渗透测试靶机

打开VMware，渗透挂上Kali的测试ISO，网络模式设成NAT——这套动作我重复了不下两百次。靶机但真正让我意识到靶机价值的渗透，是测试2021年那个深夜：我在HackTheBox上卡了六个小时，只因为没注意到8080端口跑着一个Tomcat管理后台，靶机弱口令tomcat/tomcat直接给了shell。渗透从那以后，测试我就养成了一个习惯，靶机每台靶机到手，渗透先跑一遍全端口扫描，测试别信默认的靶机top 1000。

渗透测试靶机本质上就是渗透故意留洞的虚拟机或容器镜像。它们存在的测试意义不是让你“学会工具”，而是靶机逼你在一个没有客户催、没有生产环境压力、随便你搞崩的地方，把攻击链走完整。VulnHub上的靶机偏复古，很多是2015-2018年的作品，漏洞类型以栈溢出、文件包含、弱口令为主。HackTheBox更现代，Active Directory环境、容器逃逸、云元数据服务这些场景都有。TryHackMe则偏向教学，每一步都有提示，适合刚摸Kali的人。

我见过太多人把靶机当CTF打。上来就nmap -sV -p-，扫到端口就搜exploit-db，拿到shell就找flag，提交完事。这没错，但少了点什么。真实渗透中，你拿到一个低权限shell之后，要翻家目录、查sudo -l、看crontab、找SUID文件、检查内核版本。这些步骤在靶机里同样重要，因为很多靶机的提权路径就藏在某个不起眼的备份脚本里。比如某台VulnHub靶机，/opt/backup.sh每分钟以root跑一次，而且对所有人可写。你只需要往里面追加一行bash反向shell，等一分钟，root到手。

选靶机有个坑：别一上来就挑“Hard”难度。我见过有人第一台就打HackTheBox的Blackfield，结果连域环境的基本概念都没搞清，纯浪费时间。合理的路径是：VulnHub的Kioptrix系列练基本功，TryHackMe的Jr Penetration Tester路径补理论，然后HackTheBox的Easy机器练手速和枚举耐心。等你能在不看writeup的情况下三小时内拿下HTB的Easy机器，再碰Medium。

说个具体案例。上个月我打了一台HTB的Windows靶机，叫“Support”。80端口是个自定义Web应用，登录框有SQL注入，但注入点很刁钻——在用户名参数里，而且返回信息被过滤了。我用sqlmap跑了两轮没结果，手动测才发现是布尔盲注。拿到admin密码后登录，发现一个上传功能，上传aspx webshell被拦截，但改成aspx;.jpg就绕过了。这套组合拳在真实环境里也常见：WAF规则不严、文件扩展名黑名单不完整。靶机的好处就是你可以反复试，试到形成肌肉记忆。

别忽略网络拓扑。有些靶机是双网卡，一台作为跳板机，另一台在内网。这时候你需要配置proxychains，或者用ssh -D建socks代理。我见过有人拿到第一台机器后直接nmap扫内网，结果流量没走代理，扫了个寂寞。正确做法是：ssh -D 1080 user@target，然后proxychains nmap -sT -Pn 10.10.10.0/24。注意用-sT，因为socks代理不支持SYN扫描。

最后说个心态问题。靶机打不过去，看writeup不丢人。丢人的是看完writeup只复制命令，不思考为什么。我每看完一个writeup，都会问自己三个问题：这个漏洞的根因是什么？如果目标打了补丁，还有没有其他路径？我能不能用自己的话把攻击链复述一遍？回答不上来，就重新打一遍。靶机不会跑，你有的是时间。