黑盒渗透测试 — SecOS:1 (VulnHub)

---

概述

针对 SecOS:1 的完整黑盒渗透测试，这是一台来自 VulnHub 的故意存在漏洞的 CTF 机器。目标：模拟一个零先验知识的真实世界攻击者，并实现 root 级权限获取，以获取 /root/flag.txt 作为证据。

所有测试均在受控虚拟实验室（Apporto Cloud）内进行，作为大学模块的一部分。未针对任何真实系统。

---

实验环境

机器	角色	IP
Kali Linux (saqib85)	攻击者	192.168.122.186
SecOS:1 (InfoSecOS)	主要目标	192.168.122.202
Ubuntu DVWA	附加目标	192.168.122.51
Windows XP	附加目标	192.168.122.6

• 网络： NAT — 192.168.122.0/24
• 平台： Apporto Cloud Lab

---

方法论

遵循 Hacking Exposed 框架（McClure, Scambray & Kurtz, 2003）：

1. 信息收集（足迹）
2. 扫描与映射
3. 枚举
4. 漏洞评估
5. 获取访问权限
6. 权限提升
7. 后期利用 -> 窃取 -> 清除痕迹 -> 创建后门

---

攻击链

步骤	操作	详情
1	网络发现	Nmap · Netdiscover 识别出 192.168.122.202 为目标
2	端口扫描	端口 22 (OpenSSH 6.6p1) · 端口 8081 (Node.js/Express)
3	Web 枚举	Gobuster · Dirb · Nikto → 发现 /hint、/change-password、/users、/messages
4	CSRF 利用	构造 holidays.html → 发送给管理员 spiderman → 密码更改为 abc123
5	凭据发现	Spiderman 收件箱包含 SSH 密码：CrazyPassword!
6	SSH 访问	在端口 22 上以 spiderman 身份获得 Shell
7	权限提升	LinPEAS → 内核 3.13.0-24 → CVE-2015-1328 (OverlayFS) → root shell
8	入侵证明	获取 /root/flag.txt
9	后期利用	导出 /etc/passwd 和 /etc/shadow · 提取 MongoDB 记录 · 破解 SHA-256 哈希 · 清除日志 · 创建后门用户 + 端口 4444 上的 cron 反向 Shell

已识别漏洞 — 共 22 个 (Nessus)

漏洞	严重性	CVSS	CVE
Ubuntu 14.04 LTS — 生命周期结束	严重	10.0	—
OverlayFS 权限提升	严重	—	CVE-2015-1328
OpenSSH 6.6p1 — 过时 / 用户名枚举	高	7.8	CVE-2018-15473
通过 node-serialize 的 Node.js RCE	高	7.5	—
/change-password 端点上的 CSRF	高	—	—
MongoDB — 无身份验证	高	—	—
SHA-256 哈希未加盐	高	—	—
Slowloris DoS	中	5.0	CVE-2007-6750
缺少 HTTP 安全头	低	—	—
ICMP 时间戳泄露	低	2.1	—

使用的工具

类别	工具
发现	Nmap, Netdiscover
Web 枚举	Gobuster, Dirb, Nikto
漏洞评估	Nessus Essentials, Searchsploit
利用	Burp Suite, Metasploit
权限提升	LinPEAS, GCC, Exploit-DB 37292.c
后期利用	John the Ripper, Netcat, SSH
基础设施	Apache2 (载荷托管)

---

仓库文件

文件	描述
README.md	本文件
exploit-commands.sh	所有阶段的所有命令
csrf-exploit.html	更改 spiderman 密码的 CSRF 载荷
user-creation.sh	在 Kali 上设置攻击者用户

---

建议

1. 在所有状态更改端点上使用 CSRF 令牌；更改密码需要当前密码
2. 修补操作系统和服务 — 升级 Ubuntu、OpenSSH 和 Node.js；应用内核补丁
3. MongoDB 身份验证 — 强制使用凭据；切勿保持未认证状态
4. 密码哈希 — 将 SHA-256 替换为 Argon2 或加盐的 bcrypt
5. SSH 加固 — 禁用密码认证；仅使用基于密钥的身份验证
6. HTTP 安全头 — 添加 X-Frame-Options、X-Content-Type-Options、CSP

---

证据

CSRF — 提示页面源代码

hint page source

CSRF — Apache 日志确认 spiderman 访问了链接

apache log

Spiderman 使用 abc123 登录

spiderman login

以 spiderman 身份 SSH 访问

ssh login

提取的 MongoDB 记录

mongodb

创建的后门用户

backdoor user

配置的 Cron 作业反向 Shell

cronjob

确认 Cron 作业连接到 Kali

cronjob connection

参考文献

• McClure, S., Scambray, J. and Kurtz, G. (2003) Hacking Exposed. McGraw-Hill/Osborne.
• VulnHub — https://www.vulnhub.com/entry/secos-1,88/
• Exploit-DB 37292 — https://www.exploit-db.com/exploits/37292
• PEASS-ng LinPEAS — https://github.com/peass-ng/PEASS-ng

---

免责声明： 所有测试均在受控大学实验室环境（CSI_7_PTE, LSBU）内针对故意存在漏洞的 CTF 机器进行。仅授权用于教育目的。