1. 从一台靶机说起为什么我反复推荐新手从 Archetype 入门如果你刚开始接触网络安全实战演练或者已经刷了不少理论题但一上真实环境就发懵那我建议你认真看看这个叫 Archetype 的靶场机器。它不是什么花哨的零日漏洞合集也不是那种需要你写几百行利用代码才能拿下的硬核目标。恰恰相反Archetype 的价值在于它足够“朴素”——朴素到几乎每一个步骤都对应着真实工作中会遇到的场景一个暴露在外的数据库服务、一组弱到离谱的凭据、一个配置不当的权限提升路径。你在这台机器上学到的不是某个特定漏洞的奇技淫巧而是一整套从信息收集到立足、再到提权的完整思维链条。我见过太多新手卡在同一个地方知道一堆工具的名字但不知道什么时候该用哪个能背出 MS17-010 的利用流程但面对一台陌生机器时连第一步该敲什么命令都要愣半天。Archetype 恰好能治这个病。它的攻击面非常清晰服务不多但每一个都值得你停下来想一想“为什么这里会有这个服务”“这个版本意味着什么”“我拿到的这组凭据还能用在哪儿”。整个过程就像一位耐心的教练把渗透测试的标准流程拆解成一个个小关卡让你在动手的过程中把方法论刻进肌肉记忆里。这篇文章我会按照实际打靶的顺序把 Archetype 从头到尾拆一遍。不只是告诉你“敲这个命令”更重要的是解释“为什么是这个命令”“我当时是怎么想的”“如果换一台机器这个思路还成不成立”。文章会覆盖信息收集、服务枚举、凭据获取、初始立足、权限提升这几个核心阶段中间穿插我踩过的坑和总结出来的速查技巧。不管你是刚买了两小时靶场时长的新手还是想找个简单目标练练手的老手应该都能从里面找到点有用的东西。2. 信息收集别急着扫端口先想清楚你要找什么2.1 第一轮扫描从“有什么”到“是什么”拿到一台靶机第一件事永远是信息收集。但信息收集不是无脑把 nmap 的所有脚本都跑一遍那样既浪费时间又容易被防护设备盯上。我的习惯是先做一轮快速的全端口扫描搞清楚“有哪些门是开着的”然后再针对性地做深度枚举。对 Archetype 这台机器我一般会先用这样的命令做第一轮探测nmap -sS -p- --min-rate 5000 -T4 -oN quick_scan.txt 目标IP这里有几个参数值得说一下。-sS是 SYN 半开扫描速度快且相对隐蔽-p-表示扫描全部 65535 个端口别偷懒只扫常见端口很多靶机的突破口就藏在非常规端口上--min-rate 5000是强制发包速率不低于每秒 5000 个在靶场环境里可以放心用能大幅缩短扫描时间-T4是时序模板平衡速度和准确性-oN把结果保存下来方便后面复查。扫完之后你会发现几个开放端口。根据我的经验Archetype 上最值得关注的是这几个135/139/445这一组 Windows 经典端口以及1433这个数据库端口。看到 445 和 1433 同时出现脑子里应该立刻亮起两盏灯SMB 共享可能有东西MSSQL 数据库可能有弱口令或者可以匿名访问。接下来做第二轮针对性扫描把版本信息和默认脚本都跑上nmap -sV -sC -p 135,139,445,1433 -oN detailed_scan.txt 目标IP-sV探测服务版本-sC跑默认脚本集。这一步的输出会告诉你 SMB 是否允许匿名登录、MSSQL 的版本号是多少、有没有什么明显的配置问题。我实测下来Archetype 的 SMB 是允许匿名访问的而且能列出一个共享目录。这就是第一个突破口。注意很多人扫完端口就直接去搜漏洞库了这是本末倒置。先把服务本身摸清楚——版本、配置、可访问性——再决定往哪个方向深入。版本号只是线索不是答案。2.2 SMB 枚举匿名访问能挖出什么SMB 允许匿名访问在真实环境里不算罕见尤其是内部文件服务器配置疏忽的时候。Archetype 上这一步的关键是列出共享并尝试读取内容。我常用的工具是smbclient和smbmap两个配合着用。先用smbmap快速看一眼有哪些共享以及当前用户的权限smbmap -H 目标IP如果显示某个共享的权限是 READ ONLY 或者 READ, WRITE那就值得进一步看。Archetype 上会有一个叫backups的共享权限是只读。这时候用smbclient连上去smbclient //目标IP/backups -N-N表示不使用密码也就是匿名登录。进去之后用ls列目录用get下载文件。我在这里找到的是一个配置文件里面赫然写着一组数据库凭据。这就是典型的“配置泄露”——管理员把包含敏感信息的文件放在了匿名可访问的共享里。这里有个实操心得下载文件之前先看清楚文件大小和修改时间优先下载那些看起来像配置文件、脚本、备份文件的。smbclient里可以用mask和recurse命令批量操作但靶场环境文件不多手动一个个看反而更稳妥。提示如果smbclient匿名登录失败可以试试smbclient -L 目标IP -N先列出共享再用-U指定空用户名。有时候配置差异会导致匿名访问的表现不一样。3. 从凭据到立足MSSQL 的利用路径3.1 用拿到的凭据登录数据库从 SMB 共享里拿到的那组凭据用户名通常是sql_svc之类密码是一串看起来像自动生成的字符串。这时候要判断这组凭据能用在哪儿最直接的猜测就是同机器上的 MSSQL 服务。连接 MSSQL 我用的是impacket工具集中的mssqlclient.py这个工具在 Linux 环境下非常顺手python3 mssqlclient.py 用户名:密码目标IP -windows-auth-windows-auth表示使用 Windows 身份验证。连上之后你会看到一个 SQL 提示符说明已经成功登录数据库。到这一步很多人会急着去找xp_cmdshell执行系统命令但先别急我建议先做几件事查看当前用户的权限、看看有哪些数据库、有没有什么存储过程可以调用。SELECT SYSTEM_USER; SELECT IS_SRVROLEMEMBER(sysadmin); SELECT name FROM sys.databases;如果IS_SRVROLEMEMBER(sysadmin)返回 1那恭喜你当前账户是 sysadmin 权限可以启用xp_cmdshell来执行系统命令。如果不是那就得另想办法比如找找有没有其他可以利用的存储过程或者链接服务器。3.2 启用 xp_cmdshell 并获取反向 shellxp_cmdshell是 MSSQL 里一个非常有用的扩展存储过程默认是禁用的但 sysadmin 可以重新启用它。启用命令如下EXEC sp_configure show advanced options, 1; RECONFIGURE; EXEC sp_configure xp_cmdshell, 1; RECONFIGURE;执行完之后就可以用xp_cmdshell whoami来验证命令执行了。接下来就是获取一个交互式 shell。我一般用nc在本地监听一个端口然后让目标机器反向连接过来。但 Windows 环境下nc不一定有所以更稳妥的方式是用 PowerShell 下载并执行一个反向 shell 脚本或者直接用xp_cmdshell执行一条 PowerShell 命令来建立连接。我常用的一个方法是先用xp_cmdshell下载一个简单的 PowerShell 反向 shell 脚本到目标机器然后执行它。具体命令这里不展开核心思路是利用数据库的命令执行能力把目标机器上的 shell 弹回到我的监听端口。注意xp_cmdshell执行命令时是以 SQL Server 服务账户的权限运行的通常是sql_svc这样的低权限账户。这意味着你拿到的 shell 权限有限后面还需要提权。但这一步已经足够让你在目标机器上立足了。拿到 shell 之后第一件事是确认当前用户和权限whoami whoami /priv systeminfowhoami /priv会列出当前账户拥有的特权这对后续提权非常关键。systeminfo则提供系统版本、补丁情况等信息可以用来判断有没有可用的本地提权漏洞。4. 权限提升从服务账户到系统权限4.1 枚举提权路径先看特权再看配置拿到sql_svc的 shell 之后不要急着去跑各种提权脚本。先手动做一轮基础枚举很多时候答案就摆在眼前。我习惯按这个顺序检查当前用户和组whoami /all看有没有加入什么特殊组特权列表whoami /priv看有没有SeImpersonatePrivilege之类的令牌特权系统信息systeminfo看补丁级别服务配置sc query和sc qc看有没有可写路径的服务计划任务schtasks /query看有没有以高权限运行的任务文件系统看看用户目录、临时目录、程序目录有没有可写权限在 Archetype 上sql_svc这个账户通常会有SeImpersonatePrivilege特权。这个特权本身是合法的很多服务账户都有但它可以被用来做令牌模拟从而实现提权。经典的利用工具是JuicyPotato、RoguePotato或者更新的PrintSpoofer具体用哪个取决于目标系统的版本。4.2 利用 SeImpersonatePrivilege 提权SeImpersonatePrivilege的利用原理简单说就是拥有这个特权的进程可以模拟其他用户的令牌包括 SYSTEM 令牌。攻击者可以诱导一个高权限进程连接到攻击者控制的命名管道然后窃取它的令牌来执行命令。我一般会先上传一个PrintSpoofer或者JuicyPotato的可执行文件到目标机器。上传方式可以用certutil从攻击机下载也可以用 PowerShell 的Invoke-WebRequest。上传之后执行PrintSpoofer.exe -i -c cmd如果成功你会得到一个 SYSTEM 权限的命令行。这时候whoami应该返回nt authority\system。到这一步这台机器就算完全拿下了。提示不同 Windows 版本对令牌模拟的利用方式有差异。JuicyPotato在较老的系统上很稳但新版本可能失效PrintSpoofer对 Windows 10 和 Server 2019 支持较好。如果一种工具不行换另一种试试别在一棵树上吊死。4.3 另一种思路从数据库配置里找线索除了令牌模拟Archetype 还有一个更“优雅”的提权路径数据库服务的配置文件中可能保存了更高权限账户的凭据。我在实际打靶时注意到MSSQL 服务的安装目录下有时候会有配置文件或者日志文件里面可能记录了服务账户的密码或者连接字符串。具体操作是拿到初始 shell 后去C:\Program Files\Microsoft SQL Server目录下翻一翻看看有没有.ini、.xml、.config之类的文件。如果找到包含明文密码的文件就可以用runas或者psexec以更高权限的账户执行命令。这个思路在真实环境中也非常有用。很多管理员在部署服务时会把凭据硬编码在配置文件里而这些文件往往权限设置不当低权限用户也能读取。养成“翻配置文件”的习惯比单纯依赖漏洞利用工具更可靠。5. 常见问题与排查技巧实录5.1 连接 MSSQL 失败怎么办有时候mssqlclient.py会报连接错误可能的原因有几个目标端口没开、凭据不对、或者需要加密连接。排查顺序如下问题现象可能原因解决方法Connection refused端口未开放或服务未启动重新扫描确认 1433 端口状态Login failed凭据错误或账户被锁检查从 SMB 获取的凭据是否完整注意大小写SSL error需要加密连接加-ssl参数或使用--port指定端口Timeout网络不通或防火墙拦截检查目标 IP 是否正确尝试 ping 测试我遇到最多的情况是凭据里的特殊字符导致 shell 解析出错。比如密码里包含$或!在命令行里需要转义或者用单引号包裹。这种细节看起来不起眼但卡住的时候能让人抓狂。5.2 xp_cmdshell 启用失败怎么办如果sp_configure执行后报权限不足说明当前账户不是 sysadmin。这时候可以试试以下路径查看当前账户是否属于db_owner角色有些数据库的 owner 也能启用某些功能检查有没有链接服务器linked server通过链接服务器可能可以执行命令看看有没有其他存储过程可以利用比如sp_OACreate配合sp_OAMethod执行命令如果都不行那就回到信息收集阶段看看有没有其他服务或者凭据可以拿到更高权限的数据库账户。5.3 反向 shell 连不回来怎么办反向 shell 失败的原因通常有三类网络不通、命令写错、目标机器没有可用的解释器。排查步骤先在目标机器上用xp_cmdshell ping 攻击机IP测试网络连通性确认监听端口没有被本地防火墙拦截检查反向 shell 命令的语法特别是引号和转义字符如果 PowerShell 被限制试试用certutil下载一个独立的可执行文件来建立连接我个人的经验是在 Windows 环境下用 PowerShell 做反向 shell 最稳但要注意执行策略可能限制脚本运行。可以用powershell -ExecutionPolicy Bypass -File来绕过。5.4 提权工具被杀软拦截怎么办靶场环境一般没有杀软但真实环境里JuicyPotato、PrintSpoofer这些工具很容易被查杀。应对方法有几个对工具进行混淆或加壳改变特征码使用 PowerShell 脚本版本减少可执行文件落地尝试手动利用令牌模拟不依赖现成工具寻找其他提权路径比如服务配置错误、计划任务、注册表权限等在 Archetype 上你不需要担心这些但养成“多路径思维”对真实工作很有帮助。6. 打靶之后的复盘这台机器教会我的几件事打完 Archetype 之后我习惯做一次复盘把整个攻击链重新梳理一遍看看哪些步骤是必须的哪些地方可以优化。这台机器最值得回味的点在于它没有任何一个环节依赖高深的技术但每一个环节都要求你理解自己在做什么。从 SMB 匿名访问到配置文件泄露从数据库弱口令到命令执行从服务账户到 SYSTEM 权限这条路径在真实环境中出现的频率远比想象中高。很多企业内网的问题不是缺少防护设备而是基础配置没做好——共享权限没收紧、服务账户密码太弱、配置文件没加密、不必要的功能没关闭。Archetype 把这些常见问题集中到一台机器上让你在安全的环境里体验一遍“如果我是攻击者会怎么走”。我个人的体会是打靶场最大的价值不在于“拿下”的那一刻而在于过程中形成的条件反射。比如看到 445 端口就想到 SMB 枚举看到 1433 就想到数据库凭据拿到 shell 就想到whoami /priv这些反应速度是靠反复练习积累出来的。Archetype 作为入门机器正好提供了这样一个低门槛、高回报的练习场。最后分享一个小技巧打完一台机器后试着不看笔记重新走一遍流程看看哪些步骤还需要查资料。那些需要查资料的环节就是你下一步该重点补强的地方。Archetype 的流程不算长很适合用来做这种“盲打”练习。等你能够不假思索地完成整条攻击链再去看更复杂的靶机会发现很多思路都是相通的。