攻击者实验室：CVE-2017-5638 & CVE-2021-41773

一个基于Docker的7主机攻击模拟实验室，设计用于演示多阶段杀伤链、横向移动和多重IDS检测。

概述

本实验室模拟了一个真实的网络环境，攻击者从初始侦察开始，逐步建立立足点，最终通过跳板攻击高价值目标。它包含两个独立的Suricata IDS实例，作为关键主机的伴生容器，为整个攻击生命周期提供“防御者视角”。

杀伤链

1. 侦察：攻击者在 172.28.0.0/24 子网内执行网络扫描（ICMP、TCP SYN、HTTP 横幅抓取）。
2. 立足点（CVE-2017-5638）：攻击者利用 Content-Type 头中的OGNL注入，攻击易受攻击的 Apache Struts 2 服务器（web-struts）。
3. 跳板攻击（横向移动）：利用被攻陷的 web-struts 主机，攻击者对内部目标发起二次利用。
4. 最终目标（CVE-2021-41773）：攻击者利用 Apache HTTP Server 2.4.49（web-vuln）的路径遍历和RCE漏洞获取 root 权限。

实验室架构

实验室共包含10个容器：

• 攻击者（172.28.0.100）：类似Kali的环境，预置了利用脚本。
• 目标主机：
  • web-struts（172.28.0.11）：Apache Struts 2.3.28（易受S2-045攻击）。
  • web-vuln（172.28.0.10）：Apache httpd 2.4.49（易受路径遍历/RCE攻击）。
  • db-mysql（172.28.0.12）：支持数据库。
  • ssh-server（172.28.0.13）：旧版立足点目标。
  • ftp-server、smb-server、dns-server：用于模拟真实环境的基础设施服务。
• IDS伴生容器：
  • ids-suricata-struts：监控 web-struts 网络命名空间。
  • ids-suricata-web：监控 web-vuln 网络命名空间。

快速开始

先决条件

• Docker 和 Docker Compose v2。
• 兼容 Bash 的 shell。

设置

运行设置脚本以构建并启动环境：

./scripts/setup.sh

这将初始化网络，拉取/构建镜像，并启动全部10个容器。

使用方法

本实验室提供一个调度脚本，用于触发攻击的不同阶段。

运行完整杀伤链

./scripts/attack.sh full

运行特定阶段

• 仅侦察：./scripts/attack.sh recon
• Struts立足点：./scripts/attack.sh struts-foothold
• Struts到Web的跳板：./scripts/attack.sh struts-pivot
• 直接利用（无跳板）：./scripts/attack.sh direct

自定义命令

你可以向最终目标传递自定义命令：

./scripts/attack.sh full "whoami; cat /etc/os-release"

监控告警

每个IDS实例的告警会写入各自的 eve.json 文件：

• ./alerts/web-struts/eve.json
• ./alerts/web-vuln/eve.json

你可以使用以下命令实时跟踪两个告警流：

./scripts/tail-alerts.sh

清理

停止并移除所有实验室组件：

./scripts/teardown.sh