专注 Hack The Box 靶场解题思路与方法总结。记录渗透测试学习过程，分享信息收集、漏洞分析、权限提升中的关键步骤，方便复盘，也给同样走这条路的人做参考。
关于本站
这里是个人网络安全学习笔记，主要内容围绕 Hack The Box（HTB） 靶场。 HTB 提供合法、隔离的练习环境。我会按机器整理 writeup：从侦察、突破口，到提权和收尾，把真正有用的思路写清楚，少写套话。 ...
Pirate（HTB Hard）
执行摘要 Pirate 是 Active Directory 域环境。入口为低权限域用户 pentest。通过 Pre-Windows 2000 计算机账户默认密码读取 gMSA，WinRM 立足 DC01 后进入仅内网的 WEB01。WEB01 的 LSA 泄露 a.white 明文，该用户可强制重置 a.white_adm。a.white_adm 拥有到 HTTP/WEB01 的约束委派（协议转换）以及 IT 组的 WriteSPN。将 HTTP/WEB01.pirate.htb 劫持到 DC01$ 后，S4U2Proxy 票可改写成 CIFS/DC01，最终拿到域管。 ...
Helix（HTB Medium）
执行摘要 Helix 模拟工业控制系统(ICS)环境。外部攻击面极小，仅开放SSH和静态网站。通过虚拟主机枚举发现未认证的Apache NiFi实例，利用其REST API获得RCE。从NiFi诊断目录恢复SSH私钥完成横向移动。最终通过操纵OPC UA工业协议篡改反应堆传感器读数，触发维护窗口实现root提权。 ...
Eighteen（HTB Easy）
Eighteen（HTB Easy） 基本信息 IP：10.129.34.100 VPN：10.10.16.177 域名：eighteen.htb / dc01.eighteen.htb 信息收集 sudo echo 10.129.34.100 Eighteen.htb dc01.eighteen.htb >> /etc/hosts 网页先随便注册一个账号。端口扫描： ...
Expressway（HTB Easy）
Expressway（HTB Easy） 基本信息 IP：10.10.11.87 信息收集 TCP 全端口： nmap -sT --min-rate 10000 -p- 10.10.11.87 PORT STATE SERVICE 22/tcp open ssh 58925/tcp filtered unknown 服务识别： nmap -sC -sV -p 22,58925 10.10.11.87 PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 10.0p2 Debian 8 (protocol 2.0) 58925/tcp closed unknown Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel TCP 没有可利用点，改扫 UDP： ...
Headless（HTB Easy）
Headless（HTB Easy） 基本信息 IP：10.10.11.8 域名：headless.htb 信息收集 nmap -sT --min-rate 10000 -p- 10.10.11.8 --unprivileged PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 9.2p1 Debian 2+deb12u2 (protocol 2.0) 5000/tcp open upnp? | fingerprint-strings: | GetRequest: | HTTP/1.1 200 OK | Server: Werkzeug/2.2.2 Python/3.11.2 | Set-Cookie: is_admin=InVzZXIi.uAlmXlTvm8vyihjNaPDWnvB_Zfs; Path=/ | <title>Under Construction</title> 5000 是 Flask/Werkzeug Web。映射 hosts： ...
Valentine（HTB Easy）
Valentine（HTB Easy） 基本信息 IP：10.10.10.79 域名：valentine.htb 信息收集 映射域名： vim /etc/hosts 10.10.10.79 valentine.htb 全端口扫描： nmap -sT --min-rate 10000 -p- 10.10.10.79 Nmap scan report for 10.10.10.79 Host is up (0.22s latency). Not shown: 53839 filtered tcp ports (no-response), 11693 closed tcp ports (conn-refused) PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 443/tcp open https 服务识别： ...
Caption（HTB Hard）
Caption（HTB Hard） 基本信息 IP：10.10.11.33 VPN：10.10.16.4 域名：caption.htb 信息收集 vim /etc/hosts 10.10.11.33 caption.htb nmap -sT --min-rate 10000 -p- 10.10.11.33 --unprivileged PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 8080/tcp open http-proxy nmap -sT -sV -sC -O -p 22,80,8080 10.10.11.33 PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0) 80/tcp open http-proxy HAProxy http proxy 2.0.0 or later |_http-title: Caption Portal Login |_http-server-header: Werkzeug/3.0.1 Python/3.10.12 8080/tcp open http Jetty |_http-title: GitBucket 80 是登录页，8080 是 GitBucket。 ...
Puppy（HTB Medium）
Puppy（HTB Medium） 基本信息 IP：10.10.11.70 域名：puppy.htb 初始凭据：levi.james / KingofAkron2025!（平台提供） 信息收集 echo '10.10.11.70 puppy.htb dc.puppy.htb' | sudo tee -a /etc/hosts nmap -sC -sV -Pn -p- 10.10.11.70 典型域控端口：88 / 135 / 139 / 389 / 445 / 464 / 593 / 636 / 3268 / 3269 / 5985。 ...
Instant（HTB Medium）
Instant（HTB Medium） 基本信息 IP：10.10.11.37 VPN：10.10.16.4 域名：instant.htb 信息收集 vim /etc/hosts 10.10.11.37 instant.htb rustscan -a 10.10.11.37 -- -sCVT nmap -sC -sV -Pn -T4 10.10.11.37 22/tcp open ssh OpenSSH 9.6p1 Ubuntu 3ubuntu13.5 80/tcp open http Apache httpd 2.4.58 |_http-title: Instant Wallet 前端可下载 APK。目录穿越被限制。逆向 APK： ...