VNC 渗透测试方法论 (5800/5900/5901)
深入参考
- VNC 枚举、密码解密、已知漏洞详细命令 -> 读 references/vnc-techniques.md
整体决策树
发现 5800/5900/5901 端口开放
├─ Phase 1: 服务发现
│ ├─ Nmap 脚本扫描 -> 版本信息 / 认证绕过检测 / 标题获取
│ ├─ 确定 VNC 实现 (RealVNC / TightVNC / UltraVNC / TigerVNC / x11vnc)
│ └─ 端口映射:
│ ├─ 5800/5801 -> HTTP Web 客户端 (Java Applet)
│ └─ 5900/5901 -> VNC 协议原生端口 (display :0 / :1)
├─ Phase 2: 认证测试
│ ├─ 无认证访问检测 (Metasploit vnc_none_auth)
│ │ ├─ 无密码 -> 直接连接 vncviewer
│ │ └─ 需要密码 -> 进入爆破
│ ├─ 密码爆破 (hydra / medusa / ncrack)
│ └─ 默认密码尝试
├─ Phase 3: 密码文件解密
│ ├─ 目标文件: ~/.vnc/passwd (Linux) / 注册表 (Windows)
│ ├─ VNC 密码使用 3DES 固定密钥加密 (已被逆向)
│ └─ 工具: vncpwd / vncpasswd.py
├─ Phase 4: 已知漏洞
│ ├─ RealVNC 认证绕过
│ ├─ UltraVNC 缓冲区溢出
│ └─ 特定版本 CVE 检索
└─ Phase 5: 后渗透
├─ 截屏 / 键盘记录
├─ 文件传输 (UltraVNC)
└─ 反向 VNC 连接
Phase 1: 服务发现
1.1 Nmap 枚举
# VNC 脚本扫描: 信息获取 + 认证绕过检测 + 标题获取
nmap -sV --script vnc-info,realvnc-auth-bypass,vnc-title -p <PORT> <IP>
1.2 端口与显示号关系
| 端口 |
用途 |
说明 |
| 5800 |
HTTP (display :0) |
Java Web 客户端 |
| 5801 |
HTTP (display :1) |
Java Web 客户端 |
| 5900 |
VNC (display :0) |
标准 VNC 端口 |
| 5901 |
VNC (display :1) |
第二显示 |
Phase 2: 认证测试
2.1 无认证访问检测
# Metasploit — 检测 VNC 是否允许无密码访问
msf> use auxiliary/scanner/vnc/vnc_none_auth
msf> set RHOSTS <IP>
msf> run
2.2 连接 VNC
# 直接连接 (无密码或已知密码)
vncviewer <IP>::5901
# 使用密码文件连接
vncviewer -passwd passwd.txt <IP>::5901
2.3 密码爆破
# hydra
hydra -s 5900 -P passwords.txt -t 4 vnc://<IP>
# medusa
medusa -h <IP> -u "" -P passwords.txt -M vnc -n 5900
# ncrack
ncrack -vv --user "" -P passwords.txt <IP>:5900
2.4 认证测试决策树
VNC 认证状态
├─ vnc_none_auth 成功
│ └─ 直接连接 -> vncviewer <IP>::5900
├─ 需要密码
│ ├─ 爆破 (hydra / medusa / ncrack)
│ ├─ 尝试常见默认密码: password, vnc, 123456, <hostname>
│ └─ 已从目标获取密码文件 -> Phase 3 解密
└─ 认证类型未知
└─ vnc-info 脚本结果分析 -> 确定认证方式
Phase 3: 密码文件解密
VNC 密码使用 3DES 固定密钥 加密，该密钥多年前已被逆向。只要获取到加密的密码文件即可解密。
3.1 密码文件位置
| 平台 |
路径 |
| Linux (通用) |
~/.vnc/passwd |
| TightVNC (Windows) |
HKCU\Software\TightVNC\Server (Password 值) |
| RealVNC (Windows) |
HKLM\SOFTWARE\RealVNC\vncserver (Password 值) |
| UltraVNC (Windows) |
C:\Program Files\UltraVNC\ultravnc.ini |
3.2 解密方法
# vncpwd — 解密 VNC 密码文件
# https://github.com/jeroennijhof/vncpwd
make
vncpwd <vnc password file>
# Python 替代方案
# https://github.com/trinitronx/vncpasswd.py
python vncpasswd.py -d <encrypted_password_hex>
3.3 密码文件获取路径
获取 VNC 密码文件
├─ 已获得目标文件系统访问
│ ├─ Linux -> cat ~/.vnc/passwd
│ └─ Windows -> reg query 注册表路径 / 读取 ini 文件
├─ 通过其他漏洞读取文件
│ ├─ LFI / 任意文件读取
│ └─ 备份文件下载
└─ 解密后
└─ 使用明文密码连接 VNC
Phase 4: 已知漏洞
4.1 漏洞检测决策树
VNC 版本已知
├─ RealVNC 4.1.0–4.1.1
│ └─ 认证绕过 (Nmap realvnc-auth-bypass 脚本可检测)
├─ UltraVNC < 1.2.1.7
│ └─ 多个缓冲区溢出 CVE
├─ LibVNCServer < 0.9.12
│ └─ CVE-2018-15127 (堆溢出)
├─ TigerVNC < 1.10.1
│ └─ CVE-2019-15691 至 CVE-2019-15695 (栈溢出/堆溢出)
└─ 通用检测
└─ searchsploit vnc <version>
Phase 5: 后渗透
5.1 利用已连接的 VNC
已成功连接 VNC
├─ 观察桌面内容 (密码、敏感文件、其他会话)
├─ 键盘输入命令执行
├─ 文件传输 (UltraVNC 支持)
├─ 截图取证
└─ 查找其他凭据
├─ 浏览器保存的密码
├─ SSH 密钥
└─ 其他远程连接配置
Shodan 搜索
port:5900 RFB
wgpsec