kali漏洞攻击

Metasploitable 2 的漏洞 80 端口跑着一个叫 DVWA 的网站，默认口令 admin/password。攻击我输进去，漏洞把安全等级调到 low，攻击然后在 SQL Injection 页面敲了个 1' OR '1'='1。漏洞页面直接弹出了所有用户数据。攻击这不是漏洞什么高深操作，但每次看到这个结果，攻击我还是漏洞会愣一下——一个故意留洞的靶机尚且如此，真实环境里那些忘了改默认配置的攻击站点呢？

Kali 里的漏洞攻击，核心工具就那么几个。漏洞nmap 扫端口，攻击nikto 扫 web 目录，漏洞searchsploit 查 exp，攻击msfconsole 负责最后的漏洞利用。这套流程我走过几百遍，但真正决定成败的往往不是工具本身，而是信息收集阶段那些不起眼的细节。比如目标服务器返回的 HTTP 头里藏着的中间件版本号，比如 robots.txt 里被注释掉的路径，比如一个没设密码的 phpMyAdmin。

从扫描到入口

上周帮朋友看一个授权测试的小站。nmap 扫出来开了 22、80、3306。80 端口是个 WordPress，版本 5.7.2。searchsploit wordpress 5.7 返回了十几个结果，其中一个未授权文件上传的 exp 正好匹配。但真正让我进去的不是这个 exp——wp-login.php 页面上，用户名枚举漏洞暴露了 admin 这个账号，配合一个弱口令字典，五分钟就进了后台。

这里有个细节：很多人拿到 shell 就急着提权，但 WordPress 后台的插件编辑器可以直接写 PHP 代码。我插了个一句话木马，用 curl 连上去，权限直接就是 www-data。整个过程没用到 msfconsole，也没触发任何 WAF 规则。工具是死的，思路是活的。

Metasploit 的取舍

msfconsole 确实方便。use exploit/multi/handler，set payload，run，一条龙。但方便的东西往往有代价。默认的 payload 特征太明显，稍微像样点的 IDS 都能识别。我习惯用 msfvenom 生成一个自定义的 elf 或者 exe，编码器换两轮，再配合一个看起来正常的文件名。比如 invoice_2024.pdf.exe 这种老套路，在钓鱼场景里依然有效——不是技术多高明，是人性没变过。

另一个坑是 meterpreter 会话的稳定性。目标机器一重启，或者网络抖一下，会话就断了。所以拿到 shell 之后第一件事永远是留后门。crontab 加一条反弹 shell，或者往 authorized_keys 里塞个公钥，比什么都实在。meterpreter 的 persistence 模块也能用，但生成的注册表项太显眼，我一般手动来。

那些没人提的脏活

漏洞攻击里最耗时的部分从来不是 exploitation，是 enumeration。Linux 提权讲究看 SUID、看 cron、看内核版本。Windows 提权要看服务权限、看未引用的服务路径、看 AlwaysInstallElevated 注册表项。这些操作在 Kali 里都有对应的脚本——LinEnum.sh、PowerUp.ps1、winPEAS——但脚本跑出来的结果动辄几百行，真正有用的可能就藏在中间某一行。

我见过一个案例：目标机器上装了个老版本的 sudo，CVE-2021-3156 直接提权。但扫描器没报，因为版本号被手动改过。最后是靠 sudo --version 的输出里一个不起眼的编译日期判断出来的。这种活儿，工具帮不了你，只能靠经验和对细节的敏感。

Kali 是个好起点，但别把它当终点。里面的工具更新很快，但漏洞利用的逻辑十年没变过——找到入口，扩大战果，维持访问，清理痕迹。每一步都需要你亲自去试、去调、去失败几次。那些一键 getshell 的教程看看就好，真到实战里，一个空格敲错，反弹 shell 就变成反弹了个寂寞。

本文地址：http://www.79wt.cn/news/1688d1699815.html