web渗透系统实战教程

一个没打补丁的透系统实Struts2，能让你在半小时内拿到服务器root权限。战教这不是透系统实危言耸听，是战教我上周在客户内网里真实干的事。目标系统跑着2013年的透系统实Showcase应用，OGNL表达式注入直接弹回shell，战教连WAF都没部署。透系统实web渗透的战教核心从来不是工具多花哨，而是透系统实你对漏洞原理的理解够不够深，以及能不能在正确的战教时间点打出正确的那一发。

信息收集不是透系统实扫端口那么简单

很多人一上来就掏Nmap扫全网段，结果被IDS封了IP还不知道怎么回事。战教我习惯先手动看几个东西：目标网站的透系统实robots.txt、sitemap.xml、战教以及HTTP响应头里的透系统实Server字段。上个月碰到一个站，Server头写着“nginx/1.12.2”，但实际后端跑的是Tomcat 7——中间隔了一层反向代理。你要是只信扫描器结果，后面的路径爆破全得跑偏。

Whois和DNS记录也别跳过。查历史解析记录经常能挖出测试环境或旧版后台。我有个习惯，拿到主域名后先去Censys和Shodan搜一遍，看看有没有暴露的8080、8443端口跑着Jenkins或者GitLab。去年一个金融客户，主站防护严密，结果dev.gitlab.xxx.com直接裸奔在公网，仓库里还躺着数据库连接串。

漏洞验证要快、要准、要安静

发现疑似SQL注入点，别急着上sqlmap跑全量。先手工测：单引号、双引号、反斜杠，看报错信息。MySQL的extractvalue()报错注入在5.1以上版本通用，但很多站点关了错误回显，这时候就得换布尔盲注。我常用的payload是AND (SELECT 1 FROM (SELECT COUNT(*),CONCAT(version(),FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a)，能回显版本号就直接确认。

文件上传漏洞更考验细节。黑名单绕过用.phtml、.php5、.pht这些扩展名，白名单就改Content-Type为image/jpeg，再配合文件头GIF89a。但真正好用的是条件竞争——上传一个PHP文件，同时用多线程不断请求它，在服务器删除前执行。这个技巧在CTF里被玩烂了，实战中依然有效，因为很多系统先保存再检查。

权限维持与横向移动

拿到webshell只是开始。Linux下先看/etc/passwd和/etc/shadow权限，能读shadow就直接john爆破。Windows下用whoami /priv看有没有SeImpersonatePrivilege，有的话JuicyPotato直接提权到SYSTEM。别用那些花里胡哨的免杀马，一个简单的system($_GET['c'])加base64编码就够了，关键是把流量加密——冰蝎和哥斯拉的默认密钥早被各大厂商拉黑了，自己改AES密钥和UA头。

横向移动我偏爱用impacket套件。psexec.py、wmiexec.py、smbexec.py三个轮流试，总有一个能通。域环境里先跑BloodHound收集ACL关系，经常能发现某个普通用户对域控有GenericAll权限——这种配置错误比漏洞还致命。上个月一个内网，就是通过一个服务账号的Kerberoasting拿到hash，破解后直接登录域控。

清理痕迹与报告

别留下你的扫描器指纹。Nmap的默认SYN扫描会被记录，用-sT全连接或者--scan-delay降速。webshell用完就删，日志里用sed清掉你的IP。但更重要的是——写报告时把漏洞复现步骤、影响范围、修复建议写清楚。客户要的不是你炫技，是能拿去给开发团队改代码的文档。

渗透测试的终点不是拿到域管，是让甲方明白：那个没打补丁的Struts2，那个弱口令的Tomcat管理后台，那个权限配置错误的数据库——每一个都是真实存在的风险。你只是帮他们提前发现了而已。