Joker零安全手把手教你如何搭建vulfocus靶场

最新推荐文章于 2024-05-29 09:46:22 发布

程序员菠萝

最新推荐文章于 2024-05-29 09:46:22 发布

阅读量855

点赞数 23

文章标签：安全 eureka 云原生

本文链接：https://blog.csdn.net/xnxqwzy/article/details/136186992

版权

本文详细介绍了Vulfocus漏洞集成平台的安装、配置过程，包括使用Docker和DockerCompose，以及其一键启动、计时模式和编排模式的特点。此外，还涵盖了Web渗透基础知识和相关工具的使用。

摘要由CSDN通过智能技术生成

vulfocus

```
* 简介
```
- vulfocus特性
- 安装docker和compose
- 简单docker学习
- 下载vulfocus
- 配置信息
- vulfocus
- ```
  * 编排模式
```
  - 计时模式

简介

vulfocus是一个漏洞集成平台，将漏洞环境docker镜像放入即可，开箱即用，简直就是居家打靶的必备良药啊😁；

vulfocus特性

一键漏洞环境启动方便简单；
自带flag功能且每次启动flag都会自动更新，明确漏洞是否利用成功；
带有计分功能也可适用于相关安全人员能力的考核；
兼容 Vulhub、Vulapps 中所有漏洞镜像；
支持可视化编排漏洞环境；

安装docker和compose

由于需要docker去拉取镜像环境，安装docker自然也就成了必备因素；

apt install docker.io

![在这里插入图片描述](https://img-
blog.csdnimg.cn/ef704113b81f4a229895439867130519.png#pic_center)

apt install docker-compose

![在这里插入图片描述](https://img-
blog.csdnimg.cn/1759b1a97b2a4db6999d22cae4ef8c19.png#pic_center)

简单docker学习

docker命令
#docker帮助命令
docker -help
#查看docker版本
docker -v
#开启docker
systemctl start docker
#停止docker
systemctl stop docker
#重启docker
systemctl restart docker
#设置docker开机自启动
systemctl enable docker
#查看docker状态
systemctl status docker

docker容器命令
#查看docker镜像列表
docker images
#查看正在运行的docker容器
docker ps
#查看所有docker容器
docker ps -a
#开启docker容器
docker-compose up -d
#停止docker容器
docker-compose down
#开启/停止/删除docker指定容器
docker start/stop/rm 容器ID
#删除已停止docker容器
docker rm $(docker ps -a -q)
#删除所有docker容器
docker rmi $(docker images -q)
#进入交互docker
docker exec -it 容器ID /bin/bash

下载vulfocus

执行命令下载vulfocus，该命令会自动进入vulfocus-master文件夹，如未进入则需手动进入以配置后面端口信息；(注：这里演示的是vps搭建，也可本地kali搭建)

wget https://github.com/fofapro/vulfocus/archive/refs/heads/master.zip && unzip master.zip && cd vulfocus-master

![在这里插入图片描述](https://img-
blog.csdnimg.cn/6931f96cb7a94bcca13faf8498c1cf8b.png#pic_center)

配置信息

默认的80端口可能会冲突，可修改为其他端口，这里修改为8081端口，其次就是修改IP为搭建环境的IP(两处)；

vi docker-compose.yaml

![在这里插入图片描述](https://img-
blog.csdnimg.cn/72a92d44c05c4fbb8a8ce74c57906293.png#pic_center)

执行命令拉取vulfocus镜像；

docker-compose up -d

![在这里插入图片描述](https://img-
blog.csdnimg.cn/8a91a7937ec64fda8b86428f4285c6bb.png#pic_center)

查看正在运行的容器，看到成功将本地的80端口映射到8081端口了；

docker ps

![在这里插入图片描述](https://img-
blog.csdnimg.cn/a8ebb0ec52904442a03c4fcdaeecfc51.png#pic_center)

vulfocus

访问vps-ip+端口，用户和密码默认都是admin；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/61d79bb623314fa7b3d9d79fdf0183c3.png#pic_center)

来到镜像管理，可一键同步所有的靶场镜像；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/d015e195f012462590af187c17d09bab.png#pic_center)

搜索想要拉取的镜像，下载即可；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/a468d78eefa943d79abd32e33bc17139.png#pic_center)

返回到首页查看拉取的镜像，启动访问即可；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/dfd5f6a5f72349698234c57b30dac37d.png#pic_center)

当然，也可以添加场景，根据自己的想法来设置，不错不错😆；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/abfa386e6847467e986ac701389e6cc5.png#pic_center)

编排模式

创建编排模式，注意只能创建拉取下载了的镜像哟；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/39a926e113424b33923e1a1bc208ebd6.png#pic_center)

点击右上角保存，然后输入信息；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/b6d2ce87cb174005840914a03dfdd1d8.png#pic_center)

将创建的镜像发布出去，然后来到场景位置启动环境就可以开启打靶之路啦；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/188949bf2faf4f4593397243087daa89.png#pic_center)
![在这里插入图片描述](https://img-
blog.csdnimg.cn/05c037fd59bd4b329105d2c38113d695.png#pic_center)

计时模式

选择计时模式，然后填写漏洞信息，设置适合的时长及其计时类型；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/00469cf61f864897b694f5c7bfe5f25d.png#pic_center)

下一步继续输入后点击完成，还是一样的回到场景启动环境即可；

![在这里插入图片描述](https://img-
blog.csdnimg.cn/57629efac65243048d345196cccdd108.png#pic_center)

![在这里插入图片描述](https://img-
blog.csdnimg.cn/1c65184566bc4596a043a39960720ec9.png#pic_center)
上一篇 >
vulhub靶场环境搭建

以上内容就是vulfocus手把手环境搭建全过程呢，如有还不太理解或有其他想法的小伙伴们都可以私信我或评论区打出来哟，如有写的不好的地方也请大家多多包涵一下，我也会慢慢去改进和提高的，请各位小伙伴多多支持，走之前别忘了点个赞哟😁！

Joker零安全微信公众号后续也会慢慢更新文章，希望各位小伙伴多多支持哟~~

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段