凌晨两点，靶机渗透我把Kali虚拟机调成桥接模式，靶机渗透对着目标IP敲下第一行nmap命令。靶机渗透靶机渗透这事儿，靶机渗透说白了就是靶机渗透一场合法的攻防游戏——你扮演黑客，系统扮演受害者，靶机渗透而规则只有一个：拿到root权限就算赢。靶机渗透

扫描结果出来，靶机渗透开放端口不多，靶机渗透80和22。靶机渗透SSH服务版本老得掉牙，靶机渗透OpenSSH 5.9，靶机渗透理论上存在CVE-2012-0874的靶机渗透漏洞利用可能。但我不打算一上来就硬碰硬，靶机渗透先看看Web服务再说。靶机渗透浏览器打开80端口，一个简单的登录页面，没有验证码，没有HTTPS，甚至没有基本的输入过滤。这种粗糙感让我有点兴奋——管理员显然没把安全当回事。

手动测试了几个常见SQL注入语句，用户名框输入' OR 1=1 --，密码随便填，点击登录，直接跳转到了管理后台。连sqlmap都懒得启动，这种手写SQL的站点，注入点往往简单得让人想笑。后台里有个文件上传功能，限制只允许jpg和png，但前端验证而已。我抓包改了Content-Type和扩展名，上传了一个带PHP反弹shell的图片马。

shell到手那一刻，机器回连到我的监听端口，弹出来一个www-data账户的低权限shell。这时候别急着高兴，真正的麻烦才开始。查看系统内核版本——Ubuntu 12.04，Linux 3.2.0。脑子里立刻蹦出DirtyCow，这个2016年曝出的内核提权漏洞，影响所有Linux 2.6.22之后的版本，直到2017年才修复。靶机管理员显然没打过补丁。

编译exploit，上传，执行。等了三秒，id命令返回uid=0(root)。整个过程不到四十分钟，比我预想的顺利得多。但说实话，这种顺利恰恰暴露了一个现实问题——很多所谓的“渗透测试靶场”，其系统配置还停留在十年前的安全水平。你真正在真实企业内网里碰到的系统，往往打着补丁、装了WAF、开了SELinux，绝不会让你这么轻松。

靶机渗透的价值不在于让你产生“我是黑客大神”的错觉，而是训练一种条件反射：看到端口就知道可能跑什么服务，看到框架版本就能联想到已知CVE，拿到低权限shell后第一反应是查看内核和sudo配置。这些肌肉记忆，只能靠一次次重复打靶来建立。

当然，也有翻车的时候。上个月打一台Windows靶机，折腾了三个小时，最后发现漏洞出在某个第三方软件的默认凭证上——我一直在硬怼系统本身，却忽略了应用层最蠢的入口。那次教训比任何成功都深刻。

夜深了，屏幕上的root提示符还在闪烁。我关掉终端，心里清楚，真正的攻防从来不在靶场里，而在那些没有标注“练习用”的系统中。靶机只是磨刀石，刀磨快了，终究要上真正的战场。