kali linux入侵教程：从扫描到提权的侵教真实路径

凌晨两点，我对着屏幕上一台开放了22端口的侵教靶机发呆。nmap扫出来的侵教结果干净得吓人——只开了SSH和HTTP。这种配置反而让人不安，侵教太像蜜罐了。侵教但教程总得写点实在的侵教，那就从最基础的侵教开始：信息收集不是跑个工具就完事，你得学会读输出。侵教

先拿nmap的侵教`-sV`版本探测说事。很多人扫完就扔一边，侵教看到"OpenSSH 7.2p2"就急着去搜exp。侵教兄弟，侵教先看看banner后面有没有括号——`Ubuntu 16.04`？侵教那意味着systemd版本可能能利用，但更可能你连登录都费劲。侵教我用`-sC`跑默认脚本，侵教结果在HTTP头里发现`X-Powered-By: PHP/5.5.9`。老版本PHP，配合`CVE-2019-11043`的fastcgi漏洞，这就有戏了。

但别急着打。我习惯先挂代理，用`proxychains`把流量绕三圈。不是怕被溯源，而是想练手——真实渗透里你永远不知道目标背后有什么。接着上`nikto`扫目录，发现`/admin/`下有个`upload.php`。上传点？有意思。我试着传个图片马，结果后端只校验了`Content-Type`。改个包头，`image/png`伪装，shell就进去了。

拿到webshell只是开始。我连的是`www-data`用户，权限低得可怜。这时候`linpeas.sh`是神器，扔上去跑一遍，它会告诉你哪些SUID文件可疑、哪些定时任务能利用。我这台靶机有个`/usr/bin/find`带SUID位——经典配置。`find / -exec whoami \;`，直接root。但真实环境哪有这么蠢？更多时候你得靠内核漏洞。

有一次打内网，目标打补丁勤快，内核漏洞全堵死了。我翻来覆去，最后在`/var/www/html`的备份文件里找到数据库连接串，密码是`admin123`。用这个密码试SSH，居然能登进去——管理员把数据库密码和系统密码设成一样的。这让我想起某次在真实项目里，财务部的WiFi密码是`company@2020`，而他们的域管密码是`company@2020!`。人类懒惰的本性，比任何0day都好用。

提权后记得留后门。我偏好改SSH的`authorized_keys`，加个自己的公钥。但别傻到直接覆盖——先备份原来的，用`cat >>`追加，然后`chmod 600`。更隐蔽的做法是改`/etc/ssh/sshd_config`，加个`Port 2222`的监听，再用iptables把来源IP限制在特定段。这样即使管理员检查日志，也只会看到正常流量。

最后说点得罪人的。网上那些"三分钟入侵网站"的视频，十有八九是拿已经配置好漏洞的靶机演的。真实世界的kali使用，90%时间在写报告和调参数。我遇到过最讽刺的事：某次授权测试，客户要求"必须攻破"，结果他们的服务器是2003年的Windows Server，开着默认共享。我用了五分钟进去，却花了三小时证明这不是我伪造的截图。

工具只是放大器。你脑子里没有网络协议、系统权限模型、应用逻辑漏洞的底子，装一百个kali主题的终端皮肤也没用。下次你跑`hydra`爆破前，先想想：这个管理员会不会用`password`当密码？如果会，那你还跑字典干嘛，直接试啊。