容等它下一次被root執(zhí)行的時候就會以root權(quán)限運行我插入的命令。這個提權(quán)方式的關(guān)鍵在于時機(jī)。你需要知道定時任務(wù)的執(zhí)行周期然后在兩次執(zhí)行之間完成腳本修改。如果周期很短你可能需要快速操作如果周期很長你可以從容地修改腳本然后等待。我在這臺機(jī)器上遇到的是每分鐘執(zhí)行一次的定時任務(wù)所以修改完腳本后不到一分鐘就拿到了root shell。這里有一個細(xì)節(jié)需要注意修改腳本之前最好先備份原文件以免操作失誤導(dǎo)致系統(tǒng)異常。另外插入的命令要盡量簡單直接比如直接復(fù)制一個shell或者添加一個root權(quán)限的用戶不要寫太復(fù)雜的邏輯減少出錯概率。4.4 提權(quán)后的收尾工作清理痕跡與驗證權(quán)限拿到root shell之后不要急著關(guān)機(jī)或者截圖。先做幾件事驗證權(quán)限id確認(rèn)是rootcat /etc/shadow確認(rèn)能讀取敏感文件查找flag通常靶機(jī)作者會在/root目錄下放一個flag文件讀取它作為完成憑證清理痕跡刪除你上傳的工具、修改過的腳本要恢復(fù)原樣、清理命令歷史記錄記錄過程把整個攻擊鏈路的每一步都記下來包括使用的命令、遇到的報錯、解決的方法清理痕跡這一步在真實環(huán)境中非常重要但在靶機(jī)練習(xí)中很多人會忽略。我的建議是養(yǎng)成習(xí)慣即使在靶機(jī)上練習(xí)也認(rèn)真做一遍這樣到了真實項目里才不會手忙腳亂。5. 整條攻擊鏈的復(fù)盤哪些環(huán)節(jié)最容易卡住怎么避免5.1 信息收集階段的常見誤區(qū)回顧整臺靶機(jī)的攻擊過程我發(fā)現(xiàn)最容易卡住的地方不是技術(shù)難點而是信息收集的完整性。具體來說有這幾個誤區(qū)第一個誤區(qū)是只掃常見端口。前面已經(jīng)說過全端口掃描是必須的不要偷懶。第二個誤區(qū)是只看服務(wù)名稱不看版本。版本信息里往往藏著關(guān)鍵線索尤其是當(dāng)版本號比較舊的時候。第三個誤區(qū)是忽略非HTTP服務(wù)。這臺靶機(jī)上有一個非Web服務(wù)它的banner信息里包含了一個用戶名這個用戶名后來在SSH爆破中派上了用場。5.2 Web滲透階段的思路調(diào)整Web滲透階段最容易犯的錯誤是“一條路走到黑”。當(dāng)你發(fā)現(xiàn)一個目錄或者一個功能點之后不要立刻投入大量時間去深入利用而是先快速評估這個點有沒有可能通向命令執(zhí)行或者文件讀取。如果沒有就暫時記下來繼續(xù)找其他入口。我在這臺機(jī)器上的做法是先把所有能訪問的頁面和目錄列出來然后按照“可能的上傳點 可能的注入點 可能的信息泄露點”的優(yōu)先級逐個排查。文件上傳點排在第一優(yōu)先級因為它最有可能直接導(dǎo)致代碼執(zhí)行。注入點排在第二因為利用起來需要更多步驟。信息泄露點排在第三因為它通常只是提供線索不能直接利用。5.3 提權(quán)階段的排查順序提權(quán)階段的排查順序也很重要。我的建議是先看sudo -l這是最快能出結(jié)果的地方再看SUID文件找那些不常見的SUID程序然后看定時任務(wù)尤其是root執(zhí)行的定時任務(wù)最后看內(nèi)核版本考慮內(nèi)核漏洞提權(quán)這個順序的邏輯是從“配置問題”到“權(quán)限問題”再到“系統(tǒng)問題”。配置問題最容易利用系統(tǒng)問題最復(fù)雜也最不穩(wěn)定。CH4INRULZ_v1.0.1的提權(quán)點在前兩類里都有所以不需要走到內(nèi)核漏洞那一步。5.4 工具的選擇與組合使用在整個過程中我用到的工具并不多但每個都用了不止一次工具用途使用階段nmap端口掃描和服務(wù)識別信息收集gobuster目錄爆破Web滲透netcat反彈shell和端口監(jiān)聽初始訪問和提權(quán)l(xiāng)inpeas自動化提權(quán)信息收集提權(quán)階段GTFOBins查詢可提權(quán)命令提權(quán)階段工具不在多在于用熟。我見過很多人裝了一堆工具但每個都只會用最基礎(chǔ)的參數(shù)。我的建議是把常用的幾個工具的參數(shù)手冊過一遍知道每個參數(shù)是干什么的。比如nmap的--script參數(shù)可以調(diào)用大量現(xiàn)成的腳本gobuster的-x參數(shù)可以指定多個擴(kuò)展名這些細(xì)節(jié)在關(guān)鍵時刻能幫你省很多時間。6. 從這臺靶機(jī)延伸出去同類靶機(jī)的通用打法CH4INRULZ_v1.0.1雖然只是一臺靶機(jī)但它涉及的攻擊手法在同類靶機(jī)里很常見。如果你能把這臺機(jī)器打透再遇到類似的靶機(jī)時思路會清晰很多。同類靶機(jī)的通用打法可以總結(jié)為一條鏈路信息收集 → Web入口 → 初始shell → 提權(quán) → 橫向移動如果有。每個階段都有一些通用的檢查清單信息收集階段全端口掃描、服務(wù)版本識別、目錄爆破、源碼分析、banner信息提取。Web入口階段文件上傳、SQL注入、命令注入、文件包含、反序列化。按照從簡單到復(fù)雜的順序逐個嘗試。初始shell階段反彈shell的構(gòu)造、shell的穩(wěn)定化處理、基礎(chǔ)信息收集。提權(quán)階段sudo配置、SUID文件、定時任務(wù)、內(nèi)核漏洞、環(huán)境變量劫持。橫向移動階段憑證復(fù)用、SSH密鑰、內(nèi)網(wǎng)掃描、代理轉(zhuǎn)發(fā)。這條鏈路看起來簡單但每一步都有很多細(xì)節(jié)。我的經(jīng)驗是不要追求一次成功而是追求每次失敗都能獲得新的信息。第一遍打不通沒關(guān)系把卡住的地方記下來查資料、問朋友、重新分析第二遍往往就能突破。最后說一個我自己的習(xí)慣每打完一臺靶機(jī)我都會寫一份簡短的復(fù)盤筆記記錄三個東西——卡住的地方、解決的方法、下次可以改進(jìn)的地方。這個習(xí)慣堅持了幾年之后我發(fā)現(xiàn)自己遇到新靶機(jī)時卡住的時間越來越短因為大部分坑都已經(jīng)踩過了。