红日靶场渗透测试教程

red日靶场（VulnHub上的红日Red）不是那种让你点点鼠标就完事的玩具。它模拟了一个真实的靶场内网环境，有域控、渗透有web服务器、测试还有一堆藏着漏洞的教程服务。我第一次打这个靶场，红日光信息收集就花了三个小时，靶场最后卡在提权环节差点摔键盘。渗透但正是测试这种挫败感，才逼着你把脑子里的教程知识串起来。

开局先扫网段。红日nmap -sS -sV -p- 192.168.1.0/24，靶场别偷懒跳过UDP扫描，渗透这个靶场有个服务就藏在UDP端口上。测试扫完你会发现三台机器：一台web服务器（192.168.1.10）、教程一台文件服务器（192.168.1.20）、还有一台域控（192.168.1.30）。攻击路径从来不是直线，web服务器只是跳板。

web服务器上跑着Apache和Tomcat，端口8080有个管理后台。弱口令admin/admin居然进去了——别笑，真实环境里这种蠢事多了去了。后台有个上传点，直接传个jsp马，用冰蝎连上去。这时候你拿到的是tomcat用户的权限，低得可怜，连/home目录都读不了。

提权环节有意思了。sudo -l发现tomcat能无密码执行/bin/cp。这个看似鸡肋的权限，配合/etc/passwd文件就能玩出花来。我生成一个带root权限的shadow备份，覆盖原来的shadow，然后su切换到root。整个过程像在走钢丝，每一步都要确认路径和权限，稍不留神就把系统搞崩了。

拿下web服务器后别急着欢呼。内网横向渗透才是这个靶场的精髓。用fscan扫一下内网，发现文件服务器开了SMB共享，而且允许匿名访问。共享目录里放着个叫backup.zip的压缩包，密码是password123——这种弱智密码在真实渗透里出现的频率比你想象的高十倍。

解压后拿到一个数据库配置文件，里面写着域控的SQL Server sa账号密码。这时候你有两个选择：直接连域控的1433端口，或者先通过文件服务器跳一下。我选了后者，因为直接连容易被防火墙拦。用impacket的mssqlclient连上去，开启xp_cmdshell，执行命令反弹shell。

最后一步是域控提权。这个靶场故意留了个MS17-010（永恒之蓝）的漏洞。用msf的exploit/windows/smb/ms17_010_eternalblue模块，设置好payload直接打。注意目标机器是64位系统，选meterpreter/x64/meterpreter/reverse_tcp，不然会崩。

拿到域控的system权限后，整个过程才算结束。说实话，打完这个靶场我最大的感悟是：渗透测试不是背漏洞库，而是理解系统之间怎么信任、怎么通信。红日靶场的价值在于它逼着你做决策——什么时候该放弃一条路，什么时候该赌一把。建议你打之前先自己画个网络拓扑图，每拿到一台机器就更新一次，这个习惯能救你的命。