拿到一个低权限 Shell 之后的头 30 分钟

原创

奋斗的小浪
奋斗的小浪

船山信安

2026年10月21日 18:42
湖南

去阅读

实战笔记 · PENTEST

拿到一个低权限 Shell 之后的头 30 分钟

getshell 不是终点，是起点。前 30 分钟做什么，决定了这次是“一个 webshell”，还是“一条内网通道”。

我把这 30 分钟拆成五步，每步只回答一个问题。问题答完，图就有了。

本文为授权渗透测试方法论，所有操作均在书面授权范围内进行。文中命令用于自查与防守审计，不构成对任何系统的测试建议。

01第一步：我到底是谁

Linux 上四条命令：id、whoami、sudo -l、cat /etc/passwd | head。Windows 上三条：whoami /priv、whoami /groups、net user。

sudo -l 是这五条里性价比最高的。运维为了省事给个 NOPASSWD: ALL，等于把 root 直接递出来，而他自己可能已经忘了这回事。

这一步要回答的是：这个权限能读什么、能写什么、离提权还有几步。答不出来，后面四步都是瞎走。

02第二步：这台机器在内网的什么位置

uname -a、hostname、cat /etc/os-release 认系统；ip a、route -n、cat /etc/resolv.conf 认网络。

有个细节比 ip a 更能说明问题：cat /etc/hosts。它记录的是“这台机器平时连谁”，一张手写的关系图，比任何扫描结果都真实。

多网卡是常见情况。一台 web 服务器挂着 10.0.1.x 和 172.16.8.x 两个段，意味着它就是那个天然的跳板。发现这个，比发现一个 root 漏洞更值钱。

03第三步：这台机器上有什么

先找配置，再找凭据。找配置用文件名，找凭据用习惯：

配置文件（先限深度，别把整盘扫一遍）

find / -maxdepth 4 \( -name \"\.conf\" -o -name \"\.yml\" \

-o -name \"\.properties\" -o -name \"\.ini\" \) 2>/dev/null | head -50

凭据的固定藏身处

ls -la ~/.ssh/ ~/.my.cnf ~/.pgpass ~/.docker/config.json 2>/dev/null

cat ~/.bash\_history 2>/dev/null | tail -100

.bash\_history 是最容易被忽略的金矿。里面常有 mysql -u root -p明文、ssh 跳板机 的完整命令、备份脚本的路径、甚至某个运维顺手敲的 curl 带 token。

还有一个不成文的规律：配置文件的注释里，比配置本身更值钱。写注释的人往往顺手把内网地址、默认口令、临时方案都记下来了。

04第四步：还有谁活着

不要急着扫全段。先看三样东西：arp -a（本机知道的邻居）、ss -antp 或 netstat -ano（当前连接）、ps aux 或 tasklist（跑着什么）。

现存的连接比端口扫描准得多。扫描告诉你“可能存在什么服务”，连接告诉你“正在被谁用”。前者是可能性，后者是事实。

这一步的产出应该是一份名单：哪些 IP 在这台机器的通信白名单里，走的什么端口，什么进程发起的。这份名单就是下一步的优先顺序。

05第五步：把发现拼成一张图

三层就够：本机权限（能做什么）→ 可达网段（能去哪）→ 有凭据的系统（能进哪）。三层填满，这次测试的路线就清楚了。

急着横向是最常见的错误。手上有一个低权限 shell，凭感觉去撞另一台机器，撞出来的告警比收获多。先把图补完，再决定打哪一个点、用什么身份打。

时间是渗透里最贵的资源。盲目横向会把一次测试变成一次事故，而事故的代价从来不由技术决定。

06防守：这 30 分钟对应的四个盲区

1命令审计。很多单位只监控 webshell 落地，不监控落地之后敲了什么。真正的损失发生在第二段。

2配置文件权限。web 目录可读的 .env，等于把数据库交给任何拿到 shell 的人。

3sudo 最小化。NOPASSWD 加通配符命令，是提权报告里出现频率最高的一条。

4东西向流量基线。服务器主动连 LDAP、连 445、连 3389，如果没有基线，这类行为永远不会告警。

参考来源

MITRE ATT&CK — TA0007 Discovery（发现阶段技术矩阵）

MITRE ATT&CK — TA0006 Credential Access

NIST SP 800-61 Rev.2 计算机安全事件处理指南

CIS Controls v8 — CSC 4 企业资产与软件的受控使用

本文为技术事实陈述与防护建议，全部案例基于授权测试与公开研究；不提供针对未修复系统的完整攻击链，不构成未授权测试的建议。