TryHackMe: Silver Platter 渗透测试实战教学指南<\/strong><\/h2>
文档版本：<\/strong> 1.0
目标读者：<\/strong> 对渗透测试、Web安全有基本了解的网络安全学习者
难度等级：<\/strong> 初级至中级<\/p>
一、实验目标与概述<\/strong><\/h3>
本教学文档旨在复现并详细讲解TryHackMe房间“Silver Platter”的完整渗透测试过程。通过本次实战，您将学习到：<\/p>

信息收集<\/strong>：使用端口扫描和目录枚举技术发现目标服务。<\/li>
漏洞识别<\/strong>：根据服务指纹寻找相关的公开漏洞（CVE）。<\/li>
漏洞利用<\/strong>：利用身份验证绕过漏洞获取系统初始访问权限。<\/li>
权限提升<\/strong>：通过分析用户组权限和系统日志，实现横向移动和提权至root。<\/li> <\/ol>
目标机器是一个运行着存在已知漏洞的Silverpeas协作平台（开源软件）的Linux系统。<\/p>
二、环境与工具准备<\/strong><\/h3>
在开始之前，请确保您拥有以下环境与工具：<\/p>

环境<\/strong>：一个已连接到TryHackMe网络（或目标网络）的Kali Linux或类似渗透测试系统。<\/li>
目标IP<\/strong>：假设为 10.201.120.18<\/code>（请根据实际目标替换）。<\/li>
必要工具<\/strong>： nmap<\/code>：端口扫描。<\/li> dirsearch<\/code> \/ gobuster<\/code>： Web目录和文件枚举。<\/li> cewl<\/code>：根据网站内容生成定制密码字典。<\/li> hydra<\/code>：进行在线密码爆破。<\/li> 浏览器（如Firefox）：手动测试Web应用。<\/li> <\/ul> <\/li> <\/ul> 三、渗透测试详细步骤<\/strong><\/h3> 步骤 1：信息收集 - 端口扫描<\/strong><\/h4> 操作：<\/strong> 使用nmap<\/code>对目标进行全端口扫描，以发现开放的服务。命令：<\/strong><\/p> nmap -sS -sV -p- 10.201.120.18 <\/span><\/span><\/code><\/pre>预期结果与关键点分析：<\/strong><\/p> 22\/tcp (SSH)<\/strong>：安全外壳协议，用于远程登录。这是后续获取稳定shell的通道。<\/li> 80\/tcp (HTTP)<\/strong>：标准的Web服务。初步访问发现已被黑客入侵（Defaced），这可能是一个干扰项或提供线索。<\/li> 8080\/tcp (HTTP-Alt)<\/strong>：另一个Web服务端口。初始访问返回404，需要进一步探测。<\/li> <\/ul> 教学要点<\/strong>：永远不要只扫描默认的少量端口。全端口扫描能发现像8080、8443这样常用于开发、测试或管理后台的服务。<\/p> <\/blockquote> 步骤 2： Web服务枚举 - 目录扫描<\/strong><\/h4> 操作：<\/strong> 针对8080端口的Web服务进行目录和文件枚举，以发现隐藏的入口点。命令：<\/strong><\/p> dirsearch -u 'http:\/\/10.201.120.18:8080\/'<\/span> -e php,html,txt,js,json -t 30<\/span> <\/span><\/span><\/code><\/pre>关键发现与分析：<\/strong><\/p> 扫描结果中出现了多个指向 \/noredirect.html<\/code> 的302重定向，例如： \/console\/...<\/code><\/li> \/console\/login\/LoginForm.jsp<\/code><\/li> <\/ul> <\/li> 最重要的是发现了 \/silverpeas<\/code> 路径。这直接指明了目标正在运行 Silverpeas<\/strong> 协作平台。<\/li> 在80端口的页面上，通过查看contact<\/code>信息或页面源代码，发现了一条关键线索：项目经理的用户名为 scr1ptkiddy<\/code>。<\/li> <\/ul> 教学要点<\/strong>：<\/p> 目录枚举是Web渗透的核心<\/strong>：许多应用的管理后台、API接口或配置文件都隐藏在深层目录中。<\/li> 关注重定向<\/strong>：302重定向往往意味着访问被引导至登录页，这确认了该路径是需要认证的入口。<\/li> 信息关联<\/strong>：将80端口发现的用户名scr1ptkiddy<\/code>与8080端口发现的silverpeas<\/code>路径关联起来，构成了攻击面。<\/li> <\/ol> <\/blockquote> 步骤 3：漏洞识别与利用 - Silverpeas 身份验证绕过<\/strong><\/h4> 操作：<\/strong> 尝试利用Silverpeas的已知漏洞进行未授权访问。<\/p> 初始尝试 - 密码爆破<\/strong>：<\/p> 使用cewl<\/code>爬取80端口网站内容，生成定制密码字典。 cewl http:\/\/silverplatter.thm > passwords.txt <\/span><\/span><\/code><\/pre><\/li> 使用hydra<\/code>对scr1ptkiddy<\/code>用户进行密码爆破。 hydra -l scr1ptkiddy -P passwords.txt silverplatter.thm -s 8080<\/span> http-post-form "\/silverpeas\/AuthenticationServlet:Login=^USER^&Password=^PASS^&DomainId=0:F=Login or password incorrect"<\/span> <\/span><\/span><\/code><\/pre><\/li> 结果<\/strong>：爆破失败。这促使我们寻找非暴力的漏洞。<\/li> <\/ul> <\/li> 关键漏洞利用 - CVE-2024-36042<\/strong>：<\/p> 漏洞描述<\/strong>： Silverpeas CRM 6.3及之前版本存在身份验证绕过漏洞。攻击者可以通过构造特定的HTTP请求，在不提供正确密码的情况下登录系统。<\/li> 利用方法<\/strong>：访问登录页面： http:\/\/10.201.120.18:8080\/silverpeas\/defaultLogin.jsp<\/code><\/li> 尝试使用已知用户名scr1ptkiddy<\/code>和任意密码登录，同时使用Burp Suite等工具拦截登录请求。<\/li> 核心技巧<\/strong>：在拦截到的POST请求数据中，直接删除Password<\/code>参数<\/strong>，然后转发请求。<\/li> 请求示例（修改前）<\/strong>： Login=scr1ptkiddy&Password=anything&DomainId=0 <\/code><\/pre> <\/li> 请求示例（修改后，利用漏洞）<\/strong>： Login=scr1ptkiddy&DomainId=0 <\/code><\/pre> <\/li> <\/ul> <\/li> 预期结果<\/strong>：系统由于漏洞逻辑缺陷，在缺少密码参数时错误地认为认证成功，从而登录到scr1ptkiddy<\/code>的用户面板。<\/li> <\/ul> <\/li> <\/ol> 教学要点<\/strong>：<\/p> CVE知识库的重要性<\/strong>：遇到知名软件\/框架时，第一时间搜索其公开漏洞是最高效的途径。<\/li> 漏洞利用的灵活性<\/strong>：并非所有漏洞都有现成的EXP。理解漏洞原理（如参数处理逻辑错误）后，可以手动构造请求进行利用。<\/li> <\/ul> <\/blockquote> 步骤 4：初始访问与横向移动<\/strong><\/h4> 操作：<\/strong> 在Silverpeas平台内寻找更多凭据，以获取SSH访问权限。<\/p> 内部信息收集<\/strong>：<\/p> 登录成功后，浏览平台内部功能。文中提到查看了notification<\/code>和用户列表。<\/li> 关键发现<\/strong>：发现另一个用户tyler<\/code>（经理角色），并且平台内部提供了该用户的访问密码<\/strong>（可能是用于登录某些设备或服务的备注信息）。<\/li> <\/ul> <\/li> 获取SSH访问<\/strong>：<\/p> 使用获得的tyler<\/code>用户名和密码，通过SSH登录到目标服务器。<\/li> <\/ul> ssh tyler@10.201.120.18 <\/span><\/span><\/code><\/pre> 结果<\/strong>：成功获得一个低权限的交互式shell。可以执行ls<\/code>命令，并在当前目录或用户主目录下找到user.txt<\/code>，读取第一个flag。<\/li> <\/ul> <\/li> <\/ol> 教学要点<\/strong>：横向移动<\/strong>：获取一个用户的权限后，不应停止。应继续在应用内部、配置文件、数据库或笔记中寻找其他用户的凭据，以扩大控制范围。<\/p> <\/blockquote> 步骤 5：权限提升 - 从 tyler 到 root<\/strong><\/h4> 操作：<\/strong> 分析当前用户权限，寻找提权路径。<\/p> 检查当前用户权限<\/strong>：<\/p> 执行id<\/code>命令，查看tyler<\/code>所属的用户组。 id <\/span><\/span># 输出示例： uid=1002(tyler) gid=1002(tyler) groups=1002(tyler),4(adm)<\/span> <\/span><\/span><\/code><\/pre><\/li> 关键发现<\/strong>： tyler<\/code>用户属于adm<\/code>组。<\/li> <\/ul> <\/li> 理解 adm<\/code> 组权限<\/strong>：<\/p> adm<\/code>组的主要权限是读取系统日志文件<\/strong>（如\/var\/log\/auth.log<\/code>, \/var\/log\/syslog<\/code>）。<\/li> 查看adm<\/code>组有哪些成员： grep '^adm:' \/etc\/group<\/code>。确认tyler<\/code>和tim<\/code>都在该组中。<\/li> <\/ul> <\/li> 利用日志文件提权<\/strong>：<\/p> 由于tyler<\/code>可以读取系统日志，而SSH认证过程会被记录在\/var\/log\/auth.log<\/code>中。<\/li> 搜索与tim<\/code>用户相关的日志，特别是他使用sudo<\/code>或su<\/code>的命令记录，可能会泄露密码或敏感信息。<\/li> 命令<\/strong>： grep -i 'tim'<\/span> \/var\/log\/auth.log <\/span><\/span># 或者更广泛地搜索<\/span> <\/span><\/span>grep -ir 'password'<\/span> \/var\/log\/ 2>\/dev\/null | grep -i tim <\/span><\/span><\/code><\/pre><\/li> 关键发现（根据文章推断）<\/strong>：在日志中发现tyler<\/code>用户曾经使用sudo su<\/code>命令切换到了root用户。这意味着tyler<\/code>本身已经拥有sudo<\/code>权限。<\/li> <\/ul> <\/li> 最终提权<\/strong>：<\/p> 检查tyler<\/code>的sudo<\/code>权限： sudo -l <\/span><\/span><\/code><\/pre><\/li> 结果<\/strong>：很可能显示tyler<\/code>可以以root身份执行所有命令（如(ALL:ALL) ALL<\/code>）。<\/li> 直接提权至root： sudo su <\/span><\/span><\/code><\/pre><\/li> 验证权限：执行whoami<\/code>，返回root<\/code>。现在可以访问系统上的任何文件，包括\/root\/root.txt<\/code>，读取最终的flag。<\/li> <\/ul> <\/li> <\/ol> 教学要点<\/strong>：<\/p> Linux组权限审计<\/strong>：理解每个标准用户组（如adm<\/code>, lxd<\/code>, docker<\/code>）的权限是提权的关键。adm<\/code>组权限容易被忽视。<\/li> 日志中的秘密<\/strong>：系统日志可能包含密码、命令历史等敏感信息，是提权的重要来源。<\/li> sudo -l 命令<\/strong>：这是渗透测试中必须执行<\/strong>的步骤，它能直接显示当前用户是否可以通过sudo提权。<\/li> <\/ul> <\/blockquote> 四、总结与知识点梳理<\/strong><\/h3> 本次渗透测试流程清晰，涵盖了现代Web应用渗透的典型阶段：<\/p> 阶段<\/th> 使用技术\/工具<\/th> 关键知识点<\/th> <\/tr> <\/thead> 信息收集<\/strong><\/td> nmap<\/code>, dirsearch<\/code><\/td> 全端口扫描；Web目录\/路径枚举；从页面源码中提取敏感信息（用户名）。<\/td> <\/tr> 漏洞分析<\/strong><\/td> 搜索引擎、CVE数据库<\/td> 根据服务指纹（Silverpeas）快速定位公开漏洞（CVE-2024-36042）。<\/td> <\/tr> 漏洞利用<\/strong><\/td> 浏览器、Burp Suite<\/td> 理解漏洞原理并手动修改HTTP请求（删除密码参数）实现身份验证绕过。<\/td> <\/tr> 后渗透\/横向移动<\/strong><\/td> SSH<\/td> 在已攻破的应用内部寻找其他用户的凭据，实现权限扩展。<\/td> <\/tr> 权限提升<\/strong><\/td> id<\/code>, grep<\/code>, sudo -l<\/code><\/td> 分析Linux用户组权限（adm<\/code>）；检查系统日志寻找敏感信息；利用sudo配置不当直接提权。<\/td> <\/tr> <\/tbody> <\/table> 核心收获<\/strong>：成功的渗透测试依赖于细致的信息收集、对漏洞原理的深刻理解以及系统性的权限提升思路。切忌在发现一个入口点后就停止探索，应持续挖掘，直到获得最高权限。<\/p> 免责声明<\/strong>：本文档仅用于网络安全教学和研究目的。请勿将文中所述技术用于任何非法活动。使用者需遵守《中华人民共和国网络安全法》及相关法律法规。<\/p>

阶段<\/th>	使用技术\/工具<\/th>	关键知识点<\/th> <\/tr> <\/thead>
信息收集<\/strong><\/td>	`nmap<\/code>, dirsearch<\/code><\/td>`	全端口扫描；Web目录\/路径枚举；从页面源码中提取敏感信息（用户名）。<\/td> <\/tr>
漏洞分析<\/strong><\/td>	搜索引擎、CVE数据库<\/td>	根据服务指纹（Silverpeas）快速定位公开漏洞（CVE-2024-36042）。<\/td> <\/tr>
漏洞利用<\/strong><\/td>	浏览器、Burp Suite<\/td>	理解漏洞原理并手动修改HTTP请求（删除密码参数）实现身份验证绕过。<\/td> <\/tr>
后渗透\/横向移动<\/strong><\/td>	SSH<\/td>	在已攻破的应用内部寻找其他用户的凭据，实现权限扩展。<\/td> <\/tr>
权限提升<\/strong><\/td>	`id<\/code>, grep<\/code>, sudo -l<\/code><\/td>`	分析Linux用户组权限（adm<\/code>）；检查系统日志寻找敏感信息；利用sudo配置不当直接提权。<\/td> <\/tr> <\/tbody> <\/table> 核心收获<\/strong>：成功的渗透测试依赖于细致的信息收集、对漏洞原理的深刻理解以及系统性的权限提升思路。切忌在发现一个入口点后就停止探索，应持续挖掘，直到获得最高权限。<\/p> 免责声明<\/strong>：本文档仅用于网络安全教学和研究目的。请勿将文中所述技术用于任何非法活动。使用者需遵守《中华人民共和国网络安全法》及相关法律法规。<\/p>