1. 从一台靶机说起：为什么我反复推荐新手从 Archetype 入门如果你刚开始接触网络安全实战演练，或者已经刷了不少理论题但一上真实环境就发懵，那我建议你认真看看这个叫 Archetype 的靶场机器。它不是什么花哨的零日漏洞合集，也不是那种需要你写几百行利用代码才能拿下的硬核目标。恰恰相反，Archetype 的价值在于它足够“朴素”——朴素到几乎每一个步骤都对应着真实工作中会遇到的场景：一个暴露在外的数据库服务、一组弱到离谱的凭据、一个配置不当的权限提升路径。你在这台机器上学到的不是某个特定漏洞的奇技淫巧，而是一整套从信息收集到立足、再到提权的完整思维链条。我见过太多新手卡在同一个地方：知道一堆工具的名字，但不知道什么时候该用哪个；能背出 MS17-010 的利用流程，但面对一台陌生机器时连第一步该敲什么命令都要愣半天。Archetype 恰好能治这个病。它的攻击面非常清晰，服务不多，但每一个都值得你停下来想一想“为什么这里会有这个服务”“这个版本意味着什么”“我拿到的这组凭据还能用在哪儿”。整个过程就像一位耐心的教练，把渗透测试的标准流程拆解成一个个小关卡，让你在动手的过程中把方法论刻进肌肉记忆里。这篇文章我会按照实际打靶的顺序，把 Archetype 从头到尾拆一遍。不只是告诉你“敲这个命令”，更重要的是解释“为什么是这个命令”“我当时是怎么想的”“如果换一台机器这个思路还成不成立”。文章会覆盖信息收集、服务枚举、凭据获取、初始立足、权限提升这几个核心阶段，中间穿插我踩过的坑和总结出来的速查技巧。不管你是刚买了两小时靶场时长的新手，还是想找个简单目标练练手的老手，应该都能从里面找到点有用的东西。2. 信息收集：别急着扫端口，先想清楚你要找什么2.1 第一轮扫描：从“有什么”到“是什么”拿到一台靶机，第一件事永远是信息收集。但信息收集不是无脑把 nmap 的所有脚本都跑一遍，那样既浪费时间又容易被防护设备盯上。我的习惯是先做一轮快速的全端口扫描，搞清楚“有哪些门是开着的”，然后再针对性地做深度枚举。对 Archetype 这台机器，我一般会先用这样的命令做第一轮探测：nmap -sS -p- --min-rate 5000 -T4 -oN quick_scan.txt <目标IP>这里有几个参数值得说一下。-sS是 SYN 半开扫描，速度快且相对隐蔽；-p-表示扫描全部 65535 个端口，别偷懒只扫常见端口，很多靶机的突破口就藏在非常规端口上；--min-rate 5000是强制发包速率不低于每秒 5000 个，在靶场环境里可以放心用，能大幅缩短扫描时间；-T4是时序模板，平衡速度和准确性；-oN把结果保存下来，方便后面复查。扫完之后你会发现几个开放端口。根据我的经验，Archetype 上最值得关注的是这几个：135/139/445这一组 Windows 经典端口，以及1433这个数据库端口。看到 445 和 1433 同时出现，脑子里应该立刻亮起两盏灯：SMB 共享可能有东西，MSSQL 数据库可能有弱口令或者可以匿名访问。接下来做第二轮针对性扫描，把版本信息和默认脚本都跑上：nmap -sV -sC -p 135,139,445,1433 -oN detailed_scan.txt <目标IP>-sV探测服务版本，-sC跑默认脚本集。这一步的输出会告诉你 SMB 是否允许匿名登录、MSSQL 的版本号是多少、有没有什么明显的配置问题。我实测下来，Archetype 的 SMB 是允许匿名访问的，而且能列出一个共享目录。这就是第一个突破口。注意：很多人扫完端口就直接去搜漏洞库了，这是本末倒置。先把服务本身摸清楚——版本、配置、可访问性——再决定往哪个方向深入。版本号只是线索，不是答案。2.2 SMB 枚举：匿名访问能挖出什么SMB 允许匿名访问在真实环境里不算罕见，尤其是内部文件服务器配置疏忽的时候。Archetype 上这一步的关键是列出共享并尝试读取内容。我常用的工具是smbclient和smbmap，两个配合着用。先用smbmap快速看一眼有哪些共享以及当前用户的权限：smbmap -H <目标IP>如果显示某个共享的权限是 READ ONLY 或者 READ, WRITE，那就值得进一步看。Archetype 上会有一个叫backups的共享，权限是只读。这时候用smbclient连上去：smbclient //<目标IP>/backups -N-N表示不使用密码，也就是匿名登录。进去之后用ls列目录，用get下载文件。我在这里找到的是一个配置文件，里面赫然写着一组数据库凭据。这就是典型的“配置泄露”——管理员把包含敏感信息的文件放在了匿名可访问的共享里。这里有个实操心得：下载文件之前先看清楚文件大小和修改时间，优先下载那些看起来像配置文件、脚本、备份文件的。smbclient里可以用mask和recurse命令批量操作，但靶场环境文件不多，手动一个个看反而更稳妥。提示：如果smbclient匿名登录失败，可以试试smbclient -L <目标IP> -N先列出共享，再用-U指定空用户名。有时候配置差异会导致匿名访问的表现不一样。3. 从凭据到立足：MSSQL 的利用路径3.1 用拿到的凭据登录数据库从 SMB 共享里拿到的那组凭据，用户名通常是sql_svc之类，密码是一串看起来像自动生成的字符串。这时候要判断：这组凭据能用在哪儿？最直接的猜测就是同机器上的 MSSQL 服务。连接 MSSQL 我用的是impacket工具集中的mssqlclient.py，这个工具在 Linux 环境下非常顺手：python3 mssqlclient.py <用户名>:<密码>@<目标IP> -windows-auth-windows-auth表示使用 Windows 身份验证。连上之后你会看到一个 SQL 提示符，说明已经成功登录数据库。到这一步，很多人会急着去找xp_cmdshell执行系统命令，但先别急，我建议先做几件事：查看当前用户的权限、看看有哪些数据库、有没有什么存储过程可以调用。SELECT SYSTEM_USER; SELECT IS_SRVROLEMEMBER('sysadmin'); SELECT name FROM sys.databases;如果IS_SRVROLEMEMBER('sysadmin')返回 1，那恭喜你，当前账户是 sysadmin 权限，可以启用xp_cmdshell来执行系统命令。如果不是，那就得另想办法，比如找找有没有其他可以利用的存储过程或者链接服务器。3.2 启用 xp_cmdshell 并获取反向 shellxp_cmdshell是 MSSQL 里一个非常有用的扩展存储过程，默认是禁用的，但 sysadmin 可以重新启用它。启用命令如下：EXEC sp_configure 'show advanced options', 1; RECONFIGURE; EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;执行完之后就可以用xp_cmdshell 'whoami'来验证命令执行了。接下来就是获取一个交互式 shell。我一般用nc在本地监听一个端口，然后让目标机器反向连接过来。但 Windows 环境下nc不一定有，所以更稳妥的方式是用 PowerShell 下载并执行一个反向 shell 脚本，或者直接用xp_cmdshell执行一条 PowerShell 命令来建立连接。我常用的一个方法是先用xp_cmdshell下载一个简单的 PowerShell 反向 shell 脚本到目标机器，然后执行它。具体命令这里不展开，核心思路是：利用数据库的命令执行能力，把目标机器上的 shell 弹回到我的监听端口。注意：xp_cmdshell执行命令时是以 SQL Server 服务账户的权限运行的，通常是sql_svc这样的低权限账户。这意味着你拿到的 shell 权限有限，后面还需要提权。但这一步已经足够让你在目标机器上立足了。拿到 shell 之后，第一件事是确认当前用户和权限：whoami whoami /priv systeminfowhoami /priv会列出当前账户拥有的特权，这对后续提权非常关键。systeminfo则提供系统版本、补丁情况等信息，可以用来判断有没有可用的本地提权漏洞。4. 权限提升：从服务账户到系统权限4.1 枚举提权路径：先看特权，再看配置拿到sql_svc的 shell 之后，不要急着去跑各种提权脚本。先手动做一轮基础枚举，很多时候答案就摆在眼前。我习惯按这个顺序检查：当前用户和组：whoami /all看有没有加入什么特殊组特权列表：whoami /priv看有没有SeImpersonatePrivilege之类的令牌特权系统信息：systeminfo看补丁级别服务配置：sc query和sc qc看有没有可写路径的服务计划任务：schtasks /query看有没有以高权限运行的任务文件系统：看看用户目录、临时目录、程序目录有没有可写权限在 Archetype 上，sql_svc这个账户通常会有SeImpersonatePrivilege特权。这个特权本身是合法的，很多服务账户都有，但它可以被用来做令牌模拟，从而实现提权。经典的利用工具是JuicyPotato、RoguePotato或者更新的PrintSpoofer，具体用哪个取决于目标系统的版本。4.2 利用 SeImpersonatePrivilege 提权SeImpersonatePrivilege的利用原理简单说就是：拥有这个特权的进程可以模拟其他用户的令牌，包括 SYSTEM 令牌。攻击者可以诱导一个高权限进程连接到攻击者控制的命名管道，然后窃取它的令牌来执行命令。我一般会先上传一个PrintSpoofer或者JuicyPotato的可执行文件到目标机器。上传方式可以用certutil从攻击机下载，也可以用 PowerShell 的Invoke-WebRequest。上传之后执行：PrintSpoofer.exe -i -c cmd如果成功，你会得到一个 SYSTEM 权限的命令行。这时候whoami应该返回nt authority\system。到这一步，这台机器就算完全拿下了。提示：不同 Windows 版本对令牌模拟的利用方式有差异。JuicyPotato在较老的系统上很稳，但新版本可能失效；PrintSpoofer对 Windows 10 和 Server 2019 支持较好。如果一种工具不行，换另一种试试，别在一棵树上吊死。4.3 另一种思路：从数据库配置里找线索除了令牌模拟，Archetype 还有一个更“优雅”的提权路径：数据库服务的配置文件中可能保存了更高权限账户的凭据。我在实际打靶时注意到，MSSQL 服务的安装目录下有时候会有配置文件或者日志文件，里面可能记录了服务账户的密码或者连接字符串。具体操作是：拿到初始 shell 后，去C:\Program Files\Microsoft SQL Server目录下翻一翻，看看有没有.ini、.xml、.config之类的文件。如果找到包含明文密码的文件，就可以用runas或者psexec以更高权限的账户执行命令。这个思路在真实环境中也非常有用。很多管理员在部署服务时会把凭据硬编码在配置文件里，而这些文件往往权限设置不当，低权限用户也能读取。养成“翻配置文件”的习惯，比单纯依赖漏洞利用工具更可靠。5. 常见问题与排查技巧实录5.1 连接 MSSQL 失败怎么办有时候mssqlclient.py会报连接错误，可能的原因有几个：目标端口没开、凭据不对、或者需要加密连接。排查顺序如下：问题现象可能原因解决方法Connection refused端口未开放或服务未启动重新扫描确认 1433 端口状态Login failed凭据错误或账户被锁检查从 SMB 获取的凭据是否完整，注意大小写SSL error需要加密连接加-ssl参数或使用--port指定端口Timeout网络不通或防火墙拦截检查目标 IP 是否正确，尝试 ping 测试我遇到最多的情况是凭据里的特殊字符导致 shell 解析出错。比如密码里包含$或!，在命令行里需要转义或者用单引号包裹。这种细节看起来不起眼，但卡住的时候能让人抓狂。5.2 xp_cmdshell 启用失败怎么办如果sp_configure执行后报权限不足，说明当前账户不是 sysadmin。这时候可以试试以下路径：查看当前账户是否属于db_owner角色，有些数据库的 owner 也能启用某些功能检查有没有链接服务器（linked server），通过链接服务器可能可以执行命令看看有没有其他存储过程可以利用，比如sp_OACreate配合sp_OAMethod执行命令如果都不行，那就回到信息收集阶段，看看有没有其他服务或者凭据可以拿到更高权限的数据库账户。5.3 反向 shell 连不回来怎么办反向 shell 失败的原因通常有三类：网络不通、命令写错、目标机器没有可用的解释器。排查步骤：先在目标机器上用xp_cmdshell 'ping <攻击机IP>'测试网络连通性确认监听端口没有被本地防火墙拦截检查反向 shell 命令的语法，特别是引号和转义字符如果 PowerShell 被限制，试试用certutil下载一个独立的可执行文件来建立连接我个人的经验是，在 Windows 环境下用 PowerShell 做反向 shell 最稳，但要注意执行策略可能限制脚本运行。可以用powershell -ExecutionPolicy Bypass -File来绕过。5.4 提权工具被杀软拦截怎么办靶场环境一般没有杀软，但真实环境里JuicyPotato、PrintSpoofer这些工具很容易被查杀。应对方法有几个：对工具进行混淆或加壳，改变特征码使用 PowerShell 脚本版本，减少可执行文件落地尝试手动利用令牌模拟，不依赖现成工具寻找其他提权路径，比如服务配置错误、计划任务、注册表权限等在 Archetype 上你不需要担心这些，但养成“多路径思维”对真实工作很有帮助。6. 打靶之后的复盘：这台机器教会我的几件事打完 Archetype 之后我习惯做一次复盘，把整个攻击链重新梳理一遍，看看哪些步骤是必须的，哪些地方可以优化。这台机器最值得回味的点在于：它没有任何一个环节依赖高深的技术，但每一个环节都要求你理解自己在做什么。从 SMB 匿名访问到配置文件泄露，从数据库弱口令到命令执行，从服务账户到 SYSTEM 权限，这条路径在真实环境中出现的频率远比想象中高。很多企业内网的问题不是缺少防护设备，而是基础配置没做好——共享权限没收紧、服务账户密码太弱、配置文件没加密、不必要的功能没关闭。Archetype 把这些常见问题集中到一台机器上，让你在安全的环境里体验一遍“如果我是攻击者会怎么走”。我个人的体会是，打靶场最大的价值不在于“拿下”的那一刻，而在于过程中形成的条件反射。比如看到 445 端口就想到 SMB 枚举，看到 1433 就想到数据库凭据，拿到 shell 就想到whoami /priv，这些反应速度是靠反复练习积累出来的。Archetype 作为入门机器，正好提供了这样一个低门槛、高回报的练习场。最后分享一个小技巧：打完一台机器后，试着不看笔记重新走一遍流程，看看哪些步骤还需要查资料。那些需要查资料的环节，就是你下一步该重点补强的地方。Archetype 的流程不算长，很适合用来做这种“盲打”练习。等你能够不假思索地完成整条攻击链，再去看更复杂的靶机，会发现很多思路都是相通的。
1. 从一台靶机说起：为什么我反复推荐新手从 Archetype 入门如果你刚开始接触网络安全实战演练，或者已经刷了不少理论题但一上真实环境就发懵，那我建议你认真看看这个叫 Archetype 的靶场机器。它不是什么花哨的零日漏洞合集，也不是那种需要你写几百行利用代码才能拿下的硬核目标。恰恰相反，Archetype 的价值在于它足够“朴素”——朴素到几乎每一个步骤都对应着真实工作中会遇到的场景：一个暴露在外的数据库服务、一组弱到离谱的凭据、一个配置不当的权限提升路径。你在这台机器上学到的不是某个特定漏洞的奇技淫巧，而是一整套从信息收集到立足、再到提权的完整思维链条。我见过太多新手卡在同一个地方：知道一堆工具的名字，但不知道什么时候该用哪个；能背出 MS17-010 的利用流程，但面对一台陌生机器时连第一步该敲什么命令都要愣半天。Archetype 恰好能治这个病。它的攻击面非常清晰，服务不多，但每一个都值得你停下来想一想“为什么这里会有这个服务”“这个版本意味着什么”“我拿到的这组凭据还能用在哪儿”。整个过程就像一位耐心的教练，把渗透测试的标准流程拆解成一个个小关卡，让你在动手的过程中把方法论刻进肌肉记忆里。这篇文章我会按照实际打靶的顺序，把 Archetype 从头到尾拆一遍。不只是告诉你“敲这个命令”，更重要的是解释“为什么是这个命令”“我当时是怎么想的”“如果换一台机器这个思路还成不成立”。文章会覆盖信息收集、服务枚举、凭据获取、初始立足、权限提升这几个核心阶段，中间穿插我踩过的坑和总结出来的速查技巧。不管你是刚买了两小时靶场时长的新手，还是想找个简单目标练练手的老手，应该都能从里面找到点有用的东西。2. 信息收集：别急着扫端口，先想清楚你要找什么2.1 第一轮扫描：从“有什么”到“是什么”拿到一台靶机，第一件事永远是信息收集。但信息收集不是无脑把 nmap 的所有脚本都跑一遍，那样既浪费时间又容易被防护设备盯上。我的习惯是先做一轮快速的全端口扫描，搞清楚“有哪些门是开着的”，然后再针对性地做深度枚举。对 Archetype 这台机器，我一般会先用这样的命令做第一轮探测：nmap -sS -p- --min-rate 5000 -T4 -oN quick_scan.txt <目标IP>这里有几个参数值得说一下。-sS是 SYN 半开扫描，速度快且相对隐蔽；-p-表示扫描全部 65535 个端口，别偷懒只扫常见端口，很多靶机的突破口就藏在非常规端口上；--min-rate 5000是强制发包速率不低于每秒 5000 个，在靶场环境里可以放心用，能大幅缩短扫描时间；-T4是时序模板，平衡速度和准确性；-oN把结果保存下来，方便后面复查。扫完之后你会发现几个开放端口。根据我的经验，Archetype 上最值得关注的是这几个：135/139/445这一组 Windows 经典端口，以及1433这个数据库端口。看到 445 和 1433 同时出现，脑子里应该立刻亮起两盏灯：SMB 共享可能有东西，MSSQL 数据库可能有弱口令或者可以匿名访问。接下来做第二轮针对性扫描，把版本信息和默认脚本都跑上：nmap -sV -sC -p 135,139,445,1433 -oN detailed_scan.txt <目标IP>-sV探测服务版本，-sC跑默认脚本集。这一步的输出会告诉你 SMB 是否允许匿名登录、MSSQL 的版本号是多少、有没有什么明显的配置问题。我实测下来，Archetype 的 SMB 是允许匿名访问的，而且能列出一个共享目录。这就是第一个突破口。注意：很多人扫完端口就直接去搜漏洞库了，这是本末倒置。先把服务本身摸清楚——版本、配置、可访问性——再决定往哪个方向深入。版本号只是线索，不是答案。2.2 SMB 枚举：匿名访问能挖出什么SMB 允许匿名访问在真实环境里不算罕见，尤其是内部文件服务器配置疏忽的时候。Archetype 上这一步的关键是列出共享并尝试读取内容。我常用的工具是smbclient和smbmap，两个配合着用。先用smbmap快速看一眼有哪些共享以及当前用户的权限：smbmap -H <目标IP>如果显示某个共享的权限是 READ ONLY 或者 READ, WRITE，那就值得进一步看。Archetype 上会有一个叫backups的共享，权限是只读。这时候用smbclient连上去：smbclient //<目标IP>/backups -N-N表示不使用密码，也就是匿名登录。进去之后用ls列目录，用get下载文件。我在这里找到的是一个配置文件，里面赫然写着一组数据库凭据。这就是典型的“配置泄露”——管理员把包含敏感信息的文件放在了匿名可访问的共享里。这里有个实操心得：下载文件之前先看清楚文件大小和修改时间，优先下载那些看起来像配置文件、脚本、备份文件的。smbclient里可以用mask和recurse命令批量操作，但靶场环境文件不多，手动一个个看反而更稳妥。提示：如果smbclient匿名登录失败，可以试试smbclient -L <目标IP> -N先列出共享，再用-U指定空用户名。有时候配置差异会导致匿名访问的表现不一样。3. 从凭据到立足：MSSQL 的利用路径3.1 用拿到的凭据登录数据库从 SMB 共享里拿到的那组凭据，用户名通常是sql_svc之类，密码是一串看起来像自动生成的字符串。这时候要判断：这组凭据能用在哪儿？最直接的猜测就是同机器上的 MSSQL 服务。连接 MSSQL 我用的是impacket工具集中的mssqlclient.py，这个工具在 Linux 环境下非常顺手：python3 mssqlclient.py <用户名>:<密码>@<目标IP> -windows-auth-windows-auth表示使用 Windows 身份验证。连上之后你会看到一个 SQL 提示符，说明已经成功登录数据库。到这一步，很多人会急着去找xp_cmdshell执行系统命令，但先别急，我建议先做几件事：查看当前用户的权限、看看有哪些数据库、有没有什么存储过程可以调用。SELECT SYSTEM_USER; SELECT IS_SRVROLEMEMBER('sysadmin'); SELECT name FROM sys.databases;如果IS_SRVROLEMEMBER('sysadmin')返回 1，那恭喜你，当前账户是 sysadmin 权限，可以启用xp_cmdshell来执行系统命令。如果不是，那就得另想办法，比如找找有没有其他可以利用的存储过程或者链接服务器。3.2 启用 xp_cmdshell 并获取反向 shellxp_cmdshell是 MSSQL 里一个非常有用的扩展存储过程，默认是禁用的，但 sysadmin 可以重新启用它。启用命令如下：EXEC sp_configure 'show advanced options', 1; RECONFIGURE; EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;执行完之后就可以用xp_cmdshell 'whoami'来验证命令执行了。接下来就是获取一个交互式 shell。我一般用nc在本地监听一个端口，然后让目标机器反向连接过来。但 Windows 环境下nc不一定有，所以更稳妥的方式是用 PowerShell 下载并执行一个反向 shell 脚本，或者直接用xp_cmdshell执行一条 PowerShell 命令来建立连接。我常用的一个方法是先用xp_cmdshell下载一个简单的 PowerShell 反向 shell 脚本到目标机器，然后执行它。具体命令这里不展开，核心思路是：利用数据库的命令执行能力，把目标机器上的 shell 弹回到我的监听端口。注意：xp_cmdshell执行命令时是以 SQL Server 服务账户的权限运行的，通常是sql_svc这样的低权限账户。这意味着你拿到的 shell 权限有限，后面还需要提权。但这一步已经足够让你在目标机器上立足了。拿到 shell 之后，第一件事是确认当前用户和权限：whoami whoami /priv systeminfowhoami /priv会列出当前账户拥有的特权，这对后续提权非常关键。systeminfo则提供系统版本、补丁情况等信息，可以用来判断有没有可用的本地提权漏洞。4. 权限提升：从服务账户到系统权限4.1 枚举提权路径：先看特权，再看配置拿到sql_svc的 shell 之后，不要急着去跑各种提权脚本。先手动做一轮基础枚举，很多时候答案就摆在眼前。我习惯按这个顺序检查：当前用户和组：whoami /all看有没有加入什么特殊组特权列表：whoami /priv看有没有SeImpersonatePrivilege之类的令牌特权系统信息：systeminfo看补丁级别服务配置：sc query和sc qc看有没有可写路径的服务计划任务：schtasks /query看有没有以高权限运行的任务文件系统：看看用户目录、临时目录、程序目录有没有可写权限在 Archetype 上，sql_svc这个账户通常会有SeImpersonatePrivilege特权。这个特权本身是合法的，很多服务账户都有，但它可以被用来做令牌模拟，从而实现提权。经典的利用工具是JuicyPotato、RoguePotato或者更新的PrintSpoofer，具体用哪个取决于目标系统的版本。4.2 利用 SeImpersonatePrivilege 提权SeImpersonatePrivilege的利用原理简单说就是：拥有这个特权的进程可以模拟其他用户的令牌，包括 SYSTEM 令牌。攻击者可以诱导一个高权限进程连接到攻击者控制的命名管道，然后窃取它的令牌来执行命令。我一般会先上传一个PrintSpoofer或者JuicyPotato的可执行文件到目标机器。上传方式可以用certutil从攻击机下载，也可以用 PowerShell 的Invoke-WebRequest。上传之后执行：PrintSpoofer.exe -i -c cmd如果成功，你会得到一个 SYSTEM 权限的命令行。这时候whoami应该返回nt authority\system。到这一步，这台机器就算完全拿下了。提示：不同 Windows 版本对令牌模拟的利用方式有差异。JuicyPotato在较老的系统上很稳，但新版本可能失效；PrintSpoofer对 Windows 10 和 Server 2019 支持较好。如果一种工具不行，换另一种试试，别在一棵树上吊死。4.3 另一种思路：从数据库配置里找线索除了令牌模拟，Archetype 还有一个更“优雅”的提权路径：数据库服务的配置文件中可能保存了更高权限账户的凭据。我在实际打靶时注意到，MSSQL 服务的安装目录下有时候会有配置文件或者日志文件，里面可能记录了服务账户的密码或者连接字符串。具体操作是：拿到初始 shell 后，去C:\Program Files\Microsoft SQL Server目录下翻一翻，看看有没有.ini、.xml、.config之类的文件。如果找到包含明文密码的文件，就可以用runas或者psexec以更高权限的账户执行命令。这个思路在真实环境中也非常有用。很多管理员在部署服务时会把凭据硬编码在配置文件里，而这些文件往往权限设置不当，低权限用户也能读取。养成“翻配置文件”的习惯，比单纯依赖漏洞利用工具更可靠。5. 常见问题与排查技巧实录5.1 连接 MSSQL 失败怎么办有时候mssqlclient.py会报连接错误，可能的原因有几个：目标端口没开、凭据不对、或者需要加密连接。排查顺序如下：问题现象可能原因解决方法Connection refused端口未开放或服务未启动重新扫描确认 1433 端口状态Login failed凭据错误或账户被锁检查从 SMB 获取的凭据是否完整，注意大小写SSL error需要加密连接加-ssl参数或使用--port指定端口Timeout网络不通或防火墙拦截检查目标 IP 是否正确，尝试 ping 测试我遇到最多的情况是凭据里的特殊字符导致 shell 解析出错。比如密码里包含$或!，在命令行里需要转义或者用单引号包裹。这种细节看起来不起眼，但卡住的时候能让人抓狂。5.2 xp_cmdshell 启用失败怎么办如果sp_configure执行后报权限不足，说明当前账户不是 sysadmin。这时候可以试试以下路径：查看当前账户是否属于db_owner角色，有些数据库的 owner 也能启用某些功能检查有没有链接服务器（linked server），通过链接服务器可能可以执行命令看看有没有其他存储过程可以利用，比如sp_OACreate配合sp_OAMethod执行命令如果都不行，那就回到信息收集阶段，看看有没有其他服务或者凭据可以拿到更高权限的数据库账户。5.3 反向 shell 连不回来怎么办反向 shell 失败的原因通常有三类：网络不通、命令写错、目标机器没有可用的解释器。排查步骤：先在目标机器上用xp_cmdshell 'ping <攻击机IP>'测试网络连通性确认监听端口没有被本地防火墙拦截检查反向 shell 命令的语法，特别是引号和转义字符如果 PowerShell 被限制，试试用certutil下载一个独立的可执行文件来建立连接我个人的经验是，在 Windows 环境下用 PowerShell 做反向 shell 最稳，但要注意执行策略可能限制脚本运行。可以用powershell -ExecutionPolicy Bypass -File来绕过。5.4 提权工具被杀软拦截怎么办靶场环境一般没有杀软，但真实环境里JuicyPotato、PrintSpoofer这些工具很容易被查杀。应对方法有几个：对工具进行混淆或加壳，改变特征码使用 PowerShell 脚本版本，减少可执行文件落地尝试手动利用令牌模拟，不依赖现成工具寻找其他提权路径，比如服务配置错误、计划任务、注册表权限等在 Archetype 上你不需要担心这些，但养成“多路径思维”对真实工作很有帮助。6. 打靶之后的复盘：这台机器教会我的几件事打完 Archetype 之后我习惯做一次复盘，把整个攻击链重新梳理一遍，看看哪些步骤是必须的，哪些地方可以优化。这台机器最值得回味的点在于：它没有任何一个环节依赖高深的技术，但每一个环节都要求你理解自己在做什么。从 SMB 匿名访问到配置文件泄露，从数据库弱口令到命令执行，从服务账户到 SYSTEM 权限，这条路径在真实环境中出现的频率远比想象中高。很多企业内网的问题不是缺少防护设备，而是基础配置没做好——共享权限没收紧、服务账户密码太弱、配置文件没加密、不必要的功能没关闭。Archetype 把这些常见问题集中到一台机器上，让你在安全的环境里体验一遍“如果我是攻击者会怎么走”。我个人的体会是，打靶场最大的价值不在于“拿下”的那一刻，而在于过程中形成的条件反射。比如看到 445 端口就想到 SMB 枚举，看到 1433 就想到数据库凭据，拿到 shell 就想到whoami /priv，这些反应速度是靠反复练习积累出来的。Archetype 作为入门机器，正好提供了这样一个低门槛、高回报的练习场。最后分享一个小技巧：打完一台机器后，试着不看笔记重新走一遍流程，看看哪些步骤还需要查资料。那些需要查资料的环节，就是你下一步该重点补强的地方。Archetype 的流程不算长，很适合用来做这种“盲打”练习。等你能够不假思索地完成整条攻击链，再去看更复杂的靶机，会发现很多思路都是相通的。