windows xp professional iso渗透测试

把一张Windows XP Professional的渗透ISO挂进虚拟机，装完系统连驱动都没打全，测试我就直接把它扔进了隔离网段。渗透这不是测试折腾老古董，是渗透很多工控机、医疗设备、测试收银终端至今还跑着XP SP3。渗透渗透测试遇到这种目标，测试用Kali上那套现代工具往往一拳打在棉花上——MS17-010打过去，渗透系统连个像样的测试回显都没有。

XP的渗透ISO镜像现在不好找。微软官方早就下架了，测试能拿到的渗透多半是MSDN版或者VLSC批量授权版，文件名像en_windows_xp_professional_with_service_pack_3_x86_cd_vl_x14-73974.iso这种。测试装的渗透时候注意选VLK版，否则激活那关就卡死你。虚拟机给512MB内存足够，CPU单核就行，网卡模式先设成NAT，等打完补丁再切Host-Only。

系统装好第一件事不是扫漏洞，是关防火墙。XP SP3自带的Windows防火墙默认拦截所有入站，ICMP都不回。控制面板里关掉，或者命令行netsh firewall set opmode disable。然后确认445端口开着——netstat -an | findstr 445。没开的话检查Server服务是否启动，XP默认是手动触发，改成自动。

真正的乐趣从nmap开始。nmap -sV -O 192.168.1.100扫出来一堆东西：135 RPC、139 NetBIOS、445 SMB，还有3389远程桌面。XP的RDP版本是6.0，存在中间人攻击风险，但这不是重点。重点是445上的SMBv1，微软在XP上从来没修干净过。

MS08-067这个洞，2008年爆出来的时候微软破天荒发了带外补丁。XP SP3如果没打KB958644，Metasploit的exploit/windows/smb/ms08_067_netapi直接拿SYSTEM权限。我试过在VMware里跑，payload用windows/meterpreter/reverse_tcp，成功率大概七成。失败多半是因为目标装了杀毒软件，或者SMB签名被强制开启。

打进去之后别急着提权，XP上你已经是SYSTEM了。meterpreter里hashdump抓SAM文件，LM哈希和NTLM哈希都出来。XP默认存LM哈希，这玩意儿用彩虹表秒破。我抓过一个测试机的哈希，aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0，后面那串对应的密码是空——管理员账户没设密码。这种事在真实环境里不少见。

横向移动用psexec模块，或者直接net use \\target\c$。XP的默认共享C$、ADMIN$、IPC$全开着，只要拿到管理员哈希就能连。有个细节：XP的SMB实现有缺陷，NTLM认证的挑战响应可以被中继。Responder在XP网段里跑一晚上，能抓到一堆哈希。

持久化方面，XP的注册表Run键、启动文件夹、甚至boot.ini都能做手脚。但最隐蔽的是替换svchost.exe的DLL，或者用Image File Execution Options劫持。不过XP本身不稳定，蓝屏是家常便饭，做持久化之前先拍个快照。

清理痕迹反而简单。XP的日志服务默认只记几个事件，wevtutil用不了，得手动删C:\WINDOWS\system32\config下的.evt文件。但删了会露馅，不如用clearev命令在meterpreter里直接清。注意XP的审计策略默认只开登录事件，成功率不高。

最后说个坑：XP的ISO如果是从不可靠来源下载的，可能被植入后门。我见过一个“优化版”XP，装完就带了个隐藏账户，密码是admin123。所以测试环境里，最好用微软原版镜像，校验SHA1。原版XP Professional SP3的SHA1是1c735b38931bf57fb14ebd9a9ba253ceb443d459，对不上就别用。

渗透XP不是炫技，是理解老系统的攻击面。现代Windows把SMBv1默认关了，XP没有。很多工控环境没法升级，只能靠网络隔离硬扛。测试的时候记住：别在生产环境直接打MS08-067，那玩意儿会蓝屏。

很赞哦!（571）