kali渗透实战：一场与时间赛跑的渗透实战攻防

凌晨两点，咖啡机发出最后一声嗡鸣。渗透实战我盯着屏幕上的渗透实战nmap扫描结果，目标主机的渗透实战80端口像一扇虚掩的门，443端口却死死咬住不放。渗透实战这不是渗透实战实验室的沙盒环境，是渗透实战真实客户的授权测试——他们的数据库里躺着三万名用户的个人信息。

我先把nmap的渗透实战扫描参数从-sS换成-sT，慢是渗透实战慢点，但能绕过部分防火墙的渗透实战SYN检测。结果出来了，渗透实战目标运行着Apache 2.4.49，渗透实战这个版本存在路径遍历漏洞，渗透实战CVE编号我记得很清楚：CVE-2021-41773。渗透实战不需要复杂的渗透实战exploit，curl加上一串目录穿越代码就能读到/etc/passwd。

但这只是开胃菜。读文件拿不到shell，得找上传点。我切换思路，用gobuster跑目录爆破，字典选的是raft-large-words，跑了两分钟，一个/admin目录跳出来。进去一看，是个文件上传功能，过滤规则写得跟筛子似的——只检查了Content-Type，没验证文件内容。我上传了一个伪装成jpg的PHP反弹shell，文件名改成shell.php.jpg，服务器直接给存了。

拿到www-data权限后，真正的麻烦才开始。系统内核是Ubuntu 20.04，我试着跑linux-exploit-suggester，弹出一堆漏洞提示，但大多数需要交互式终端。没办法，只能手动编译CVE-2021-4034的pwnkit exploit，这玩意儿利用pkexec的PATH变量处理缺陷，成功率很高。编译时gcc报了两个warning，我懒得管，直接执行——root权限到手。

这时候客户方的监控系统可能已经报警了。我快速收集/etc/shadow的哈希值，用john跑字典，弱密码比想象中多，admin用户居然是"password123"。顺手检查了MySQL的root账户，空密码，直接连进去，把用户表导出来打包。

整个过程花了四小时，比预期久。最耗时的不是技术突破，而是权限提升阶段——目标系统补丁打得比想象中勤快，好几个常用提权漏洞都失效了。最后能成功靠的是那条pwnkit，利用的是系统组件自身的配置失误，跟内核版本无关。

报告里我写了十七条修复建议，从禁用目录遍历到强制强密码策略。客户那边负责对接的工程师脸色不太好看，但这就是渗透测试的价值——趁黑客还没来之前，先把门锁换掉。

凌晨六点，我关掉VMware里的Kali虚拟机，屏幕暗下去的那一刻，窗外天已经亮了。桌上那杯咖啡凉透了，但没关系，这种活儿干多了，肾上腺素比咖啡因管用。