秦岭靶场渗透测试1信息采集与网络扫描 —— 实验记录本文记录这组实验的完整过程做了哪些操作、关键步骤是什么、遇到过什么问题以及由此引出的原理分析。实验包含五个小实验内网扫描、本机信息搜集以及 fscan 的三步教程存活探测与端口扫描、系统信息探测、WEB 信息探测。文中截图均取自实验教学中的实际操作画面。0. 实验定位信息收集所处的位置五个小实验看似分散实际构成同一条链路进入内网后首要任务是先摸清网络里有什么而不是直接尝试漏洞利用。信息收集通常分为主动、被动、技术和人员四类本次实验使用的均属主动、技术层面的手段——通过 ICMP 探测、端口扫描、服务识别等方式主动获取目标信息。工具选择上本次同时使用了 Nishang 与 fscan原因是两者定位不同Nishang 的 Invoke-PortScan 是 PowerShell 脚本需在主机内部执行适合从内网主机出发对同网段进行探测fscan 是 Go 编译而成的单文件程序无需额外依赖即可在攻击机上运行覆盖范围广、速度较快适合从外部批量扫描。实验环境Nishang 部分为一台域内 Windows 7192.168.1.2服务器为 Server 2012192.168.1.3fscan 部分为攻击机 192.168.0.3 对靶机 192.168.0.4。1. 小实验一使用 Nishang 的 Invoke-PortScan 扫描内网1.1 进入目标主机第一步以 console 登录 Windows 7-2在控制面板中将本地连接的 DNS 改为192.168.1.3再通过 RDP 登录。此处修改 DNS 的原因该主机处于域环境中将 DNS 指向服务器后主机才能正常解析域内域名。这属于进入内网环境的必要前置步骤。登录后用ipconfig确认本机地址结果与预期一致本机 IP 为 192.168.1.2ipconfig1.2 阅读脚本源码脚本位于桌面的nishang-master\Scan目录下文件名为Invoke-PortScan.ps1。本次并未直接运行脚本而是先阅读了源码以便理解其工作原理通过四层循环组合 IP 的四段生成待扫描的地址范围通过System.Net.NetworkInformation.Ping发送 ICMP 请求判断主机是否存活通过[Net.DNS]::BeginGetHostEntry将 IP 反向解析为主机名通过System.Net.Sockets.TcpClient尝试建立 TCP 连接以此判断端口是否开放。一个值得注意的细节脚本判断端口开放时并非发送探测包看是否有回应而是实际发起 TCP 连接。连接成功即说明该端口后确有服务在监听。这一思路与后续 fscan 的实现是一致的。1.3 运行脚本与依赖报错打开 PowerShellcd到脚本目录后导入模块Import-Module.\nishang.psm1导入时出现大量 Requires 相关报错该报错的原因是脚本声明了对特定版本模块的依赖而当前环境未满足不影响主体功能忽略后继续执行即可。这里也提示一点遇到报错应先判断其具体含义再决定是否处理而不必急于更换环境。1.4 逐项增加扫描维度先仅扫描存活主机Invoke-PortScan-StartAddress 192.168.1.1-EndAddress 192.168.1.10扫描出 4 个 IP.1 为网关.2/.3/.4 为主机加上-ResolveHost参数将 IP 反向解析为主机名得到J0HN.TEST.LOCAL、WIN-SERVER-2012.TEST.LOCAL等名称可以直接判断出哪台是服务器——主机名比单纯的 IP 更便于识别主机角色。再加上-ScanPort进行端口扫描Invoke-PortScan-StartAddress 192.168.1.1-EndAddress 192.168.1.10-ResolveHost-ScanPort结果中 192.168.1.2 开放了139、445、3389服务器上还多出 53、389 等端口分别对应 SMB 文件共享、远程桌面、DNS 与 LDAP 服务。分析到这一步攻击面已基本清晰——445 常用于横向移动3389 是获取图形化控制权的通道389/53 表明该主机属于域内服务器。信息收集的价值正在于此在尚未发起攻击之前就已经明确了后续的攻击方向。另外还测试了-Ports 445仅扫描单个端口与-TimeOut 500缩短连接超时两个参数可以看出这类参数本质上是在权衡扫描速度与覆盖范围速度快则可能漏判覆盖全则耗时更长。2. 小实验二本机信息搜集本实验的前提是已经取得一台主机的权限需要在该主机上进一步获取信息。除ipconfig、systeminfo外可用命令较多且每一条都对应后续的某项决策。先查看网络配置systeminfo用于查看系统版本与硬件信息wmic service list brief用于查看服务状态均为 OKtasklist用于查看进程需要重点关注tasklist中的杀毒软件进程。后续若要投放载荷杀软是最主要的阻碍先确认其是否存在、进程名称是什么才能判断是否需要考虑免杀。账号相关信息可通过net user用户列表、net localgroup administrators管理员组成员、query user当前在线用户获取。网络层面继续收集netstat -ano其余还有net share共享资源、route print路由表、netsh firewall show config防火墙配置。route print的作用容易被忽略路由表可以反映该主机还能到达哪些网段。若它连接着其他网段那就是横向移动的下一跳目标。最后确认当前所处的权限层级whoami /all再执行net config workstation确认域/工作组环境。小结本机信息搜集并非随意查看每条命令都对应一个后续决策——杀软决定是否需要免杀管理员组决定攻击目标路由表与 netstat 决定横向方向防火墙决定可用端口。3. 小实验三fscan 存活探测与端口扫描此处更换工具的原因Nishang 是 PowerShell 脚本需要先在主机上运行fscan 是独立可执行程序可直接从攻击机发起较大范围的扫描更适合先圈定目标范围。先在靶机上自检确认网络连通与服务状态ping 192.168.0.2 ping 192.168.0.3 netstat -ano靶机上 445、3306、3389 均处于 LISTENING 状态这也成为后续核对 fscan 扫描结果的基准。回到攻击机通过桌面fscan文件夹中的cmd.bat进入命令行dir显示工具包内包含 Go 语言环境go.mod、main.gofscan.exe -help显示版本为1.8.1。先做存活扫描fscan.exe -h 192.168.0.0/24 -m icmp扫描出 3 台存活主机.2 网关、.3、.4整段扫描速度明显快于逐个 ping 的方式。再扫描高危端口fscan.exe -h 192.168.0.4 -np -nobr -nopoc -p 21,22,23,25,445,1433,1521,3306,3389,6379,7001结果为 445、3389、3306 开放与靶机自检时 netstat 的结果完全一致说明 fscan 的扫描结果是可信的。参数说明-np跳过存活探测-nobr跳过爆破-nopoc跳过 web poc 检测教学中的解释是减小流量、防止暴露。其原因也很明确真实内网通常部署有 IDS/IPS爆破会产生大量失败登录POC 检测会发送特征明显的请求容易触发告警。因此本次先完成低风险的探测暂不进行爆破与漏洞验证。4. 小实验四fscan netbios 模块探测系统信息先在靶机上查看计算机属性Windows 7专业版、计算机名fscan-1、工作组WORKGROUP再用systeminfo确认版本号为6.1.7600。记录这两组信息用于后续核对扫描结果。在攻击机上执行fscan.exe -h 192.168.0.4 -np -m netbios结果中出现Windows 7 Professional 7600 / 6.1、FSCAN-1、WORKGROUP与靶机本地信息完全一致。原理在未登录目标的情况下仍能获取系统信息是因为 NetBIOS 在 Windows 中通过137名称服务、138数据报、139会话三个端口通信。向 137/139 端口发送名称查询并配合一次 SMB 协商即可获取主机名、工作组以及系统类型与版本。由此可以看出系统版本等信息可能被目标主机主动暴露运维时应及时关闭或过滤这类旧协议。5. 小实验五fscan WEB 信息探测这一节的步骤逻辑比较清晰在靶机上用火狐访问www.dede.com站点可正常访问标题为我的网站。滑动到页面底部可以看到版本信息Powered by DedeCms V57_UTF8_SP1——CMS 为 DedeCMS版本 5.7。教学中提示该版本存在CVE-2018-6910 信息泄露漏洞。随后从攻击机执行fscan.exe -u http://www.dede.com结果中的三行信息正好对应三个层次WebTitle ... code:200 title:我的网站—— 站点可访问状态码 200InfoScan ... [CMS]—— 指纹识别出其为 CMS 站点poc-yaml-dedecms-cve-2018-6910—— 内置 POC 判定漏洞存在。分析WEB 信息探测的基本思路可以归纳为三段式——指纹识别 → 版本确认 → 漏洞匹配。先确定是什么再确定是哪个版本最后才能判断是否存在漏洞。此外该信息泄露漏洞的危害不仅是泄露少量配置其泄露的数据库连接信息、后台路径等往往会成为后续攻击的突破口。6. 五个小实验之间的关系整体链路如下存活探测 → 端口扫描 → 服务/系统识别 → WEB 指纹与漏洞识别 → 攻击面清单 → 后续利用Nishang适合在主机内部执行、深入单个网段fscan适合从外部快速覆盖较大范围两者的结果可以相互印证fscan 得到的端口与系统信息与靶机本地 netstat/systeminfo 的结果一致。防御视角从防守方角度看这组实验也给出了几点提示445/3389/3306 等端口不宜在内网中无限制暴露应做访问控制CMS 版本应妥善隐藏并及时更新避免将版本号直接显示在页面底部内网扫描存在明显特征大量 ICMP 请求、大量 TCP 连接尝试IDS/IPS 应能够识别。尚待完成的内容本次刻意用-nobr跳过了爆破弱口令爆破尚未实际验证计划单独搭建环境进行测试取得上述信息后如何从信息收集过渡到横向移动例如利用 445 进行 SMB 横向是下一步的学习方向。7. 总结起初对扫描的理解仅限于执行一条命令并等待结果。实际做完后发现耗时更多的是分析参数为什么这样选、报错是否需要处理、某个端口开放意味着什么、这条结果能否与其他信息互相印证。信息收集这一步看似基础却直接决定后续攻击是否精准。这也是本次实验最主要的收获——在攻防对抗中先看清再出手。爆破尚未实际验证**计划单独搭建环境进行测试取得上述信息后如何从信息收集过渡到横向移动例如利用 445 进行 SMB 横向是下一步的学习方向。
