网络攻防实战研究：漏洞利用与提权

凌晨两点，网络我盯着屏幕上那个跳动的攻防光标。目标服务器开着445端口，实战SMB服务版本老得能进博物馆。研究MS17-010，漏洞利用永恒之蓝，提权这个漏洞被反复利用过上万次，网络但依然有效——因为总有人懒得打补丁。攻防我敲下一条meterpreter会话命令，实战几秒钟后，研究系统返回了`NT AUTHORITY\SYSTEM`权限。漏洞利用整个过程没超过四分钟。提权

提权这事儿，网络说白了就是攻防一场“权限的攀岩”。你从Webshell那点可怜的实战`IIS_USER`权限开始，往上爬。爬的方式千奇百怪——有的靠内核漏洞，像脏牛、Dirty Pipe，那是直接掀桌子；有的靠服务配置错误，比如某个跑着`SYSTEM`权限的第三方服务，它的可执行文件目录居然允许普通用户写。你替换掉它的exe，等它重启，你就成了系统。最蠢的提权是弱口令，但最有效的往往也是弱口令。我见过一台数据库服务器，`sa`密码是`sa123`，提权过程就是登录一下的事。

漏洞利用不是照搬PoC。你得明白每个exploit在干什么。比如某个缓冲区溢出，你往栈里塞了3000字节的shellcode，但实际可利用的偏移是第276字节。你盲目复制公开代码，结果目标机器装了ASLR，地址随机化让你的shellcode扑了个空。这时候你得自己算偏移，找ret2libc的地址，或者用heap spray把shellcode撒满内存。这不是念经，是手艺活。

有一次实战，目标内网有台打印机，开着9100端口。那端口本来是打印协议用的，但固件里藏了个调试接口，直接以root权限执行命令。没人会去patch打印机固件。我通过它做了跳板，横向移动到了财务内网。你看，攻击面永远比你想象的大——路由器、摄像头、门禁系统，这些IoT设备固件漏洞一堆，而且运维基本不管。

提权之后干什么？不是急着翻文件。先关掉防火墙对你这IP的拦截，再清掉日志里你的痕迹。Windows下用`wevtutil`清事件日志，Linux下直接删掉`/var/log/secure`里相关行。但别全删，全删反而惹眼。你只删掉自己登录那几条，保留其他正常记录，像贼进了屋只拿走抽屉里的现金，还顺手把翻乱的抽屉恢复原样。

防御方也别觉得无解。你打补丁的速度能赶上漏洞公开的速度吗？不能。那至少做三层事：第一，隔离所有管理端口，别让445、3389裸奔到外网；第二，监控异常进程行为——一个Web应用突然去调用`cmd.exe`，这就是提权尝试的信号；第三，给每个服务配上最小权限账户，就算被攻破，对方拿到的也是普通用户，提权难度陡增。

攻防就是猫鼠游戏。攻击者研究新漏洞，防御者研究攻击者。我见过最漂亮的防御，是蜜罐里放了份假财务表，攻击者提权成功后兴奋地下载，结果那份文件带着水印，直接暴露了内网跳板IP。攻击者以为赢了，其实早就被看穿了。

技术本身没有善恶，但用技术的人有。研究漏洞利用和提权，不是为了炫耀，而是为了知道对手怎么想。你只有亲手提过一次权，才明白为什么数据库不能开xp_cmdshell，为什么不要用管理员账号跑业务服务。纸上谈兵没用，实战里流过的汗，比看一百篇漏洞分析都值钱。