掌握 Kali WSL 基础配置检查、Linux 目录结构、网络地址查看、监听端口识别和 DVWA 指纹确认。
外观
Kali渗透系统配置与信息收集
约 2058 字大约 7 分钟
网络安全技术Kali WSL信息收集
2026-04-28
教学导读
本项目对应“项目四：Kali 渗透系统配置与信息收集”。本节把 Kali WSL 从“能启动”推进到“会检查环境、会看网络、会做授权范围内的信息收集”。所有实操仍然只面向本机 DVWA 靶场。
课堂红线
信息收集不等于可以随意扫描。Whois、DNS、搜索引擎挖掘只学习原理；真实命令只允许面向 127.0.0.1:8080 或 DVWA 容器 IP，不对公网、校园网、同学设备或宿主机非实验服务执行扫描。
1. 项目任务与交付物
使用 /opt/hackingtool/README.md 认识 Information Gathering 分类，实际命令只使用 Kali 内置的 ip、ss、nmap、whatweb。
提交 Kali 环境检查记录、网络配置截图、DVWA 信息收集记录和结果解释。
本节内容与安全提醒
理解 Kali Linux、Linux 文件系统、网络接口、路由、监听端口和 Web 指纹的含义。
whoami、uname、ip、ss、nmap、whatweb、grep、course-scope。
形成一份“环境状态 + 目标边界 + 信息收集输出 + 解释”的记录。
本节安全提醒
hackingtool 在本节只作为工具目录和分类导航使用。看到 Information Gathering 类工具时，要先判断目标是否授权、是否在本机靶场、是否会产生越界流量。
2. 理论部分：Kali 与信息收集基础（约 2 学时）
2.1 Kali Linux 的课堂定位
Kali Linux 是面向安全测试、取证和攻防教学的 Linux 发行版，预装了大量安全工具。它不是“自动攻击系统”，工具能否使用、如何使用，取决于授权范围、目标边界和实验目的。
| 维度 | 正确理解 | 本课程边界 |
|---|---|---|
| 系统定位 | 安全工具集合与实验平台 | 使用已打包的 Kali WSL 镜像 |
| 工具定位 | 辅助观察、验证和报告 | 只对 DVWA 靶场运行 |
| 学习重点 | 理解工具输入、输出、误报与边界 | 不追求工具数量和攻击效果 |
Kali WSL 教学镜像
从课程镜像包到本机靶场的完整链路
1
镜像维护机
维护 Kali WSL 镜像、课程工具和导出脚本。
Export-Kali.ps12
分发包
包含 kali-wsl.tar.gz、安装脚本和课程说明。
package\3
学生 Windows
启用 WSL2 后导入镜像，无需各自拼装环境。
wsl.exe -d Kali4
Kali WSL
内置 nmap、docker、nikto、whatweb、sqlmap 等课程工具。
course-scope5
Docker 运行层
负责启动本机隔离靶场，不依赖外部目标。
start_dvwa6
DVWA 靶机
前三次课唯一允许测试的 Web 靶场。
localhost:80807
hackingtool
作为工具分类导航，课堂只选择授权范围内的工具。
/opt/hackingtool8
实验报告
记录拓扑、扫描证据、漏洞初检和防护建议。
report.md镜像导出学生导入Kali 启动Docker 靶场授权测试
课程统一打包，按分发包导入
课程不要求每台电脑各自从零安装 Kali，而是使用维护好的 WSL2 镜像包，保证工具、字体、Docker 靶场和课堂边界一致。
- 镜像维护目录：D:\Develop\WSL\Kali
- 分发目录：D:\Develop\WSL\Kali\package
- 学生运行 Install-Kali.ps1 后通过 wsl.exe -d Kali 启动
课堂边界： 只允许访问本机 Docker 靶场，例如
http://localhost:8080、127.0.0.1 或课程明确给出的容器地址。 2.2 Linux 文件系统与常用路径
| 路径 | 含义 | 课堂用途 |
|---|---|---|
/ | 根目录，所有路径的起点 | 理解 Linux 目录树 |
/etc | 系统配置目录 | 查看服务、网络、软件配置 |
/var/log | 日志目录 | 理解审计与排障位置 |
/opt | 第三方或课程工具目录 | /opt/hackingtool 位于这里 |
/tmp | 临时文件目录 | 保存课堂临时请求、Cookie、输出 |
2.3 Kali 网络边界可视化
ip route、docker0、127.0.0.1、172.17.0.2 容易混在一起。下面的组件把真实命令输出对应到“允许访问路径”和“禁止越界路径”。
Kali WSL 网络边界
从命令输出看清哪些目标可以碰
允许
Windows 浏览器
localhost:8080Kali 回环地址
127.0.0.1Docker 端口代理
docker-proxyDocker 网桥
docker0 172.17.0.1/16DVWA 容器
172.17.0.2:80Kali 默认路由
default via ...外部网络出口
eth0 / eth4禁止目标
公网 / 校园网 / 同学设备Windows 到 DVWA 的允许路径
浏览器访问 localhost:8080 时，请求只进入本机 Docker 靶场，不需要触碰真实外部网络。
- 对应输出
127.0.0.1:8080 -> docker-proxy -> 172.17.0.2:80- 课堂结论
- 这是本课程允许的主要 Web 访问路径。
2.4 信息收集的防守价值
信息收集（Information Gathering，先确认系统暴露了什么）是渗透测试前期阶段，也是防守方做资产盘点和暴露面治理的基础。它回答四个问题：
| 问题 | 对应命令 | 防守意义 |
|---|---|---|
| 我在哪台系统里 | whoami、uname -a | 判断身份与系统环境 |
| 我有哪些网络接口 | ip -brief address | 判断流量从哪里进出 |
| 哪些端口在监听 | ss -lntp | 发现本机暴露服务 |
| 目标是什么应用 | whatweb、nmap -sV | 识别 Web 技术栈和服务版本 |
信息收集证据板
把命令输出转换成报告结论
命令
ip -brief address show可采信证据
docker0 UP 172.17.0.1/16报告写法
Kali 存在 Docker 网桥，DVWA 容器位于本机实验网段。
不能写成
整个 172.17.0.0/16 都可以随意攻击。
3. 实践部分：Kali 环境检查与 DVWA 信息收集（约 2 学时）
3.1 系统身份与内核检查
whoami
uname -a真实输出示例（2026-04-28，本机 Kali）：
root
Linux DESKTOP-NSLOTHC 6.6.87.2-microsoft-standard-WSL2 #1 SMP PREEMPT_DYNAMIC Thu Jun 5 18:30:46 UTC 2025 x86_64 GNU/Linux结果解释：
root表示当前 Kali 镜像采用 root 用户运行，课堂命令不需要再切换账号。microsoft-standard-WSL2表示当前环境是 WSL2 内核，不是传统虚拟机。x86_64表示 64 位 Linux 环境，适合运行课程内安全工具。
3.2 网络接口与路由检查
ip -brief address show | grep -E "^(lo|eth|docker0)"
ip route | grep -E "default|docker0|172.17"真实输出示例：
lo UNKNOWN 127.0.0.1/8 10.255.255.254/32 ::1/128
loopback0 UP
eth0 UP 192.168.30.253/24 fd00:6868:6868:0:f627:1e5e:3497:f9ed/64 fd00:6868:6868::eeb/128 fd00:6868:6868:0:8463:401b:19ad:bbb1/128 fe80::60a5:5fe3:32a4:365a/64
eth1 DOWN
eth2 UP 100.67.68.72/32 fd7a:115c:a1e0::bf33:4448/128 fe80::5a4b:158f:775:281b/64
eth3 DOWN
eth4 UP 198.18.0.1/30 fdfe:dcba:9876::1/126
docker0 UP 172.17.0.1/16
default via 198.18.0.2 dev eth4 proto kernel
default via 192.168.30.1 dev eth0 proto kernel metric 20
172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1结果解释：
lo是本机回环接口，127.0.0.1只代表本机。eth0是 WSL 中的网络接口，地址会随电脑环境变化。docker0是 Docker 网桥，172.17.0.0/16是 DVWA 容器所在的本机靶场网络。default via ...是默认路由。课堂不需要对默认路由外的真实网络做扫描。
3.3 监听端口检查
ss -lntp | head -8真实输出示例：
State Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
LISTEN 0 1000 10.255.255.254:53 0.0.0.0:*
LISTEN 0 4096 127.0.0.1:35115 0.0.0.0:* users:(("containerd",pid=282,fd=12))
LISTEN 0 4096 127.0.0.1:8080 0.0.0.0:* users:(("docker-proxy",pid=809,fd=7))结果解释：
127.0.0.1:8080表示 DVWA 通过 Docker 映射到了本机 8080 端口。docker-proxy表示这个端口由 Docker 代理到容器内部 Web 服务。LISTEN只说明端口在监听，不等于存在漏洞，还需要服务识别和人工判断。
3.4 hackingtool 信息收集分类查看
cd /opt/hackingtool
pwd
ls -1 | head -8
grep -n "Information Gathering" README.md | head -3真实输出示例：
/opt/hackingtool
config.py
constants.py
core.py
docker-compose.yml
Dockerfile
generate_readme.py
hackingtool.py
images
83:| 2 | 🔍 [Information Gathering](#information-gathering-tools) | 26 | | 12 | 🔁 [Reverse Engineering](#reverse-engineering-tools) | 5 |
107:## 🔍 Information Gathering Tools结果解释：
/opt/hackingtool是课程镜像内预置的源码目录。README.md中的 Information Gathering 是工具分类索引，用来认识工具生态。- 本节不运行 hackingtool 的安装脚本，也不启动其中任何面向公网的工具。
3.5 DVWA 主机发现与 Web 指纹
nmap -sn 172.17.0.2真实输出示例：
Starting Nmap 7.99 ( https://nmap.org ) at 2026-04-28 14:30 +0800
Nmap scan report for 172.17.0.2
Host is up (0.000060s latency).
MAC Address: EE:22:1A:77:DE:08 (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 0.60 seconds结果解释：
Host is up表示 DVWA 容器在线。172.17.0.2是本机 Docker 靶场 IP，不同电脑上可能变化。-sn只做主机发现，不做端口扫描。
whatweb --no-errors --color=never http://127.0.0.1:8080/login.php真实输出示例：
http://127.0.0.1:8080/login.php [200 OK] Apache[2.4.25], Cookies[PHPSESSID,security], Country[RESERVED][ZZ], DVWA, HTTPServer[Debian Linux][Apache/2.4.25 (Debian)], IP[127.0.0.1], PHP, PasswordField[password], Title[Login :: Damn Vulnerable Web Application (DVWA) v1.10 *Development*]结果解释：
[200 OK]表示 DVWA 登录页响应正常。Apache[2.4.25]、PHP是 Web 技术栈线索。DVWA、Title[...]确认目标是课程靶场。PasswordField[password]说明页面包含密码输入框，是后续认证安全观察入口。
4. 信息收集记录模板
| 字段 | 填写要求 |
|---|---|
| 实验目标 | 127.0.0.1:8080 或 DVWA 容器 IP |
| 授权边界 | 本机 Kali WSL + Docker DVWA |
| 系统环境 | whoami、uname -a 输出 |
| 网络信息 | ip、ip route 输出中的关键接口 |
| 暴露服务 | ss -lntp 中与 DVWA 相关的监听端口 |
| 指纹信息 | WhatWeb 或 Nmap 识别出的 Web 服务 |
| 风险解释 | 明确“线索”和“漏洞结论”的区别 |
5. 课堂验收清单
| 验收项 | 标准 |
|---|---|
| 系统检查 | 能解释 root、WSL2、x86_64 的含义 |
| 网络检查 | 能指出 docker0 与 DVWA 容器网络的关系 |
| 端口检查 | 能解释 127.0.0.1:8080 与 docker-proxy |
| 信息收集 | 能完成 Nmap 主机发现与 WhatWeb 指纹识别 |
| 工具边界 | 能说明 hackingtool 只作为分类导航使用 |
6. 课后任务
- 完成一份 Kali 环境检查记录。
- 用表格解释
ip、ss、nmap、whatweb的作用区别。 - 在
/opt/hackingtool/README.md中找出 3 个 Information Gathering 工具，标注哪些不适合在前三次课和本节课实操。