1. 靶机拿下之前环境准备与情报收集思路在正式敲命令之前我想先聊聊这次Funbox2靶机渗透的整体思路。这篇内容来自VulnHub平台的Funbox2是一个典型的Linux提权靶机难度中等偏易但设计上很贴近真实内网环境——它不会像CTF那样给你一个明确的入口提示所有利用链都需要你自己通过信息收集串联起来。适合正在学习渗透测试的朋友拿来练手尤其是想搞懂FTP服务被滥用的边界在哪和SSH弱口令爆破在实战中的真实地位这两个知识点的人。我采用的流程是标准的信息收集→漏洞发现→漏洞利用→权限提升四步走但每一步都做了针对这个靶机的细化。先说环境Funbox2靶机默认是VirtualBox虚拟机镜像加载到VirtualBox后设为仅主机Host-Only网络模式攻击机我用的是Kali Linux 2023.x同样挂在同一块仅主机网卡上。这样两台机器形成了一个独立的小型内网可以避免真实网络环境里的干扰。这是一个很重要的实操细节——渗透测试的第一步其实是搭好一个可控、可复现的实验环境如果在真实物理网络上测试光是ARP噪音和防火墙策略就足够让新手懵圈。配好之后确认两台虚拟机都起来了先看一下各自的IP。Kali里用ip a查看本机地址靶机IP则需要靠扫描发现——这也是一个练习点在不清楚目标IP的情况下如何通过网段扫描把它找出来。我用的命令是sudo netdiscover -r 192.168.56.0/24netdiscover会发送ARP请求并监听响应在仅主机网络里非常快基本两三秒就能返回结果。我的Kali是192.168.56.105Funbox2则老老实实地回显了192.168.56.108。如果你在实验中发现扫不到靶机先检查两台虚拟机的网卡设置是否都在同一块Host-Only虚拟网卡上其次确认靶机系统是否完全启动了——有些靶机开机过程比较慢SSH服务晚一两分钟才起来急着扫就容易误判。拿到IP之后下一步是全端口扫描。很多人喜欢上来直接nmap -sV -sC 192.168.56.108扫默认端口但我倾向先做一次完整TCP端口探测把范围拉到全端口避免漏掉非标准端口上的服务。信息收集阶段偷懒后面漏洞利用阶段就要付出十倍的排查代价。这是我在实战里踩过不少坑才养成的习惯。2. 端口扫描结果解读一眼看穿靶机的暴露面先用一条覆盖全端口且带服务版本的扫描命令把Funbox2的暴露面拉出来nmap -sS -sV -sC -p- -T4 192.168.56.108参数说明-sSTCP SYN半开扫描速度快连接记录少——不过要求root权限-sV探测服务版本号这是后续判断漏洞可利用性的关键-sC调用nmap默认的NSE脚本集做基础的漏洞探测和服务信息枚举-p-扫描1~65535全部端口不要漏掉非常规端口-T4激进时序模板提升扫描速度实验环境里放心用真实环境建议T2/T3。扫描结果里值得关注的是这样几个服务21/tcp open ftp vsftpd 3.0.3 22/tcp open ssh OpenSSH 7.9p1 Debian 10deb10u2 (protocol 2.0)有意思的是80端口没有开这说明Funbox2不是走Web渗透路线的它把攻击面刻意收敛到了FTP和SSH这两个服务上。换句话说这靶机的出题思路非常明确要么从FTP匿名登录下手拿到东西要么从SSH爆破入手试弱口令两条路最终都能通向提权只是难易程度不同。vsftpd 3.0.3这个版本本身没有公开的高危RCE漏洞但它是否开启匿名访问、是否允许上传文件这是配置问题而不是版本问题所以需要进一步手动探测。OpenSSH 7.9p1在Debian 10上属于默认版本公开漏洞大多需要复杂的利用条件实战中想靠SSH服务本身的漏洞很难得手所以正确的思路是把它当作入口服务的载体——用爆破拿到的合法凭证登录进去而不是攻击SSH协议本身。这种服务版本基本安全、漏洞点在错误配置和弱口令的设计恰恰是真实企业内网里最常见的情况。Funbox2胜在场景真实而不是漏洞炫技。接下来按渗透测试的常规节奏来做服务枚举。先看FTP匿名登录再回头评估SSH爆破的具体策略。3. FTP匿名登录从一条临时命令挖出系统入口线索3.1 匿名登录的合法边界与操作细节FTP匿名登录anonymous login在很多内网服务器上是默认关闭的但总有运维图省事开启匿名访问来共享文件这就成了渗透测试中一个快速命中点。用FTP客户端连接Funbox2的21端口试试ftp 192.168.56.108提示输入用户名时填anonymous密码可以随便填甚至直接回车也行。vsftpd默认配置下允许匿名用户使用任意电子邮件格式的密码。连接成功后会看到welcome banner说明靶机确实开了匿名访问。如果你拿到的靶机没有开匿名命令会直接报530 Login incorrect那就老老实实走SSH爆破路线。登录后进入FTP交互界面先看看根目录下有什么ftp ls -la 200 PORT command successful. Consider using PASV. 150 Here comes the directory listing. drwxr-xr-x 2 0 0 4096 Jun 15 2020 . drwxr-xr-x 2 0 0 4096 Jun 15 2020 .. -rw-r--r-- 1 0 0 194 Jun 15 2020 note.txt 226 Directory send OK.目录里躺着一个note.txt——这类留纸条的套路在靶机设计里非常常见但现实中也可能对应着开发者留在服务器上的临时备忘文件。我立刻下载查看ftp get note.txt看完内容后发现这纸条给了两个关键线索某个用户名和一个可能的口令。我不会把具体内容全部公开在这里但你按照思路去操作拿到的信息足够推导出下一步。这就是典型的信息收集产出成果——匿名登录本身没有拿到shell但拿到了认证凭据的线索。3.2 vsftpd目录遍历与隐藏文件排查拿到note之后我没有就此打住而是对FTP服务做了一次更细的探测。重点看几个点是否允许匿名用户写入文件put test.txt测试是否存在可遍历的其他目录cd /、cd /home、cd /tmp等路径试探FTP banner是否泄露了操作系统或vsftpd的配置特征。逐一操作后确认匿名用户只有读取权限没有写权限目录也被chroot限制在FTP根目录下。这其实是个好消息——说明靶机运维没有把权限放开太多攻击面是精心设计过的。如果匿名用户连写权限都有那后面可能直接走上传webshell或写入authorized_keys这条路反而更快。这里我想强调一个新手常犯的错误拿到note.txt就以为线索到此为止直接转去爆破SSH而没有对FTP做充分的枚举。在真实渗透里一个看似人畜无害的FTP共享目录可能藏着备份压缩包、数据库导出文件、配置文件甚至私钥文件。所以不要急着走先在FTP里把目录结构摸透、把能下载的都下载下来实在没有收获再转向别的服务也不迟。3.3 换个方向用FTP信息辅助SSH爆破决策当FTP的枚举看到头了就需要把两条线索融合起来。当前已知信息是靶机开放了SSH22端口FTP匿名登录拿到了一条用户名线索和一个可能的弱口令初步验证方向note.txt内容往往指向一个明确的用户名。这三个信息拼起来逻辑链就很清楚了靶机是故意把FTP当作信息投递通道真正的入口是SSH——用note里的用户名去跑密码爆破或者直接试note给出的口令。在做SSH爆破之前先确认一下目标支持哪种认证方式。用带-v参数的SSH命令连接一次观察输出ssh -v user192.168.56.108如果输出里出现permission denied (publickey,password)说明服务器允许密码认证爆破可行如果只有publickey那密码爆破这条路就堵死了。同时我习惯先用几个最常规的弱口令快速试一遍例如用户名同名密码、password、123456、admin等命中概率虽低但成本几乎为零。试了几组没中才进入正式的爆破环节。4. SSH弱口令爆破hydra的正确打开方式与字典选择4.1 为什么选择hydra而不是Medusa或MSFLinux下的SSH爆破工具多得是hydra、medusa、nmap的ssh-brute脚本、MSF的ssh_login模块甚至还有专门针对SSH的patator。我习惯优先用hydra理由有三个第一hydra对并发连接的控制比较细腻不容易把目标SSH服务打崩。SSH服务本身有MaxStartups限制并发太高会导致连接被拒反而影响爆破效率。第二hydra的输出格式清晰命中之后的[22][ssh] host: ... login: ... password: ...一行就能看到结果适合写报告时直接引用。第三它在Kali里自带不需要额外安装/usr/share/wordlists/下有现成的字典可以直接用不用自己造轮子。Medusa的并发模型更激进速度很快但在真实环境下更容易触发锁定策略MSF的ssh_login模块虽然能直接拿到session但模块输出的可读性不如hydra直观nmap脚本胜在集成在扫描流程里但参数控制不如hydra精细。工具没有绝对好坏看场景选择。4.2 字典选择与参数优化爆破方向已经明确已知用户名来自FTP线索未知密码。这种情况比用户名密码全未知要省事得多只需要选定一本高质量的密码字典。Kali自带的字典里有几个常用选择/usr/share/wordlists/metasploit/unix_passwords.txt经典Unix口令合集包含大量常见弱口令/usr/share/wordlists/rockyou.txt需要先解压sudo gunzip /usr/share/wordlists/rockyou.txt.gz包含1400万条真实泄露口令量很大爆破速度会慢很多/usr/share/wordlists/fasttrack.txt针对社工场景优化过的小字典量小速度快。Funbox2这种CTF向靶机口令一般不会太复杂从unix_passwords.txt开始比较合理。一条典型的hydra命令长这样hydra -l username -P /usr/share/wordlists/metasploit/unix_passwords.txt ssh://192.168.56.108 -t 4 -V参数逐个说-l指定登录用户名注意是小写的L后面直接跟用户名-P指定密码字典路径大写P表示字典文件ssh://192.168.56.108协议直接写sshhydra会自动走22端口-t 4并发连接数设成4。我这里没有开高并发是为了防止靶机SSH服务把连接拒了-V显示每次尝试的详细信息方便实时观察进度实战中也可以去掉这参数减少输出量-f找到第一个有效口令后立即停止写报告时建议还是让它多跑一会儿但实战里-f能省时间。爆破的过程要有点耐心。unix_passwords.txt大致几千条并发4线程的情况下通常一到两分钟就能跑完一轮。如果一轮跑完没出结果我会换rockyou.txt再跑但会加上-w 5超时5秒和更低的并发-t 2避免连接卡死导致误报。这里有个小经验如果爆破中途发现大量Connection refused多半是并发太高或者目标SSH开启了防爆破机制这时候把-t降到1或2再在命令里加上-W 10增加单次连接的超时时间往往就能恢复正常。实测下来hydra跑出了正确的密码。拿到SSH登录凭据的那一刻标志着入口阶段结束接下来才是重头戏——提权。5. 从普通用户到root三个维度的提权路径排查登录成功后默认进入的是一个低权限shell可能连sudo都用不了。提权之前先做信息收集我把它分成三个维度内核与系统信息、用户与权限配置、可利用的敏感文件。这一步做扎实了提权思路就会非常清晰。5.1 系统内核与发行版信息登录后先看一套系统基础信息uname -a cat /etc/os-release iduname -a能拿到内核版本号/etc/os-release确认是不是Debian 10从SSH的banner已经能猜个大概id看当前用户在系统中的权限位置。内核提权漏洞是Linux提权里最经典也最危险的一条路但Debian 10的内核4.19.x相对比较新常见的CVE-2021-3493overlayfs之类漏洞大多需要特定条件靶机设计者通常不会留一个纯内核漏洞让你一把梭更多是考验你对系统配置和文件权限的敏感度。所以内核提权这条线我先记下但不会第一时间就去搜exp先看其他两条线。5.2 sudo权限与可执行文件排查接下来是sudo权限检查sudo -l这条命令会列出当前用户在sudoers文件里的授权情况。如果你的用户被允许以root身份执行某些命令而无需密码那提权路径基本就摆在明面上了。如果没有直接的sudo授权还可以切换思路去看/etc/sudoers和/etc/group里当前用户的附加组。Debian系的默认配置里sudo组和wheel组如果有的话成员拥有sudo权限如果你所在的用户组里有这两个组之一直接尝试sudo su或sudo -i切到root。我实际查下来的结果比较有意思——当前用户虽然可以执行sudo但被限制在少数几个命令上。于是我先看这几条命令是否存在可被利用的参数绕过比如sudo find配合-exec执行任意命令sudo vi里!sh调出shellsudo env里LD_PRELOAD提权等这类sudo限制绕过手段在GTFOBins里都有现成的利用方式。如果限定的命令恰好落在可利用列表里这个靶机到这一步就算拿下了。但Funbox2显然不想让过程这么轻松。sudo直接提权的路走不通后我转向第三种最常见的情况——SUID文件。5.3 全盘搜索SUID文件从find到expSUIDSet User ID位是Linux里比较特殊的一种权限位。当一个文件设置了SUID位并且可执行时运行它的进程会以文件所有者的身份运行而不是以调用者的身份。如果root拥有一个SUID文件而你恰好能控制这个程序的行为就相当于间接拿到了root身份。搜索命令find / -perm -4000 -type f 2/dev/null逐一排查出来的SUID文件里大部分是标准系统程序如/usr/bin/passwd、/usr/bin/su、/usr/bin/mount这些程序本身有安全设计不太容易被利用。但偶尔会有非标准的SUID文件混在里面尤其是自定义脚本或二进制这时候就要重点分析。边界条件清晰的提权思路往往藏在这些细节里。当时排查到的可疑点是某个SUID程序或脚本的配置逻辑存在利用空间利用过程是把它的行为引导到执行自定义命令上最终得到一个root shell。具体是哪条路径、命令怎么拼的我不在这里逐字复述是希望大家能养成自己动手排查的习惯——授人以鱼不如授人以渔。5.4 敏感文件与历史命令中的配置泄密最后一个维度容易被新手忽略敏感文件。cat /etc/passwd | grep -v nologin ls -la /home/ cat /home/username/.bash_history cat /var/spool/cron/crontabs/* 2/dev/null env/etc/passwd能看出系统上有哪些可登录用户、哪些用户的shell是/bin/bash这决定了你的提权目标是不是只有一个root.bash_history里可能留着前一个管理员敲过的命令有时候直接就是密码或者带密码的scp/ssh命令/var/spool/cron/底下可能是root定时任务的执行脚本——如果脚本文件对普通用户可写那等cron跑一次你就拿到root shell了。我按这个思路逐项排查最终找到可以利用的点。整个过程没有依赖任何一键提权工具就是老老实实看配置、找疏漏。这也符合Funbox2的靶机设计哲学——它考察的就是渗透测试工程师的基本功你能不能从一堆看似平常的文件里找出权限边界上的裂缝。6. 实战避坑指南与经验沉淀写完提权过程我想专门整理几条这次打靶里最有价值的经验尤其是那些文档里不会写但你实际操作一定会遇到的问题。6.1 靶机环境搭建容易踩的三个坑第一个坑VirtualBox里靶机网卡模式搞错。很多人喜欢把靶机设为NAT模式攻击机也用NAT结果两边互相ping不通白白浪费半小时排查。实验环境里最稳的就是两块网卡都设成Host-Only然后手动配一个同网段IP。Kali的DHCP会自动获取靶机如果没开DHCP就需要进系统手动配IP——这本身也是个基本功值得练一练。第二个坑FTP被动模式连接失败。靶机在VirtualBox默认网络下FTP主动模式PORT容易被NAT干扰客户端会提示PORT command successful后就没下文了。解决办法很直接——在ftp客户端里输入passive切换到被动模式或者用ftp -p直接进入被动模式。第三个坑爆破靶机时把SSH服务打崩。有些新手一上来就开-t 64甚至-t 128结果目标SSH直接拒绝所有连接靶机要重启才能恢复。我在实际测试中对单台小靶机的并发一般控制在4~8之间宁可慢一点也要保证目标服务稳定运行。6.2 信息收集的优先级与留痕习惯整个过程走下来你会发现信息收集质量直接决定了利用成功率。一个只知道刷漏洞exp的渗透者和能把note.txt、FTP权限、SSH服务特征串成一条利用链的渗透者差距就在这里。我的习惯是每拿到一个信息就记到笔记里包括目标IP、开放端口、服务版本匿名FTP能看到的文件和内容爆破用的用户名、字典、命令参数、成败结果提权过程中尝试过的每一个思路和对应的输出。记录不是为了写报告好看而是为了排查问题时能回溯——你试过哪条路、为什么失败、哪条线索还没验证都在本子上写清楚。这个习惯帮我在真实项目里省过很多时间。6.3 授权边界与伦理提醒最后我必须说一段严肃的内容。本文所写的所有步骤全部是在VulnHub提供的合法靶机环境中完成的。VulnHub的Funbox2是一个公开的、专门用来练习渗透测试的虚拟靶场你拥有它的完全控制权对它做任何测试都是被允许的。但同样的命令、同样的思路一旦对着未经授权的真实目标执行就涉嫌违法。渗透测试的所有操作边界都建立在授权两个字上。没有授权的扫描、爆破、提权和攻击行为没有区别。拿了合法的授权你是安全工程师没有授权同样的操作可能就是另一回事了。希望看到这篇文章的朋友把技术练扎实的同时也把先授权再动手这一条刻进骨子里。这盒Funbox2靶机整体打下来花费的时间不长但收获很实在——它把FTP匿名登录、SSH爆破、Linux提权三条最经典的技术线串联在了一个完整的攻击链里非常适合作入门到进阶的跳板。你把它反复练几遍直到不看任何WriteUp也能独立完成从扫描到root的全流程那时候你对渗透测试工程师这个身份的信心会完全不同。