1. 从一台靶机说起：为什么我反复推荐新手从 Archetype 入门
如果你刚开始接触网络安全实战演练，或者已经刷了不少理论题但一上真实环境就发懵，那我建议你认真看看这个叫 Archetype 的靶场机器。它不是什么花哨的零日漏洞合集，也不是那种需要你写几百行利用代码才能拿下的硬核目标。恰恰相反，Archetype 的价值在于它足够“朴素”——朴素到几乎每一个步骤都对应着真实工作中会遇到的场景：一个暴露在外的数据库服务、一组弱到离谱的凭据、一个配置不当的权限提升路径。你在这台机器上学到的不是某个特定漏洞的奇技淫巧，而是一整套从信息收集到立足、再到提权的完整思维链条。
我见过太多新手卡在同一个地方：知道一堆工具的名字，但不知道什么时候该用哪个；能背出 MS17-010 的利用流程，但面对一台陌生机器时连第一步该敲什么命令都要愣半天。Archetype 恰好能治这个病。它的攻击面非常清晰，服务不多，但每一个都值得你停下来想一想“为什么这里会有这个服务”“这个版本意味着什么”“我拿到的这组凭据还能用在哪儿”。整个过程就像一位耐心的教练，把渗透测试的标准流程拆解成一个个小关卡，让你在动手的过程中把方法论刻进肌肉记忆里。
这篇文章我会按照实际打靶的顺序，把 Archetype 从头到尾拆一遍。不只是告诉你“敲这个命令”，更重要的是解释“为什么是这个命令”“我当时是怎么想的”“如果换一台机器这个思路还成不成立”。文章会覆盖信息收集、服务枚举、凭据获取、初始立足、权限提升这几个核心阶段，中间穿插我踩过的坑和总结出来的速查技巧。不管你是刚买了两小时靶场时长的新手，还是想找个简单目标练练手的老手，应该都能从里面找到点有用的东西。
2. 信息收集：别急着扫端口，先想清楚你要找什么
2.1 第一轮扫描：从“有什么”到“是什么”
拿到一台靶机，第一件事永远是信息收集。但信息收集不是无脑把 nmap 的所有脚本都跑一遍，那样既浪费时间又容易被防护设备盯上。我的习惯是先做一轮快速的全端口扫描，搞清楚“有哪些门是开着的”，然后再针对性地做深度枚举。
对 Archetype 这台机器，我一般会先用这样的命令做第一轮探测：
nmap -sS -p- --min-rate 5000 -T4 -oN quick_scan.txt <目标IP>这里有几个参数值得说一下。-sS是 SYN 半开扫描，速度快且相对隐蔽；-p-表示扫描全部 65535 个端口，别偷懒只扫常见端口，很多靶机的突破口就藏在非常规端口上；--min-rate 5000是强制发包速率不低于每秒 5000 个，在靶场环境里可以放心用，能大幅缩短扫描时间；-T4是时序模板，平衡速度和准确性；-oN把结果保存下来，方便后面复查。
扫完之后你会发现几个开放端口。根据我的经验，Archetype 上最值得关注的是这几个：135/139/445这一组 Windows 经典端口，以及1433这个数据库端口。看到 445 和 1433 同时出现，脑子里应该立刻亮起两盏灯：SMB 共享可能有东西，MSSQL 数据库可能有弱口令或者可以匿名访问。
接下来做第二轮针对性扫描，把版本信息和默认脚本都跑上：
nmap -sV -sC -p 135,139,445,1433 -oN detailed_scan.txt <目标IP>-sV探测服务版本，-sC跑默认脚本集。这一步的输出会告诉你 SMB 是否允许匿名登录、MSSQL 的版本号是多少、有没有什么明显的配置问题。我实测下来，Archetype 的 SMB 是允许匿名访问的，而且能列出一个共享目录。这就是第一个突破口。
注意：很多人扫完端口就直接去搜漏洞库了，这是本末倒置。先把服务本身摸清楚——版本、配置、可访问性——再决定往哪个方向深入。版本号只是线索，不是答案。
2.2 SMB 枚举：匿名访问能挖出什么
SMB 允许匿名访问在真实环境里不算罕见，尤其是内部文件服务器配置疏忽的时候。Archetype 上这一步的关键是列出共享并尝试读取内容。我常用的工具是smbclient和smbmap，两个配合着用。
先用smbmap快速看一眼有哪些共享以及当前用户的权限：
smbmap -H <目标IP>如果显示某个共享的权限是 READ ONLY 或者 READ, WRITE，那就值得进一步看。Archetype 上会有一个叫backups的共享，权限是只读。这时候用smbclient连上去：
smbclient //<目标IP>/backups -N-N表示不使用密码，也就是匿名登录。进去之后用ls列目录，用get下载文件。我在这里找到的是一个配置文件，里面赫然写着一组数据库凭据。这就是典型的“配置泄露”——管理员把包含敏感信息的文件放在了匿名可访问的共享里。
这里有个实操心得：下载文件之前先看清楚文件大小和修改时间，优先下载那些看起来像配置文件、脚本、备份文件的。smbclient里可以用mask和recurse命令批量操作，但靶场环境文件不多，手动一个个看反而更稳妥。
提示：如果
smbclient匿名登录失败，可以试试smbclient -L <目标IP> -N先列出共享，再用-U指定空用户名。有时候配置差异会导致匿名访问的表现不一样。
3. 从凭据到立足：MSSQL 的利用路径
3.1 用拿到的凭据登录数据库
从 SMB 共享里拿到的那组凭据，用户名通常是sql_svc之类，密码是一串看起来像自动生成的字符串。这时候要判断：这组凭据能用在哪儿？最直接的猜测就是同机器上的 MSSQL 服务。
连接 MSSQL 我用的是impacket工具集中的mssqlclient.py，这个工具在 Linux 环境下非常顺手：
python3 mssqlclient.py <用户名>:<密码>@<目标IP> -windows-auth-windows-auth表示使用 Windows 身份验证。连上之后你会看到一个 SQL 提示符，说明已经成功登录数据库。到这一步，很多人会急着去找xp_cmdshell执行系统命令，但先别急，我建议先做几件事：查看当前用户的权限、看看有哪些数据库、有没有什么存储过程可以调用。
SELECT SYSTEM_USER; SELECT IS_SRVROLEMEMBER('sysadmin'); SELECT name FROM sys.databases;如果IS_SRVROLEMEMBER('sysadmin')返回 1，那恭喜你，当前账户是 sysadmin 权限，可以启用xp_cmdshell来执行系统命令。如果不是，那就得另想办法，比如找找有没有其他可以利用的存储过程或者链接服务器。
3.2 启用 xp_cmdshell 并获取反向 shell
xp_cmdshell是 MSSQL 里一个非常有用的扩展存储过程，默认是禁用的，但 sysadmin 可以重新启用它。启用命令如下：
EXEC sp_configure 'show advanced options', 1; RECONFIGURE; EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;执行完之后就可以用xp_cmdshell 'whoami'来验证命令执行了。接下来就是获取一个交互式 shell。我一般用nc在本地监听一个端口，然后让目标机器反向连接过来。但 Windows 环境下nc不一定有，所以更稳妥的方式是用 PowerShell 下载并执行一个反向 shell 脚本，或者直接用xp_cmdshell执行一条 PowerShell 命令来建立连接。
我常用的一个方法是先用xp_cmdshell下载一个简单的 PowerShell 反向 shell 脚本到目标机器，然后执行它。具体命令这里不展开，核心思路是：利用数据库的命令执行能力，把目标机器上的 shell 弹回到我的监听端口。
注意：
xp_cmdshell执行命令时是以 SQL Server 服务账户的权限运行的，通常是sql_svc这样的低权限账户。这意味着你拿到的 shell 权限有限，后面还需要提权。但这一步已经足够让你在目标机器上立足了。
拿到 shell 之后，第一件事是确认当前用户和权限：
whoami whoami /priv systeminfowhoami /priv会列出当前账户拥有的特权，这对后续提权非常关键。systeminfo则提供系统版本、补丁情况等信息，可以用来判断有没有可用的本地提权漏洞。
4. 权限提升：从服务账户到系统权限
4.1 枚举提权路径：先看特权，再看配置
拿到sql_svc的 shell 之后，不要急着去跑各种提权脚本。先手动做一轮基础枚举，很多时候答案就摆在眼前。我习惯按这个顺序检查：
- 当前用户和组：
whoami /all看有没有加入什么特殊组 - 特权列表：
whoami /priv看有没有SeImpersonatePrivilege之类的令牌特权 - 系统信息：
systeminfo看补丁级别 - 服务配置：
sc query和sc qc看有没有可写路径的服务 - 计划任务：
schtasks /query看有没有以高权限运行的任务 - 文件系统：看看用户目录、临时目录、程序目录有没有可写权限
在 Archetype 上，sql_svc这个账户通常会有SeImpersonatePrivilege特权。这个特权本身是合法的，很多服务账户都有，但它可以被用来做令牌模拟，从而实现提权。经典的利用工具是JuicyPotato、RoguePotato或者更新的PrintSpoofer，具体用哪个取决于目标系统的版本。
4.2 利用 SeImpersonatePrivilege 提权
SeImpersonatePrivilege的利用原理简单说就是：拥有这个特权的进程可以模拟其他用户的令牌，包括 SYSTEM 令牌。攻击者可以诱导一个高权限进程连接到攻击者控制的命名管道，然后窃取它的令牌来执行命令。
我一般会先上传一个PrintSpoofer或者JuicyPotato的可执行文件到目标机器。上传方式可以用certutil从攻击机下载，也可以用 PowerShell 的Invoke-WebRequest。上传之后执行：
PrintSpoofer.exe -i -c cmd如果成功，你会得到一个 SYSTEM 权限的命令行。这时候whoami应该返回nt authority\system。到这一步，这台机器就算完全拿下了。
提示：不同 Windows 版本对令牌模拟的利用方式有差异。
JuicyPotato在较老的系统上很稳，但新版本可能失效；PrintSpoofer对 Windows 10 和 Server 2019 支持较好。如果一种工具不行，换另一种试试，别在一棵树上吊死。
4.3 另一种思路：从数据库配置里找线索
除了令牌模拟，Archetype 还有一个更“优雅”的提权路径：数据库服务的配置文件中可能保存了更高权限账户的凭据。我在实际打靶时注意到，MSSQL 服务的安装目录下有时候会有配置文件或者日志文件，里面可能记录了服务账户的密码或者连接字符串。
具体操作是：拿到初始 shell 后，去C:\Program Files\Microsoft SQL Server目录下翻一翻，看看有没有.ini、.xml、.config之类的文件。如果找到包含明文密码的文件，就可以用runas或者psexec以更高权限的账户执行命令。
这个思路在真实环境中也非常有用。很多管理员在部署服务时会把凭据硬编码在配置文件里，而这些文件往往权限设置不当，低权限用户也能读取。养成“翻配置文件”的习惯，比单纯依赖漏洞利用工具更可靠。
5. 常见问题与排查技巧实录
5.1 连接 MSSQL 失败怎么办
有时候mssqlclient.py会报连接错误，可能的原因有几个：目标端口没开、凭据不对、或者需要加密连接。排查顺序如下：
| 问题现象 | 可能原因 | 解决方法 |
|---|---|---|
| Connection refused | 端口未开放或服务未启动 | 重新扫描确认 1433 端口状态 |
| Login failed | 凭据错误或账户被锁 | 检查从 SMB 获取的凭据是否完整，注意大小写 |
| SSL error | 需要加密连接 | 加-ssl参数或使用--port指定端口 |
| Timeout | 网络不通或防火墙拦截 | 检查目标 IP 是否正确，尝试 ping 测试 |
我遇到最多的情况是凭据里的特殊字符导致 shell 解析出错。比如密码里包含$或!，在命令行里需要转义或者用单引号包裹。这种细节看起来不起眼，但卡住的时候能让人抓狂。
5.2 xp_cmdshell 启用失败怎么办
如果sp_configure执行后报权限不足，说明当前账户不是 sysadmin。这时候可以试试以下路径：
- 查看当前账户是否属于
db_owner角色，有些数据库的 owner 也能启用某些功能 - 检查有没有链接服务器（linked server），通过链接服务器可能可以执行命令
- 看看有没有其他存储过程可以利用，比如
sp_OACreate配合sp_OAMethod执行命令
如果都不行，那就回到信息收集阶段，看看有没有其他服务或者凭据可以拿到更高权限的数据库账户。
5.3 反向 shell 连不回来怎么办
反向 shell 失败的原因通常有三类：网络不通、命令写错、目标机器没有可用的解释器。排查步骤：
- 先在目标机器上用
xp_cmdshell 'ping <攻击机IP>'测试网络连通性 - 确认监听端口没有被本地防火墙拦截
- 检查反向 shell 命令的语法，特别是引号和转义字符
- 如果 PowerShell 被限制，试试用
certutil下载一个独立的可执行文件来建立连接
我个人的经验是，在 Windows 环境下用 PowerShell 做反向 shell 最稳，但要注意执行策略可能限制脚本运行。可以用powershell -ExecutionPolicy Bypass -File来绕过。
5.4 提权工具被杀软拦截怎么办
靶场环境一般没有杀软，但真实环境里JuicyPotato、PrintSpoofer这些工具很容易被查杀。应对方法有几个：
- 对工具进行混淆或加壳，改变特征码
- 使用 PowerShell 脚本版本，减少可执行文件落地
- 尝试手动利用令牌模拟，不依赖现成工具
- 寻找其他提权路径，比如服务配置错误、计划任务、注册表权限等
在 Archetype 上你不需要担心这些，但养成“多路径思维”对真实工作很有帮助。
6. 打靶之后的复盘：这台机器教会我的几件事
打完 Archetype 之后我习惯做一次复盘，把整个攻击链重新梳理一遍，看看哪些步骤是必须的，哪些地方可以优化。这台机器最值得回味的点在于：它没有任何一个环节依赖高深的技术，但每一个环节都要求你理解自己在做什么。
从 SMB 匿名访问到配置文件泄露，从数据库弱口令到命令执行，从服务账户到 SYSTEM 权限，这条路径在真实环境中出现的频率远比想象中高。很多企业内网的问题不是缺少防护设备，而是基础配置没做好——共享权限没收紧、服务账户密码太弱、配置文件没加密、不必要的功能没关闭。Archetype 把这些常见问题集中到一台机器上，让你在安全的环境里体验一遍“如果我是攻击者会怎么走”。
我个人的体会是，打靶场最大的价值不在于“拿下”的那一刻，而在于过程中形成的条件反射。比如看到 445 端口就想到 SMB 枚举，看到 1433 就想到数据库凭据，拿到 shell 就想到whoami /priv，这些反应速度是靠反复练习积累出来的。Archetype 作为入门机器，正好提供了这样一个低门槛、高回报的练习场。
最后分享一个小技巧：打完一台机器后，试着不看笔记重新走一遍流程，看看哪些步骤还需要查资料。那些需要查资料的环节，就是你下一步该重点补强的地方。Archetype 的流程不算长，很适合用来做这种“盲打”练习。等你能够不假思索地完成整条攻击链，再去看更复杂的靶机，会发现很多思路都是相通的。
