掌握 Kali WSL 基础配置检查、Linux 目录结构、网络地址查看、监听端口识别和 DVWA 指纹确认。
外观
外观
约 2058 字大约 7 分钟
网络安全技术Kali WSL信息收集
2026-04-28
教学导读
本项目对应“项目四:Kali 渗透系统配置与信息收集”。本节把 Kali WSL 从“能启动”推进到“会检查环境、会看网络、会做授权范围内的信息收集”。所有实操仍然只面向本机 DVWA 靶场。
课堂红线
信息收集不等于可以随意扫描。Whois、DNS、搜索引擎挖掘只学习原理;真实命令只允许面向 127.0.0.1:8080 或 DVWA 容器 IP,不对公网、校园网、同学设备或宿主机非实验服务执行扫描。
掌握 Kali WSL 基础配置检查、Linux 目录结构、网络地址查看、监听端口识别和 DVWA 指纹确认。
使用 /opt/hackingtool/README.md 认识 Information Gathering 分类,实际命令只使用 Kali 内置的 ip、ss、nmap、whatweb。
提交 Kali 环境检查记录、网络配置截图、DVWA 信息收集记录和结果解释。
理解 Kali Linux、Linux 文件系统、网络接口、路由、监听端口和 Web 指纹的含义。
whoami、uname、ip、ss、nmap、whatweb、grep、course-scope。
形成一份“环境状态 + 目标边界 + 信息收集输出 + 解释”的记录。
本节安全提醒
hackingtool 在本节只作为工具目录和分类导航使用。看到 Information Gathering 类工具时,要先判断目标是否授权、是否在本机靶场、是否会产生越界流量。
Kali Linux 是面向安全测试、取证和攻防教学的 Linux 发行版,预装了大量安全工具。它不是“自动攻击系统”,工具能否使用、如何使用,取决于授权范围、目标边界和实验目的。
| 维度 | 正确理解 | 本课程边界 |
|---|---|---|
| 系统定位 | 安全工具集合与实验平台 | 使用已打包的 Kali WSL 镜像 |
| 工具定位 | 辅助观察、验证和报告 | 只对 DVWA 靶场运行 |
| 学习重点 | 理解工具输入、输出、误报与边界 | 不追求工具数量和攻击效果 |
Kali WSL 教学镜像
维护 Kali WSL 镜像、课程工具和导出脚本。
Export-Kali.ps1包含 kali-wsl.tar.gz、安装脚本和课程说明。
package\启用 WSL2 后导入镜像,无需各自拼装环境。
wsl.exe -d Kali内置 nmap、docker、nikto、whatweb、sqlmap 等课程工具。
course-scope负责启动本机隔离靶场,不依赖外部目标。
start_dvwa前三次课唯一允许测试的 Web 靶场。
localhost:8080作为工具分类导航,课堂只选择授权范围内的工具。
/opt/hackingtool记录拓扑、扫描证据、漏洞初检和防护建议。
report.md课程不要求每台电脑各自从零安装 Kali,而是使用维护好的 WSL2 镜像包,保证工具、字体、Docker 靶场和课堂边界一致。
http://localhost:8080、127.0.0.1 或课程明确给出的容器地址。 | 路径 | 含义 | 课堂用途 |
|---|---|---|
/ | 根目录,所有路径的起点 | 理解 Linux 目录树 |
/etc | 系统配置目录 | 查看服务、网络、软件配置 |
/var/log | 日志目录 | 理解审计与排障位置 |
/opt | 第三方或课程工具目录 | /opt/hackingtool 位于这里 |
/tmp | 临时文件目录 | 保存课堂临时请求、Cookie、输出 |
ip route、docker0、127.0.0.1、172.17.0.2 容易混在一起。下面的组件把真实命令输出对应到“允许访问路径”和“禁止越界路径”。
Kali WSL 网络边界
localhost:8080127.0.0.1docker-proxydocker0 172.17.0.1/16172.17.0.2:80default via ...eth0 / eth4公网 / 校园网 / 同学设备浏览器访问 localhost:8080 时,请求只进入本机 Docker 靶场,不需要触碰真实外部网络。
127.0.0.1:8080 -> docker-proxy -> 172.17.0.2:80信息收集(Information Gathering,先确认系统暴露了什么)是渗透测试前期阶段,也是防守方做资产盘点和暴露面治理的基础。它回答四个问题:
| 问题 | 对应命令 | 防守意义 |
|---|---|---|
| 我在哪台系统里 | whoami、uname -a | 判断身份与系统环境 |
| 我有哪些网络接口 | ip -brief address | 判断流量从哪里进出 |
| 哪些端口在监听 | ss -lntp | 发现本机暴露服务 |
| 目标是什么应用 | whatweb、nmap -sV | 识别 Web 技术栈和服务版本 |
信息收集证据板
ip -brief address showdocker0 UP 172.17.0.1/16Kali 存在 Docker 网桥,DVWA 容器位于本机实验网段。
整个 172.17.0.0/16 都可以随意攻击。
whoami
uname -a真实输出示例(2026-04-28,本机 Kali):
root
Linux DESKTOP-NSLOTHC 6.6.87.2-microsoft-standard-WSL2 #1 SMP PREEMPT_DYNAMIC Thu Jun 5 18:30:46 UTC 2025 x86_64 GNU/Linux结果解释:
root 表示当前 Kali 镜像采用 root 用户运行,课堂命令不需要再切换账号。microsoft-standard-WSL2 表示当前环境是 WSL2 内核,不是传统虚拟机。x86_64 表示 64 位 Linux 环境,适合运行课程内安全工具。ip -brief address show | grep -E "^(lo|eth|docker0)"
ip route | grep -E "default|docker0|172.17"真实输出示例:
lo UNKNOWN 127.0.0.1/8 10.255.255.254/32 ::1/128
loopback0 UP
eth0 UP 192.168.30.253/24 fd00:6868:6868:0:f627:1e5e:3497:f9ed/64 fd00:6868:6868::eeb/128 fd00:6868:6868:0:8463:401b:19ad:bbb1/128 fe80::60a5:5fe3:32a4:365a/64
eth1 DOWN
eth2 UP 100.67.68.72/32 fd7a:115c:a1e0::bf33:4448/128 fe80::5a4b:158f:775:281b/64
eth3 DOWN
eth4 UP 198.18.0.1/30 fdfe:dcba:9876::1/126
docker0 UP 172.17.0.1/16
default via 198.18.0.2 dev eth4 proto kernel
default via 192.168.30.1 dev eth0 proto kernel metric 20
172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1结果解释:
lo 是本机回环接口,127.0.0.1 只代表本机。eth0 是 WSL 中的网络接口,地址会随电脑环境变化。docker0 是 Docker 网桥,172.17.0.0/16 是 DVWA 容器所在的本机靶场网络。default via ... 是默认路由。课堂不需要对默认路由外的真实网络做扫描。ss -lntp | head -8真实输出示例:
State Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
LISTEN 0 1000 10.255.255.254:53 0.0.0.0:*
LISTEN 0 4096 127.0.0.1:35115 0.0.0.0:* users:(("containerd",pid=282,fd=12))
LISTEN 0 4096 127.0.0.1:8080 0.0.0.0:* users:(("docker-proxy",pid=809,fd=7))结果解释:
127.0.0.1:8080 表示 DVWA 通过 Docker 映射到了本机 8080 端口。docker-proxy 表示这个端口由 Docker 代理到容器内部 Web 服务。LISTEN 只说明端口在监听,不等于存在漏洞,还需要服务识别和人工判断。cd /opt/hackingtool
pwd
ls -1 | head -8
grep -n "Information Gathering" README.md | head -3真实输出示例:
/opt/hackingtool
config.py
constants.py
core.py
docker-compose.yml
Dockerfile
generate_readme.py
hackingtool.py
images
83:| 2 | 🔍 [Information Gathering](#information-gathering-tools) | 26 | | 12 | 🔁 [Reverse Engineering](#reverse-engineering-tools) | 5 |
107:## 🔍 Information Gathering Tools结果解释:
/opt/hackingtool 是课程镜像内预置的源码目录。README.md 中的 Information Gathering 是工具分类索引,用来认识工具生态。nmap -sn 172.17.0.2真实输出示例:
Starting Nmap 7.99 ( https://nmap.org ) at 2026-04-28 14:30 +0800
Nmap scan report for 172.17.0.2
Host is up (0.000060s latency).
MAC Address: EE:22:1A:77:DE:08 (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 0.60 seconds结果解释:
Host is up 表示 DVWA 容器在线。172.17.0.2 是本机 Docker 靶场 IP,不同电脑上可能变化。-sn 只做主机发现,不做端口扫描。whatweb --no-errors --color=never http://127.0.0.1:8080/login.php真实输出示例:
http://127.0.0.1:8080/login.php [200 OK] Apache[2.4.25], Cookies[PHPSESSID,security], Country[RESERVED][ZZ], DVWA, HTTPServer[Debian Linux][Apache/2.4.25 (Debian)], IP[127.0.0.1], PHP, PasswordField[password], Title[Login :: Damn Vulnerable Web Application (DVWA) v1.10 *Development*]结果解释:
[200 OK] 表示 DVWA 登录页响应正常。Apache[2.4.25]、PHP 是 Web 技术栈线索。DVWA、Title[...] 确认目标是课程靶场。PasswordField[password] 说明页面包含密码输入框,是后续认证安全观察入口。| 字段 | 填写要求 |
|---|---|
| 实验目标 | 127.0.0.1:8080 或 DVWA 容器 IP |
| 授权边界 | 本机 Kali WSL + Docker DVWA |
| 系统环境 | whoami、uname -a 输出 |
| 网络信息 | ip、ip route 输出中的关键接口 |
| 暴露服务 | ss -lntp 中与 DVWA 相关的监听端口 |
| 指纹信息 | WhatWeb 或 Nmap 识别出的 Web 服务 |
| 风险解释 | 明确“线索”和“漏洞结论”的区别 |
| 验收项 | 标准 |
|---|---|
| 系统检查 | 能解释 root、WSL2、x86_64 的含义 |
| 网络检查 | 能指出 docker0 与 DVWA 容器网络的关系 |
| 端口检查 | 能解释 127.0.0.1:8080 与 docker-proxy |
| 信息收集 | 能完成 Nmap 主机发现与 WhatWeb 指纹识别 |
| 工具边界 | 能说明 hackingtool 只作为分类导航使用 |
ip、ss、nmap、whatweb 的作用区别。/opt/hackingtool/README.md 中找出 3 个 Information Gathering 工具,标注哪些不适合在前三次课和本节课实操。