黑客攻防实战视频

凌晨两点，黑客我盯着Wireshark里跳动的攻防数据包，屏幕的实战视频蓝光映在脸上。目标是黑客一台Metasploitable2虚拟机，IP 192.168.56.101。攻防攻击机Kali的实战视频终端里，nmap扫描结果刚出来——21端口开着FTP，黑客vsftpd 2.3.4。攻防这个版本号我太熟了，实战视频2011年植入后门的黑客那个版本。输入searchsploit vsftpd 2.3.4，攻防回车，实战视频Metasploit模块路径直接弹出来。黑客这就是攻防黑客攻防的日常：一个版本号，一条已知漏洞，实战视频剩下的交给框架。

很多人以为黑客攻防是电影里那种飞快敲键盘、绿字瀑布流的场面。实际比那无聊得多。真实渗透测试里，80%的时间花在信息收集上。whois查域名注册信息，dig找DNS记录，theHarvester爬邮箱，shodan搜暴露的摄像头和数据库。我见过一个案例，某公司官网底部写了个“技术支持：某某网络”，顺着这个公司名去GitHub搜，找到他们给客户部署时留下的配置文件，里面硬编码了数据库密码。没用什么0day，就是公开信息拼图。

防御方视角完全不同。蓝队每天看SIEM告警看到麻木，真正有价值的信号淹没在误报里。Windows事件ID 4625是登录失败，4624是登录成功。如果4625短时间暴增然后突然出现4624，基本可以判定密码被爆破成功。但现实是，很多企业连日志留存都做不到三个月。等发现异常，攻击者早就在内网横向移动了。我做过一次红队评估，从外网边界到拿到域控，总共用了四十分钟。最快的一段是内网——因为管理员密码和域管密码是同一个，而且那台机器还开着445端口。

具体到工具链。msfconsole里use exploit/unix/ftp/vsftpd_234_backdoor，设置RHOSTS，run。拿到shell之后第一件事是whoami和uname -a。如果是低权限，就找SUID文件：find / -perm -u=s -type f 2>/dev/null。有一次在某个SUID程序里发现它调用了system("ps aux")，而PATH变量里当前目录排在最前面。写个假的ps脚本放在/tmp，PATH=/tmp:$PATH，再执行那个SUID程序，直接root。这种细节教程视频里很少讲，但实战里经常遇到。

防守方也有狠招。EDR（端点检测与响应）现在能监控进程树。你从Word里启动PowerShell，EDR立刻告警。所以攻击者转向Living-off-the-Land：用系统自带的certutil下载文件，用wmic执行远程命令，用mshta运行VBScript。这些工具本来就在白名单里。我见过一个APT样本，整个攻击链只用了Windows内置的bitsadmin和schtasks，杀软全程沉默。防御方要抓这种，得靠行为分析——比如certutil -urlcache -split -f http://...这种命令行参数组合，正常运维几乎不会用。

说回那台Metasploitable2。拿到root之后，我习惯性看了下/etc/shadow。密码哈希是$1$开头的MD5 crypt。丢进hashcat，-m 500，字典用rockyou.txt。三分钟跑出明文：msfadmin:msfadmin。这就是靶机和真实环境的区别——真实环境里，你拿到的哈希可能来自Kerberoasting，是$krb5tgs$23$*开头的，跑起来得用GPU集群。但原理一样：弱密码、复用密码、默认密码，永远是攻防里最有效的突破口。

录视频的时候我会把Metasploit的show options完整放出来，不剪辑。有人嫌啰嗦，但新手需要看到每个参数怎么填。攻击载荷选cmd/unix/interact还是generic/shell_reverse_tcp，LHOST填哪张网卡的IP，这些细节决定成败。我见过有人对着公网IP填LHOST，结果反弹shell连到路由器上去了。攻防实战里，一个字符的错误就是几小时的排查。