上周三凌晨两点，网络我盯着Wireshark里那条重传了七次的安全TCP流，突然意识到防火墙日志里那个被标记为“可疑扫描”的实验IP，其实是总结我们自己的漏洞扫描器——它被配错了网段。这件事成了整场网络安全实验里最值钱的网络教训：工具永远比人诚实，但前提是安全你得看懂它在说什么。

实验从搭建靶机环境开始。实验我选了Metasploitable2，总结这玩意儿漏洞多得像筛子，网络但省事。安全虚拟机网络设成NAT模式，实验攻击机用Kali。总结第一次用nmap扫端口时，网络我敲了nmap -sS -A 192.168.1.105，安全结果出来一堆open状态，实验顺手就试了vsftpd 2.3.4的后门。Metasploit里exploit/unix/ftp/vsftpd_234_backdoor模块一跑，直接拿到root shell。当时觉得挺顺，后来复盘才发现问题：我根本没确认目标端口是否真的开放，只是碰巧这个靶机没打补丁。真实网络里，防火墙规则、端口敲门、甚至TCP wrappers都可能让这种“顺利”变成泡影。

中间卡得最久的是SQL注入那部分。DVWA靶场里，我把安全等级调到low，用' OR 1=1 --轻松绕过了登录。但调到medium时，同样的payload失效了。抓包看请求，发现后端用了mysql_real_escape_string，但没处理数字型注入点。换成1 OR 1=1又进去了。这里有个细节：DVWA的medium级别只过滤了特殊字符，没做类型转换。我试着手工构造联合查询，1 UNION SELECT user,password FROM users --，字段数不对报错，用order by慢慢试到2，才把哈希拖出来。跑john破解时，admin的密码是password，这种弱口令在真实渗透里几乎绝迹，但靶场里就是让你练手速的。

抓包分析环节反而最折腾。用arpspoof做中间人攻击时，Kali的IP转发没开，受害者直接断网了。echo 1 > /proc/sys/net/ipv4/ip_forward之后，才在Wireshark里看到HTTP明文登录。但现在的网站基本全站HTTPS，这种攻击除了内网老设备，实战意义不大。倒是SSLstrip那套东西，在实验环境里跑通了，可浏览器一更新HSTS，立马歇菜。技术迭代快得让人焦虑。

最后做日志分析时，我故意在靶机上留了SSH暴力破解的痕迹。用hydra -l root -P rockyou.txt ssh://192.168.1.105跑了一刻钟，然后去翻/var/log/auth.log。失败记录里混着几条成功登录——那是我自己手动登的，差点被误判成攻击者得手。这让我想起某次应急响应，客户坚称服务器被入侵，结果查下来是运维用脚本批量改密码，触发了告警。安全设备再智能，也架不住人乱来。

整场实验下来，最深的体会是：漏洞利用脚本网上一抓一大把，但知道为什么能打通、什么情况下打不通，才是分水岭。靶场里顺风顺水，换个环境可能连nmap都扫不出东西。下次再配扫描器，我一定先确认它扫的是不是自己人。