实战演练：从Weblogic漏洞到域控沦陷——红日VulnStack靶场完整渗透记录

实战演练：从Weblogic漏洞到域控沦陷——红日VulnStack靶场完整渗透记录

最近在复现红日安全团队的VulnStack靶场时，我重新走了一遍从外网Weblogic漏洞利用到最终拿下域控的完整链路。这个靶场的设计非常贴近真实的企业内网环境，尤其是它严格遵循了ATT&CK攻击链路的各个阶段，对于想系统性提升内网渗透能力的中级安全从业者来说，是个绝佳的练手材料。很多朋友在接触内网渗透时，容易陷入工具操作的细节而忽略了整体战术的衔接，这次我就结合自己的踩坑经验，把整个过程中的关键节点、工具联动的原理，以及一些绕过防御的小技巧梳理出来。

靶场模拟了一个典型的企业网络：一台对外提供Web服务的Windows Server 2008（通常也是内网入口），一个内部的Windows 7客户端，以及最终的目标——Windows Server 2012域控制器。我们的攻击起点，就是那台暴露在外的Web服务器。整个过程的魅力在于，它不是一个孤立的漏洞利用，而是需要你将外网突破、权限维持、内网侦察、横向移动等多个环节像拼图一样连接起来，最终拼出通往域控的完整路径。下面，我们就按照ATT&CK的战术阶段，一步步拆解这个过程。

1. 外网突破：Weblogic漏洞利用与初始立足点建立

任何一次深入内网的攻击，都始于一个坚实的外网立足点。在这个靶场中，这个立足点通过Weblogic中间件的一个历史漏洞（CVE-2019-2725）来建立。但在此之前，扎实的信息收集是绝对不能跳过的步骤。

面对一个未知的IP，我习惯先用nmap进行全方位的端口扫描。这里有个小细节，如果目标主机开启了防火墙，常规的SYN扫描（-sS）可能会被丢弃，导致结果不准确。我通常会加上-Pn参数，告诉nmap跳过主机发现阶段，直接对所有指定的端口进行扫描，这样能更可靠地探测出开放的服务。

nmap -sV -Pn 192.168.31.80

-sV用于探测服务版本，-Pn用于绕过ICMP主机发现，直接进行端口扫描。

扫描结果通常会揭示目标的身份。这里，我们看到了80（HTTP）、445（SMB）和关键的7001（Weblogic管理控制台）端口。445端口的存在，已经为后续的内网横向移动埋下了伏笔。直接访问80端口的Web页面和7001端口的Weblogic控制台，如果没发现明显漏洞或弱口令，下一步就是针对特定服务的深度探测。

对于Weblogic，我比较喜欢用一些专门的漏洞扫描工具进行初步筛查，比如WeblogicScan。它能快速检测常见的历史漏洞。当工具提示存在CVE-2019-2725时，机会就来了。这个漏洞允许未经授权的攻击者在目标服务器上执行任意代码，是获取初始Shell的利器。

注意：在实际测试中，漏洞利用的成功率受目标环境（如JDK版本、Weblogic补丁情况）影响很大。多准备几个不同的Exploit脚本或模块是明智之举。

接下来就是利用Metasploit框架（MSF）来利用该漏洞。在MSF中搜索并选用对应的 exploit 模块后，需要正确设置参数：

use exploit/multi