渗透靶站

去年秋天，渗透靶站我在一台旧笔记本上搭了个渗透靶站，渗透靶站用VirtualBox装了三台虚拟机：一台Kali，渗透靶站一台Metasploitable2，渗透靶站一台Windows Server 2008。渗透靶站宿主机只有8G内存，渗透靶站跑起来风扇像要起飞。渗透靶站但就是渗透靶站这套寒酸环境，让我把之前零散学的渗透靶站漏洞利用串成了一条线。

靶站的渗透靶站核心逻辑很简单——制造一个允许你合法“干坏事”的隔离空间。Metasploitable2是渗透靶站经典入门靶机，默认开着vsftpd 2.3.4后门、渗透靶站UnrealIRCd后门、渗透靶站Tomcat弱口令，渗透靶站基本上把能犯的渗透靶站低级错误全犯了一遍。我第一次用msfconsole打vsftpd笑脸漏洞时，敲完exploit命令，看到shell回显的那一刻，比打游戏通关还爽。

但靶站不只是“打进去就完事”。真正让我学到东西的，是打进去之后的事。拿到meterpreter会话，要提权，要维持访问，要清理痕迹。Windows Server 2008那台我配了域控，想模拟内网横向移动。结果卡在Kerberoasting上好几天——SPN配置不对，请求票据一直失败。后来翻了几篇老外的博客，才发现是服务账户的加密类型设成了RC4_HMAC_MD5以外的算法。改完注册表，重新申请票据，hashcat跑出明文密码那一下，凌晨两点，我对着屏幕骂了句脏话。

搭建过程本身也踩了不少坑。网络模式一开始用NAT，Kali能上网但扫不到靶机。换成Host-Only之后，三台机器互通了，但Kali更新源又挂了。最后是双网卡方案：一块NAT负责更新，一块Host-Only负责渗透。这种细节，书上不会写，只有自己折腾过才知道。

靶站的价值在于它允许你失败。真实渗透中一个误操作可能触发IDS告警，甚至搞崩生产系统。靶站里你随便扫、随便打，nmap全端口扫描开到最 aggressive 的T4，msf的exploit打失败了就换payload重来。我印象很深的一次，用sqlmap跑一个注入点，跑了两小时没结果，后来手动测发现是布尔盲注，sqlmap的默认风险等级不够。把--risk调到3，--level调到5，又跑了四十分钟，终于出了库名。这种试错成本，只有靶站能提供。

现在我的靶站已经扩到五台机器了，加了一台Ubuntu跑Docker靶场，还有一台OpenWrt模拟路由器。每次配好新环境，我都会从外网入口重新走一遍完整攻击链：信息收集、漏洞扫描、边界突破、权限提升、内网探测、横向移动、数据获取。走完一遍，把笔记整理成markdown，截图存好。下次遇到类似场景，翻笔记比翻Google快。

有人觉得靶站就是玩具，跟真实环境差太远。确实，真实网络有WAF、有EDR、有流量分析，靶站里这些基本没有。但靶站训练的是肌肉记忆——看到22端口开放先试弱口令，看到445先想MS17-010，看到Tomcat管理页面试试tomcat/tomcat。这些条件反射，在真实渗透的初期信息收集阶段，能帮你省下大量时间。

我的建议是别追求靶站数量。把一台Metasploitable2打穿，从80端口一路打到root，比装十台靶机每台扫一遍端口有用得多。渗透是门手艺，手艺靠重复练习，靶站就是你的练习场。风扇响就响吧，总比在客户现场翻车强。