633k

关于本站

Fri, 28 Aug 2026 00:00:00 +0000

这里是个人网络安全学习笔记，主要内容围绕 Hack The Box（HTB） 靶场。

HTB 提供合法、隔离的练习环境。我会按机器整理 writeup：从侦察、突破口，到提权和收尾，把真正有用的思路写清楚，少写套话。

Pirate（HTB Hard）

Fri, 28 Aug 2026 00:00:00 +0000

执行摘要

Pirate 是 Active Directory 域环境。入口为低权限域用户 pentest。通过 Pre-Windows 2000 计算机账户默认密码读取 gMSA，WinRM 立足 DC01 后进入仅内网的 WEB01。WEB01 的 LSA 泄露 a.white 明文，该用户可强制重置 a.white_adm。a.white_adm 拥有到 HTTP/WEB01 的约束委派（协议转换）以及 IT 组的 WriteSPN。将 HTTP/WEB01.pirate.htb 劫持到 DC01$ 后，S4U2Proxy 票可改写成 CIFS/DC01，最终拿到域管。

Helix（HTB Medium）

Sat, 20 Jun 2026 00:00:00 +0000

执行摘要

Helix 模拟工业控制系统(ICS)环境。外部攻击面极小，仅开放SSH和静态网站。通过虚拟主机枚举发现未认证的Apache NiFi实例，利用其REST API获得RCE。从NiFi诊断目录恢复SSH私钥完成横向移动。最终通过操纵OPC UA工业协议篡改反应堆传感器读数，触发维护窗口实现root提权。

Eighteen（HTB Easy）

Tue, 19 May 2026 00:00:00 +0000

Eighteen（HTB Easy）

基本信息

IP：10.129.34.100
VPN：10.10.16.177
域名：eighteen.htb / dc01.eighteen.htb

信息收集

sudo echo 10.129.34.100 Eighteen.htb dc01.eighteen.htb >> /etc/hosts

网页先随便注册一个账号。端口扫描：

Expressway（HTB Easy）

Wed, 24 Sep 2025 00:00:00 +0000

Expressway（HTB Easy）

基本信息

IP：10.10.11.87

信息收集

TCP 全端口：

nmap -sT --min-rate 10000 -p- 10.10.11.87

PORT      STATE    SERVICE
22/tcp    open     ssh
58925/tcp filtered unknown

服务识别：

nmap -sC -sV -p 22,58925 10.10.11.87

PORT      STATE  SERVICE VERSION
22/tcp    open   ssh     OpenSSH 10.0p2 Debian 8 (protocol 2.0)
58925/tcp closed unknown
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TCP 没有可利用点，改扫 UDP：

Headless（HTB Easy）

Tue, 23 Sep 2025 00:00:00 +0000

Headless（HTB Easy）

基本信息

IP：10.10.11.8
域名：headless.htb

信息收集

nmap -sT --min-rate 10000 -p- 10.10.11.8 --unprivileged

PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 9.2p1 Debian 2+deb12u2 (protocol 2.0)
5000/tcp open  upnp?
| fingerprint-strings:
|   GetRequest:
|     HTTP/1.1 200 OK
|     Server: Werkzeug/2.2.2 Python/3.11.2
|     Set-Cookie: is_admin=InVzZXIi.uAlmXlTvm8vyihjNaPDWnvB_Zfs; Path=/
|     <title>Under Construction</title>

5000 是 Flask/Werkzeug Web。映射 hosts：

Valentine（HTB Easy）

Mon, 22 Sep 2025 00:00:00 +0000

Valentine（HTB Easy）

基本信息

IP：10.10.10.79
域名：valentine.htb

信息收集

映射域名：

vim /etc/hosts

10.10.10.79 valentine.htb

全端口扫描：

nmap -sT --min-rate 10000 -p- 10.10.10.79

Nmap scan report for 10.10.10.79
Host is up (0.22s latency).
Not shown: 53839 filtered tcp ports (no-response), 11693 closed tcp ports (conn-refused)
PORT    STATE SERVICE
22/tcp  open  ssh
80/tcp  open  http
443/tcp open  https

服务识别：

Caption（HTB Hard）

Wed, 27 Aug 2025 00:00:00 +0000

Caption（HTB Hard）

基本信息

IP：10.10.11.33
VPN：10.10.16.4
域名：caption.htb

信息收集

vim /etc/hosts

10.10.11.33    caption.htb

nmap -sT --min-rate 10000 -p- 10.10.11.33 --unprivileged

PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
8080/tcp open  http-proxy

nmap -sT -sV -sC -O -p 22,80,8080 10.10.11.33

PORT     STATE SERVICE    VERSION
22/tcp   open  ssh        OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)
80/tcp   open  http-proxy HAProxy http proxy 2.0.0 or later
|_http-title: Caption Portal Login
|_http-server-header: Werkzeug/3.0.1 Python/3.10.12
8080/tcp open  http       Jetty
|_http-title: GitBucket

80 是登录页，8080 是 GitBucket。

Puppy（HTB Medium）

Mon, 04 Aug 2025 00:00:00 +0000

Puppy（HTB Medium）

基本信息

IP：10.10.11.70
域名：puppy.htb
初始凭据：levi.james / KingofAkron2025!（平台提供）

信息收集

echo '10.10.11.70 puppy.htb dc.puppy.htb' | sudo tee -a /etc/hosts
nmap -sC -sV -Pn -p- 10.10.11.70

典型域控端口：88 / 135 / 139 / 389 / 445 / 464 / 593 / 636 / 3268 / 3269 / 5985。

Instant（HTB Medium）

Wed, 16 Oct 2024 00:00:00 +0000

Instant（HTB Medium）

基本信息

IP：10.10.11.37
VPN：10.10.16.4
域名：instant.htb

信息收集

vim /etc/hosts

10.10.11.37    instant.htb

rustscan -a 10.10.11.37 -- -sCVT
nmap -sC -sV -Pn -T4 10.10.11.37

22/tcp open  ssh     OpenSSH 9.6p1 Ubuntu 3ubuntu13.5
80/tcp open  http    Apache httpd 2.4.58
|_http-title: Instant Wallet

前端可下载 APK。目录穿越被限制。逆向 APK：

Sightless（HTB Easy）

Sun, 13 Oct 2024 00:00:00 +0000

Sightless（HTB Easy）

基本信息

IP：10.10.11.32
VPN：10.10.16.4
域名：sightless.htb

信息收集

vim /etc/hosts

rustscan -a 10.10.11.32 -- -sCTV

21/tcp open  ftp     syn-ack
| fingerprint-strings:
|   GenericLines:
|     220 ProFTPD Server (sightless.htb FTP Server) [::ffff:10.10.11.32]
|     Invalid command: try being more creative
22/tcp open  ssh     syn-ack OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)
80/tcp open  http    syn-ack nginx 1.18.0 (Ubuntu)
|_http-title: Sightless.htb

nmap -sC -sV -Pn -T4 -p- -oN AllPorts.nmap 10.10.11.32

子域名挖掘发现 http://sqlpad.sightless.htb，未授权，版本 6.10.0。

Yummy（HTB Hard）

Fri, 11 Oct 2024 00:00:00 +0000

Yummy（HTB Hard）

基本信息

IP：10.10.11.36
VPN：10.10.16.3
域名：yummy.htb

信息收集

修改 /etc/hosts 后扫描：

rustscan -a 10.10.11.36 -- -sCTV
nmap -sC -sV -Pn -T4 10.10.11.36

22/tcp open  ssh     OpenSSH 9.6p1 Ubuntu 3ubuntu13.5
80/tcp open  http    Caddy httpd
|_http-title: Yummy

前端用 JWT。预订套餐有下载功能，重放失败（有 token）。拦截后改下载路径做目录穿越：

Trickster（HTB Medium）

Tue, 08 Oct 2024 00:00:00 +0000

Trickster（HTB Medium）

基本信息

IP：10.10.11.34
VPN：10.10.16.15
域名：trickster.htb / shop.trickster.htb

信息收集

nmap -n -vv -sC -sV -Pn -T4 10.10.11.34

22/tcp open  ssh     OpenSSH 8.9p1 Ubuntu 3ubuntu0.10
80/tcp open  http    Apache httpd 2.4.52

目录扫描发现 .git/HEAD：

Infiltrator（HTB Insane）

Mon, 07 Oct 2024 00:00:00 +0000

Infiltrator（HTB Insane）

基本信息

IP：10.10.11.31
VPN：10.10.16.3
域名：infiltrator.htb / dc01.infiltrator.htb

信息收集

vim /etc/hosts
rustscan -a 10.10.11.31 -- -sCTV
nmap -sC -sV -Pn -T4 10.10.11.31

53/tcp   open  domain
80/tcp   open  http          Microsoft IIS httpd 10.0
88/tcp   open  kerberos-sec
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
389/tcp  open  ldap          Domain: infiltrator.htb
445/tcp  open  microsoft-ds?
464/tcp  open  kpasswd5?
593/tcp  open  ncacn_http
636/tcp  open  ssl/ldap
3268/tcp open  ldap
3269/tcp open  ssl/ldap
3389/tcp open  ms-wbt-server
5985/tcp open  http
9389/tcp open  mc-nmf

RDP NTLM：DNS_Computer_Name: dc01.infiltrator.htb。HTTP / SMB 匿名没有直接利用点。网页人名：

Cicada（HTB Easy）

Fri, 04 Oct 2024 00:00:00 +0000

Cicada（HTB Easy）

基本信息

IP：10.10.11.35
VPN：10.10.16.16
域名：cicada.htb

信息收集

vim /etc/hosts
nmap -sC -sV -Pn -T4 -p- -oN Allports.nmap 10.10.11.35

Host script results:
| smb2-security-mode:
|   3:1.1:
|_    Message signing enabled and required
|_clock-skew: 6h48m43s
| smb2-time:
|   date: 2024-10-03T12:00:17
|_  start_date: N/A

rustscan -a 10.10.11.35 -- -sCTV

53/tcp    open  domain        syn-ack Simple DNS Plus
88/tcp    open  kerberos-sec  syn-ack Microsoft Windows Kerberos
135/tcp   open  msrpc         syn-ack Microsoft Windows RPC
139/tcp   open  netbios-ssn   syn-ack Microsoft Windows netbios-ssn
389/tcp   open  ldap          syn-ack Microsoft Windows Active Directory LDAP (Domain: cicada.htb0.)
445/tcp   open  microsoft-ds? syn-ack
464/tcp   open  kpasswd5?     syn-ack
593/tcp   open  ncacn_http    syn-ack Microsoft Windows RPC over HTTP 1.0
636/tcp   open  ssl/ldap      syn-ack Microsoft Windows Active Directory LDAP
3268/tcp  open  ldap          syn-ack Microsoft Windows Active Directory LDAP
3269/tcp  open  ssl/ldap      syn-ack Microsoft Windows Active Directory LDAP
5985/tcp  open  http          syn-ack Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)

445 开放，先用 CVE-2020-0796（SMBGhost）验证：

Resource（HTB Hard）

Wed, 02 Oct 2024 00:00:00 +0000

Resource（HTB Hard）

基本信息

IP：10.10.11.27
VPN：10.10.16.7
域名：itrc.ssg.htb

信息收集

vim /etc/hosts

10.10.11.27 itrc.ssg.htb

nmap -n -vv --open -T4 -p- -oN AllPorts.nmap 10.10.11.27

80/tcp
22/tcp
2222/tcp

http://itrc.ssg.htb 有登录/注册。SQL 注入无果，注册后可上传 zip。?page=ticket&id=10 可能越权；?page=admin 能进，有 ping 窗口但命令执行失败。

MonitorsThree（HTB Medium）

Mon, 30 Sep 2024 00:00:00 +0000

MonitorsThree（HTB Medium）

基本信息

IP：10.10.11.30
VPN：10.10.16.15
域名：monitorsthree.htb / cacti.monitorsthree.htb

信息收集

nmap -sC -sV -Pn -T4 -p- -oN AllPorts.nmap 10.10.11.30
rustscan -a 10.10.11.30 -- -sCTV

22/tcp open  ssh     OpenSSH 8.9p1 Ubuntu 3ubuntu0.10
80/tcp open  http    nginx 1.18.0 (Ubuntu)
|_http-title: MonitorsThree - Networking Solutions

forgot_password.php 有 SQL 注入特征 '。

Lantern（HTB Hard）

Wed, 25 Sep 2024 00:00:00 +0000

Lantern（HTB Hard）

基本信息

IP：10.10.11.29
VPN：10.10.16.15
域名：lantern.htb

信息收集

vim /etc/hosts

10.10.11.29    lantern.htb

nmap -sC -sV -Pn -T4 10.10.11.29

22/tcp   open  ssh     OpenSSH 8.9p1 Ubuntu 3ubuntu0.10
80/tcp   open  http    Skipper Proxy
3000/tcp open  ppp?

/vacancies 有表单（可能 XSS）。3000 是 Blazor 管理后台。Skipper Proxy SSRF：EDB-51111，请求头 X-Skipper-Proxy。

Sea（HTB Easy）

Sun, 22 Sep 2024 00:00:00 +0000

Sea（HTB Easy）

基本信息

IP：10.10.11.28
VPN：10.10.16.7
域名：sea.htb

信息收集

nmap -n -vv --open -T4 -p- -oN AllPorts.nmap 10.10.11.28

PORT   STATE SERVICE REASON
22/tcp open  ssh     syn-ack ttl 63
80/tcp open  http    syn-ack ttl 63

修改 hosts：