项目 5 — 进攻性安全与对手模拟

5 个项目组成的家庭实验室 SOC 系列的一部分：构建 → 检测与富化 → 调查 → 监控与狩猎 → 攻击与交叉验证。

本项目补全了项目 1–4 缺失的另一半图景：此前的内容全部属于蓝队（构建检测规则、调查事件、在网络数据中狩猎）。而本项目让我站到攻击者一侧——针对一个真实且有文档记录漏洞进行侦察、利用和后渗透——然后再回到现有 SOC，评估它究竟捕获到了什么。

概述

攻击链一览

Recon (Nmap)  →  Exploit (Metasploit: vsftpd backdoor)  →  Root shell (Meterpreter)
     →  Dump /etc/shadow  →  Crack hash (John)  →  Verify via SSH login
     →  Cross-check against Wazuh / Suricata / Zeek

关键发现

1. 一款 2011 年的 CVE 至今仍能构成完整、真实的攻击链 —— 从初始侦察到 root 访问再到凭据泄露，在未打补丁的主机上没有任何现代加固措施能够阻挡。
2. 获得 root 权限并不是故事的结束——而是一个新故事的开始。 借助 root，我可以导出密码哈希、瞬间破解其中一个（msfadmin:msfadmin），并证明它是一条通过普通 SSH 进入系统的第二条独立路径——这意味着仅仅修补 FTP 漏洞并不能彻底保障该主机的安全。
3. 目标主机在基于主机的 SOC 可见性方面为零。 Metasploitable 上未安装任何 Wazuh agent，因此漏洞利用、root shell 和凭据访问对基于主机的监控完全不可见——这直接印证了"你无法检测到未被监控的东西"。
4. 基于网络的监控（Zeek）是唯一可用的可见性层——而让它真正跑通，却暴露了一连串 4-5 个彼此独立、各不相同的缺陷，从错误的网络接口，到过期的配置路径，再到 agent 需要完全重启而非软重启。完整分析见 docs/04-blue-team-cross-check.md。
5. Suricata（基于签名）对一次使用有效凭据的 SSH 登录正确地保持了沉默 —— 这是关于基于签名的检测存在局限的合理发现，而非一个缺口。

文档

• docs/01-reconnaissance.md — Nmap 扫描、漏洞识别
• docs/02-exploitation.md — Metasploit 模块选择与漏洞利用
• docs/03-post-exploitation.md — 凭据导出、破解与验证
• docs/04-blue-team-cross-check.md — SOC 检测缺口分析及其背后真实的调试链条

实验环境

• Kali —— 物理主机与攻击机（Nmap、Metasploit、John the Ripper、Suricata、Zeek）
• Metasploitable2 —— 刻意存在漏洞的目标虚拟机
• 网络 —— VirtualBox 仅主机（Host-only）适配器（192.168.56.x），与项目 4 中引入的网络相同，以便 Kali（宿主机）能够直接访问并监控与目标之间的流量
• 现有 SOC（项目 1–4） —— Wazuh SIEM、Suricata IDS、Zeek NSM，在此仅作为本次演练的"蓝队"一侧使用

截图

按阶段整理，参见 screenshots/。