網站滲透實戰記錄：從資訊蒐集、Nmap 掃描、RPC 漏洞嘗試到 FreeBSD 核心提權完整複盤

聲明

本文為授權滲透測試複盤，展示攻擊者視角以利防禦者理解威脅模型。未經書面授權禁止對任何系統測試。

階段 0：目標確認與跳板

• 目標：`www.target.com` (111.111.111.111)
• 使用台灣跳板機（預留 `nc` 反向 shell on port 12345）隱藏真實來源 IP。

階段 1：服務枚舉

# nmap -sT -O 111.111.111.111
Port       State  Service
7          open   echo
9          open   discard
19         open   chargen
21         open   ftp
23         open   telnet
25         open   smtp
37         open   time
79         open   finger
80         open   http
111        open   sunrpc
443        open   https
512        open   exec
513        open   login
514        open   shell
515        open   printer
540        open   uucp
3306       open   mysql

OS 指紋識別失敗，但開放服務眾多 → 攻擊面大。

階段 2：服務版本偵測與漏洞匹配

階段 3：R-services 信任關係利用

• 編寫腳本逐一嘗試 `rsh -l target`，針對 finger 列出的用戶。
• 用戶 `ccc` 的 `.rhosts` 允許信任 → 取得 `ccc` shell。

階段 4：本地提權

• 系統：FreeBSD 3.2-RELEASE
• 嘗試編譯/執行公開 Exp：procfs 竄改 `/proc/pid/mem` 繞過 `CHECKIO` 機制獲取 root（CVE-1999-0704 變體）。
• 確認 `procfs` 掛載於 `/proc` → 滿足利用條件。
• 編譯 `pcnfs.c`，調整偏移參數 `-4000 -10000` 成功獲取 `euid=0(root)`。

階段 5：持久化與清理

• 修改 `/home/www` 權限，植入 Web Shell / 修改首頁（演示即止）。
• 在 `/etc/inetd.conf` 加入 root shell 監聽埠作為後門。
• 清理 `wtmp`/`utmp`/`lastlog`、Shell 歷史、臨時檔案。

防禦檢核清單（藍隊視角）

結語

這次滲透成功關鍵在於：資訊洩露 → 過時服務 → 弱配置 → 未修補漏洞 形成完整攻擊鏈。任一環節修復即可斷鏈。防禦核心：最小化攻擊面、持續修補、預設拒絕、監控異常。