0x01 从“无声入侵”说起
那是一个平常的周一，我坐在红队作战室中，准备对一个大型企业进行授权的渗透测试。目标是一家金融公司，有着复杂的网络架构和敏感的客户数据。为了不打草惊蛇，我决定从一个最不起眼的地方突破：他们的招聘信息。
招聘信息往往被视为公开资料，无需特别加密或保护。然而，这次我却从中嗅到了一丝机会。企业的招聘网站上，有一个用于提交简历的页面。正是这个毫不起眼的入口，成为我入侵的突破口。
这个案例教会我的事情是：红队的成功，在于能从细节中寻找契机。有时，一个简单的S3存储桶误配置，或者一个多余的API端点，都是我们渗透的关键。这次，我利用了简历上传功能的一个文件解析漏洞，让我得以在目标内部网络中悄然移动，直至抵达核心数据库。
0x02 解析招聘信息
在这个案例中，我所做的第一步是对目标进行详尽的信息收集。很多公司在招聘信息中会不经意间泄露一些技术细节。这些信息包括使用的技术栈、关键系统的版本、甚至是特定的安全产品。这些都是潜在的攻击向量。
信息收集的艺术
在这个阶段，我使用了以下工具和策略：
- Google Dorking：利用特定的搜索语法，找到更多关于目标的公开信息。例如，
site:example.com "招聘"可以帮助我找到所有相关的招聘页面。
- Sublist3r：这是一款强大的子域名枚举工具，可以帮助我寻找企业暴露在互联网的子域名。
- 招聘网站爬虫：编写一个简单的Python爬虫，抓取目标招聘页面上的所有信息，并进行文本分析，找出其中的技术关键词。
代码示例：
<pre><code class="language-go">package main
import ( "fmt" "net/http" "io/ioutil" )
func main() { resp, err := http.Get("https://example.com/careers") if err != nil { fmt.Println("请求失败: ", err) return } defer resp.Body.Close() body, err := ioutil.ReadAll(resp.Body) if err != nil { fmt.Println("读取响应失败: ", err) return } fmt.Println(string(body)) }</code></pre>
这个Go代码片段简单地获取了企业招聘页面的HTML内容，解析后可以提取出有用的信息。
0x03 简历上传中的玄机
在经过信息收集阶段后，我决定把注意力集中在简历上传功能上。许多企业允许求职者通过招聘页面上传简历，往往忽视了对文件上传的严格控制。
攻击原理
文件上传漏洞可能出现在以下几个环节：
- 文件类型检查不当：如果仅通过文件扩展名来判断文件类型，可能会被伪造的扩展名绕过。
- 文件解析不当：一些系统在解析文件时，可能执行文件中的代码。
- 路径遍历漏洞：通过上传文件时的路径操作，覆盖系统中其他重要文件。
我在目标企业的简历上传功能中，发现它仅通过客户端的JavaScript进行文件类型检查，而服务器端并未做严格验证。利用这一点，我上传了一个特制的PHP脚本，成功在目标服务器上执行。
POC代码实现
<pre><code class="language-shell">#!/bin/bash
TARGET_URL="https://example.com/upload" FILE_PATH="/path/to/payload.php" curl -X POST -F "file=@${FILE_PATH}" ${TARGET_URL}</code></pre>
这个Shell脚本利用curl命令进行文件上传，@符号告诉curl上传的是一个文件，而非文本参数。这种简单的技术在某些情况下非常有效。
0x04 横向移动与权限提升
成功在目标服务器上获得初步访问权限后，接下来就是在内网中横向移动并提升权限。这个过程需要技巧与耐心，并且往往依赖于对目标网络结构的理解。
内网侦查与权限提升
在这一阶段，我使用了以下技术：
- 网络扫描：使用工具如
nmap和masscan识别内网中的其他活跃设备和开放端口。
- 密码猜测与爆破：通过搜集到的公司信息与常用密码列表，对内网服务进行密码爆破。
- 特权提升：利用操作系统或应用程序中的已知漏洞，提升权限如本地提权漏洞CVE-2021-4034（Polkit）。
Go语言实现一个简单的端口扫描器
<pre><code class="language-go">package main
import ( "fmt" "net" "time" )
func main() { for port := 20; port <= 1024; port++ { address := fmt.Sprintf("192.168.1.1:%d", port) conn, err := net.DialTimeout("tcp", address, time.Second) if err == nil { fmt.Printf("端口 %d 是开放的\n", port) conn.Close() } } }</code></pre>
通过这个简单的Go程序，我能够快速扫描内网中的开放端口，进一步了解系统的服务情况。
0x05 痕迹清除与数据窃取
窃取有价值的数据是许多攻击的最终目标，但在此之前，我们必须确保自己的足迹不会被轻易发现。这就涉及到日志清理与痕迹清除。
日志清理技巧
- 覆盖日志文件：一般来说，简单的删除日志文件会引起注意，最好的方式是用无关日志条目覆盖。
- 调整日志级别：如果有权限，调整日志记录的级别，可以减少被记录的可疑活动。
痕迹清除的代码示例
<pre><code class="language-shell">#!/bin/sh
查找并清空日志文件
find /var/log -type f -exec cp /dev/null {} \; # 用空文件覆盖日志</code></pre>
这个Shell脚本会查找/var/log目录下的所有文件，并使用空内容覆盖它们。这种方法能够在不引起怀疑的情况下清理日志。
0x06 经验谈：如何与时俱进
最后，我想分享一些在红队工作中的个人经验，这不仅是对技术的掌握，更是对攻击思维的理解。
永远保持好奇心
网络安全领域日新月异，新技术与新漏洞层出不穷。作为红队专家，保持对新技术的敏感性和好奇心是至关重要的。
社区与分享
不要忽视社区的力量。积极参与网络安全社区，分享经验与心得。通过互相学习，我们能更快地成长，并提升整体的安全水平。
工具的掌握与开发
掌握现有工具的使用固然重要，但更关键的是根据实际需求，自主开发合适的工具。无论是简单的Shell脚本，还是复杂的Go程序，能根据需要快速编写工具，是红队与众不同的能力。
法律责任与道德
最后，始终牢记自己的职责与法律界限。所有的渗透测试和攻击行为都必须在授权的情况下进行。我们学习这些技术，目的是为了更好地保护，而不是破坏。
声明：本文中的攻击技术与代码仅限于授权的安全测试与学习使用。