局域网渗透测试msf

凌晨两点，局域我盯着终端里滚动的网渗扫描结果，心里骂了一句——那个测试靶机又换了IP。透测这是局域第三次了，管理员大概以为改个地址就能拦住我。网渗他错了。透测Metasploit框架（msf）在局域网里的局域渗透测试，从来不是网渗靠运气，而是透测靠对协议和配置的精准把控。

先说说最基础的局域发现阶段。别一上来就开msfconsole，网渗那是透测新手干的事。我习惯先用nmap做一次快速扫描，局域但得加点儿技巧：nmap -sS -p- --min-rate 5000 -T4 192.168.1.0/24。网渗SYN扫描快，透测但容易触发IDS。换个思路，用-sT全连接扫描反而更隐蔽，因为大多数中小企业只监控异常连接频率，不会逐个检查TCP握手完成标志。扫描结果出来后，我重点关注445、139、3389这几个端口——Windows机器的老毛病，SMB和RDP常年暴露。

拿到开放端口后，msf就该上场了。但直接search exploit？太天真。我用db_nmap把结果导入PostgreSQL数据库，然后hosts和services命令整理目标。关键一步是vulners插件——如果装了的话，它会自动比对CVE库。没装？那就手动查。记得有一次测试，目标开了8080端口，跑的是老版本Tomcat。我用了exploit/multi/http/tomcat_mgr_upload，但失败了好几次，因为对方改了默认的管理路径。后来我curl了一下首页，发现有个隐藏的/manager-status目录，这才绕过认证上传了war包。

拿下系统权限后，内网横向移动才是重头戏。msf的meterpreter会话建立起来，第一件事不是乱敲命令，而是run post/windows/gather/arp_scanner看看网段里还有谁。接着抓hash：hashdump或者run post/windows/gather/smart_hashdump。但抓完别急着破解，先看看有没有域控。有一次，我在一个只有20台机器的办公室里，发现一台机器开着88端口（Kerberos），那十有八九是域控。我用了auxiliary/admin/dcerpc/samr_dump，直接拉出了所有用户hash，然后离线跑john——弱口令一抓一大把，admin/123456这种，我都懒得吐槽。

最烦人的是绕过杀软。某次测试，目标装了360全家桶，我生成的exe一落地就被查杀。试了shikata_ga_nai编码器，还是不行。后来干脆用msfvenom生成一个powershell脚本，配合exploit/multi/script/web_delivery，让它从内存加载payload。杀软再猛，也拦不住纯内存执行。但注意，别用默认的8080端口——改成443，伪装成HTTPS流量，防火墙那边好过。

写这篇的时候，我又想到一个细节。很多人忽略msf的resource脚本功能。我习惯把常用命令写进auto.rc文件，比如设置全局LHOST、LPORT，自动加载post模块。这样每次渗透测试能省下十分钟重复劳动。别小看这十分钟，在真实攻防演练里，时间就是权限。

最后提醒一句——所有操作别越过法律红线。我测试的都是自己公司授权的内网环境，或者CTF靶场。你拿msf去搞隔壁公司的WiFi，那叫犯罪，不叫渗透测试。工具本身没善恶，但用的人得掂量清楚。