Web渗透教程

靶机是透教个Ubuntu，端口扫出来只有80和22。透教我盯着Nmap输出愣了三秒——这年头谁还只开两个端口？透教八成是个蜜罐，或者干脆就是透教个练习环境。不管了，透教先看看web服务。透教

首页是透教个博客，CMS是透教WordPress。WPScan跑了一圈，透教插件版本老得能进博物馆：`wp-file-manager` 6.0。透教这玩意儿有个经典RCE，透教CVE-2020-25213，透教直接上传PHP文件就能拿shell。透教我懒得用现成exp，透教手工构造了个请求，透教把恶意代码塞进图片头里，后缀改`.php`，上传。返回路径一拼接，访问`/wp-content/plugins/wp-file-manager/files/evil.php`，浏览器空白，但我知道命令执行了。

shell是www-data，低权限。翻了一圈，`/var/www/html/wp-config.php`里有数据库密码，但MySQL只监听本地。试着连一下，root空密码？运气好。导出`wp_users`表，admin的hash是`$P$B...`，拿john跑字典，十分钟后出来`admin123`。这密码比门锁还敷衍。

提权才是重头戏。`sudo -l`显示`(ALL) NOPASSWD: /usr/bin/find`。看到这个我差点笑出声——find提权是教科书级别的操作。执行`sudo find / -exec /bin/bash \;`，直接root。整个过程不到二十分钟，靶机设计者的意图明显得像个路标。

但真实渗透哪有这么顺。上周碰到个政府站，用了WAF，我每次请求都触发拦截规则。最后是靠`X-Forwarded-For`头注入SQL语句，绕过了检测。还有一次，目标站是个老旧的ASP.NET应用，参数污染导致报错信息泄露了连接字符串，我顺着那个连接串直接连到了内网数据库。web渗透的捷径从来不是0day，而是配置疏漏和人的惯性。

说回技术细节。SQL注入别老想着`' or 1=1--`，现在连小学生都知道注释符。试试`json`格式的POST体，或者`multipart/form-data`里藏payload。报错注入用`extractvalue`和`updatexml`，盲注就靠`sleep`和`benchmark`计时。XSS呢，别只弹alert，试试`

文件上传漏洞，别只想着改扩展名。检查一下服务端是否校验了MIME类型，如果只检查`Content-Type`，直接改成`image/jpeg`就行。要是过滤了黑名单后缀，试试`.php5`、`.phtml`、`.phar`。还有解析漏洞，Nginx配错时，`/upload/1.jpg/.php`可能直接执行PHP代码。

最后说点实在的。渗透测试七成时间在信息收集，别急着动手。`google dork`找子域名，`censys`搜暴露的端口，`theHarvester`刮邮箱。拿到一个弱口令比挖十个RCE都管用。工具是死的，思路是活的——你真正要练的是“看到端口就知道下一步干什么”的本能。

哦对了，记得把所有操作记进日志。出了事，那玩意儿能保你饭碗。