metasploit攻击流程

凌晨两点，攻击一台Windows Server 2012的流程3389端口刚刚暴露在公网。攻击者没有用暴力破解，攻击而是流程启动Metasploit，敲下db_nmap，攻击扫描结果里跳出一个MS17-010漏洞——永恒之蓝。流程整个过程不到四分钟，攻击服务器就弹回了Meterpreter session。流程这就是攻击Metasploit的日常：不是花哨的0day，而是流程把已知漏洞变成可重复的武器。

攻击流程从来不是攻击线性的。但大多数人第一次用Metasploit时，流程会误以为它像自动售货机——投币、攻击选品、流程出货。攻击实际呢？你得先search，再use，然后面对一堆参数发愣。set RHOSTS、set PAYLOAD、exploit，如果没成功，回头改LHOST，或者换个编码器绕过杀软。真正的流程是个循环：侦察、验证、利用、提权、横向移动，每一步都可能失败，然后退回上一步重来。

我第一次实战测试时，对着一个内部靶机跑exploit，等了十秒，屏幕上跳出[*] Meterpreter session 1 opened。那一刻的感觉很奇妙——不是兴奋，而是突然理解了为什么安全圈说“Metasploit是瑞士军刀”。它把端口扫描、漏洞识别、载荷投递、后渗透操作全揉进一个控制台。但刀再锋利，也得知道往哪儿捅。auxiliary/scanner模块里的各种扫描器，才是真正决定成败的前戏。

拿最常见的web攻击举例。你先用wmap或nikto扫出SQL注入点，然后use auxiliary/sqli模块去验证，确认能注入后，再考虑要不要上webshell。这里有个反直觉的点：Metasploit里真正高效的payload往往不是reverse_tcp，而是bind_tcp——尤其当目标在内网，出站流量被严格过滤时。很多人栽在LHOST写错或防火墙拦截回连上，却不肯多试几种连接方式。

提权阶段更考验临场判断。getsystem不是万能的，遇到UAC绕过失败，你得手动查systeminfo，比对windows-exploit-suggester的输出，再挑一个本地提权exp。我见过有人在Win10上反复跑烂大街的MS16-032，结果当然是失败——系统早打了补丁。真正的做法是，先sysinfo看内核版本，再ps看进程列表，说不定某个服务进程带SYSTEM权限，直接migrate过去更省事。

横向移动是流程里最容易被忽略的环节。拿到一台机器不算完，你得route add把路由表指进内网，然后auxiliary/scanner/smb/pipe_auditor扫其他主机。Metasploit的psexec模块在这里大放异彩——只要抓到了明文密码或hash，直接exploit/windows/smb/psexec，像推多米诺骨牌一样一台台沦陷。但记住，kiwi模块抓hash的前提是已拿到SYSTEM权限，否则只能看lsass流口水。

最后说点个人观察：Metasploit的威力不取决于工具本身，而在于你对网络协议的理解深度。同样一个meterpreter命令，有人只会截图、录键，有人能用portfwd把内网数据库端口转发出来，再用auxiliary/admin/mysql/mysql_sql直接查询数据。工具是死的，思路是活的。攻击流程写到这，其实已经不重要了——重要的是你下一次敲exploit之前，有没有先问自己：我到底在打什么，为什么打，打完怎么收尾？