渗透实验总结

靶机上线那一刻，渗透实验我就知道这次渗透八成能成。总结Web服务跑着三年前的渗透实验ThinkPHP，版本号都没改，总结报错页面直接把物理路径吐了出来。渗透实验这种低垂的总结果实，不摘都对不起自己。渗透实验

信息收集阶段没花太多时间。总结Nmap扫了一遍C段，渗透实验存活主机十七台，总结开了80和3306的渗透实验占大半。用dirsearch跑了二十分钟目录，总结后台路径/admin/直接就出来了，渗透实验连验证码都没有。总结试了admin/admin，渗透实验提示密码错误；admin/123456，还是错误。换思路，翻robots.txt，里面躺着一行Disallow: /backup.zip。下载解压，数据库配置文件明文写着账号密码，root/root123。这安全意识，像把钥匙插在门上还贴了张纸条告诉你锁在哪。

连上MySQL，库不多，但有个user表。密码字段是md5，丢进cmd5查，admin的哈希秒出明文：admin888。登录后台，上传点过滤了php后缀，但没防.htaccess。传了个.htaccess把jpg解析成php，再传图片马，蚁剑直接连上。整个过程没有一步是复杂的漏洞利用，全是配置疏忽堆出来的通道。

提权环节稍微费了点劲。Web目录在/www/wwwroot下，权限是www-data，系统内核3.10，脏牛能用但编译环境缺gcc。翻/home目录，发现一个运维账号，.bash_history里留着sudo su的密码：Ops@2023。su过去，id一看，已经在sudo组。sudo -l显示NOPASSWD: ALL。这等于把root权限写在脸上。拿flag的时候我甚至有点失落——太顺了，顺到像在打CTF而不是实战。

横向移动做了两跳。第一跳从Web机连到内网数据库，3306端口没做访问控制，用同样的root/root123直接进。第二跳通过数据库的LOAD_FILE读到了另一台机器的SSH私钥，登录后发现那台机器挂着Jenkins，未授权访问，脚本命令行里直接能执行系统命令。三台机器，同一个密码，同一套运维习惯。这种“一套密码走天下”的做法，在真实环境里比任何0day都致命。

清理痕迹时我犹豫了一下。日志里我的访问记录明晃晃挂着，但想了想，这是授权测试，留着反而能帮对方定位问题。删了上传的shell，退了所有会话，把改过的配置还原。最后写了份报告，重点没放在漏洞复现上，而是列了三条：密码复用、敏感文件暴露、权限边界模糊。技术漏洞好修，运维习惯难改。

这次实验最大的感受是，渗透测试里最锋利的刀往往不是漏洞利用代码，而是对人的假设。假设运维会改默认密码，假设开发不会把备份文件放Web目录，假设内网机器之间会有信任隔离。一旦这些假设不成立，防线就是纸糊的。我见过太多人沉迷于研究花哨的绕过技巧，却忽略了最基础的攻击面——那些因为“图省事”而留下的口子。下次再遇到类似环境，我可能连扫描器都不用开，直接试密码就行。

很赞哦!（32168）