域内渗透实战教学文档<\/h1>

1. 信息收集阶段<\/h2>

1.1 端口扫描<\/h3>

工具<\/strong>：nmap
目标<\/strong>：识别开放端口和服务
发现端口<\/strong>：<\/p>

22端口：SSH服务<\/li>
80端口：HTTP服务<\/li>
8761端口：Eureka服务注册中心<\/li> <\/ul>
详细扫描命令<\/strong>：<\/p>
nmap -sV -sC target_ip <\/span><\/span><\/code><\/pre>系统识别<\/strong>：Ubuntu 20.04 focal<\/p> 1.2 Web应用侦察<\/h3> 访问结果<\/strong>：<\/p> 发现商品展示页面<\/li> 不存在的接口触发Spring框架报错页面<\/li> 存在敏感目录和文件泄露<\/li> <\/ul> 1.3 目录爆破<\/h3> 发现关键文件<\/strong>：heap dump内存转储文件泄露文件路径<\/strong>：通过目录扫描工具发现可下载的heap dump文件<\/p> 2. 内存转储分析<\/h2> 2.1 手动分析<\/h3> 工具<\/strong>：VM虚拟机内存分析工具分析内容<\/strong>：<\/p> 检查内存中的对象实例<\/li> 搜索敏感字符串和凭证信息<\/li> <\/ul> 2.2 自动化分析<\/h3> 工具<\/strong>：JDumpSpider 发现关键信息<\/strong>：<\/p> jdbc:mysql:\/\/localhost:3306\/Furni_WebApp_DB username=oscar190 password=0sc@r190_S0l!dP@sswd <\/code><\/pre> 2.3 凭证验证<\/h3> 工具<\/strong>：netexec 验证结果<\/strong>：数据库凭证有效，可用于后续攻击<\/p> 3. 初始访问<\/h2> 3.1 SSH登录<\/h3> 使用凭证<\/strong>：<\/p> 用户名：oscar190<\/li> 密码：0sc@r190_S0l!dP@sswd<\/li> <\/ul> 登录命令<\/strong>：<\/p> ssh oscar190@target_ip <\/span><\/span><\/code><\/pre>4. 内网信息收集<\/h2> 4.1 文件系统侦察<\/h3> 关键发现<\/strong>：<\/p> 网站目录结构分析<\/li> 用户枚举发现miranda用户<\/li> 发现运行的log_analyse.sh脚本<\/li> <\/ul> 4.2 进程监控<\/h3> 工具<\/strong>：pspy 发现<\/strong>：<\/p> 以miranda身份运行的进程<\/li> 定时任务执行模式<\/li> <\/ul> 4.3 网络配置分析<\/h3> 检查内容<\/strong>：<\/p> nginx配置文件：\/etc\/nginx\/sites-enabled\/default<\/li> 应用程序配置文件<\/li> <\/ul> 4.4 配置文件分析<\/h3> 关键文件<\/strong>：<\/p> .\/Furni\/target\/classes\/application.properties<\/code><\/li> .\/cloud-gateway\/target\/classes\/application.yaml<\/code><\/li> <\/ol> 发现凭证<\/strong>：<\/p> eureka.client.service-url.defaultZone=http:\/\/EurekaSrvr:0scarPWDisTheB3st@localhost:8761\/eureka\/ <\/code><\/pre> 5. 漏洞利用<\/h2> 5.1 环境分析<\/h3> 网络拓扑<\/strong>：<\/p> 本地网络内部存在两个后端服务：webservice和secretservice<\/li> Spring Cloud Gateway配置将所有HTTP请求路由到webservice<\/li> 从网关到secretservice没有HTTP路由<\/li> Eureka服务器暴露在DMZ区域<\/li> <\/ul> 5.2 攻击向量1：服务器端请求伪造(SSRF)<\/h3> 利用点<\/strong>：通过构造特定请求实现SSRF攻击<\/p> 5.3 攻击向量2：流量劫持和XSS<\/h3> 攻击步骤<\/strong>：<\/p> 注册名为"USER-MANAGEMENT-SERVICE"的恶意应用<\/li> 将服务指向攻击者控制的主机<\/li> 劫持用户流量，捕获登录凭证<\/li> <\/ol> 捕获的登录请求<\/strong>：<\/p> POST<\/span> \/login HTTP<\/span>\/<\/span>1.1<\/span> <\/span><\/span>username=miranda.wise%40furni.htb<\/span> <\/span><\/span>password=IL%21veT0Be%26BeT0L0ve <\/span><\/span><\/code><\/pre>6. 权限提升<\/h2> 6.1 脚本分析<\/h3> 目标文件<\/strong>：log_analyse.sh 功能<\/strong>：分析日志文件并输出到log_analysis.txt<\/p> 关键代码段<\/strong>：<\/p> analyze_http_statuses()<\/span> {<\/span> <\/span><\/span> while<\/span> IFS=<\/span> read -r line; do<\/span> <\/span><\/span> code=<\/span>$(<\/span>echo "<\/span>$line"<\/span> | grep -oP 'Status: \K.*'<\/span>)<\/span> <\/span><\/span> # 状态码处理逻辑<\/span> <\/span><\/span> done<\/span> < <(<\/span>grep "HTTP.*Status: "<\/span> "<\/span>$LOG_FILE"<\/span>)<\/span> <\/span><\/span>}<\/span> <\/span><\/span><\/code><\/pre>6.2 命令注入漏洞<\/h3> 漏洞点<\/strong>：脚本中的状态码提取存在命令注入风险<\/p> 利用方法<\/strong>：<\/p> 修改application.log文件<\/li> 注入恶意命令到状态码字段<\/li> <\/ol> POC构造<\/strong>：<\/p> echo 'HTTP Status: x[$(cp \/bin\/bash \/tmp\/test1; chmod 6777 \/tmp\/test1)]'<\/span> > application.log <\/span><\/span><\/code><\/pre>6.3 权限提升执行<\/h3> 攻击流程<\/strong>：<\/p> 通过命令注入复制bash到临时目录<\/li> 设置SUID权限<\/li> 获取root权限<\/li> <\/ol> 最终结果<\/strong>：成功获取系统root权限<\/p> 7. 技术要点总结<\/h2> 7.1 关键攻击路径<\/h3> 信息泄露<\/strong>：heap dump文件泄露数据库凭证<\/li> 横向移动<\/strong>：利用捕获的凭证进行SSH登录<\/li> 权限提升<\/strong>：通过日志分析脚本的命令注入漏洞<\/li> <\/ol> 7.2 防御建议<\/h3> 敏感信息保护<\/strong>：避免内存转储文件公开访问<\/li> 输入验证<\/strong>：对所有用户输入进行严格过滤<\/li> 最小权限原则<\/strong>：服务运行使用最小必要权限<\/li> 网络隔离<\/strong>：正确配置网络边界和访问控制<\/li> <\/ol> 7.3 工具使用总结<\/h3> 侦察阶段<\/strong>：nmap、目录扫描工具<\/li> 数据分析<\/strong>：JDumpSpider、手动内存分析<\/li> 漏洞利用<\/strong>：netexec、自定义脚本<\/li> 权限提升<\/strong>：命令注入技术<\/li> <\/ul> 本教学文档完整再现了从外部侦察到获取root权限的完整渗透测试流程，涵盖了现代Web应用渗透测试的核心技术和方法。<\/p>

域内渗透实战教学文档<\/h1>

1. 信息收集阶段<\/h2>

1.3 目录爆破<\/h3> 发现关键文件<\/strong>：heap dump内存转储文件泄露 文件路径<\/strong>：通过目录扫描工具发现可下载的heap dump文件<\/p>

2.3 凭证验证<\/h3> 工具<\/strong>：netexec 验证结果<\/strong>：数据库凭证有效，可用于后续攻击<\/p>

4. 内网信息收集<\/h2>

5. 漏洞利用<\/h2>

5.2 攻击向量1：服务器端请求伪造(SSRF)<\/h3> 利用点<\/strong>：通过构造特定请求实现SSRF攻击<\/p>

6. 权限提升<\/h2>

1.3 目录爆破<\/h3>
发现关键文件<\/strong>：heap dump内存转储文件泄露
文件路径<\/strong>：通过目录扫描工具发现可下载的heap dump文件<\/p>

2.3 凭证验证<\/h3>
工具<\/strong>：netexec
验证结果<\/strong>：数据库凭证有效，可用于后续攻击<\/p>

5.2 攻击向量1：服务器端请求伪造(SSRF)<\/h3>
利用点<\/strong>：通过构造特定请求实现SSRF攻击<\/p>