kali内网渗透他人电脑
Kali Linux 装好之后，内网脑第一件事不是渗透急着扫端口，而是人电搞清楚自己站在哪张网里。很多人一上来就 `nmap -sS 192.168.1.0/24`，内网脑扫出一堆设备，渗透然后挨个试弱口令，人电这种做法效率低，内网脑还容易触发告警。渗透我自己的人电习惯是先看路由表，`ip route` 确认默认网关，内网脑再 `arp-scan --localnet` 把局域网里活着的渗透 IP 和 MAC 地址拉出来。这一步很快，人电几秒钟就能拿到一份真实设备清单，内网脑比盲目扫全网段靠谱得多。渗透 拿到清单之后，人电别急着上 msfconsole。先挑几台看起来像普通办公机的目标，用 `nmap -sV -O -p- --min-rate 2000` 做一次全端口服务识别。这里有个细节：Windows 机器通常开着 135、139、445，如果 445 开着且系统没打 MS17-010 补丁，那基本就是 EternalBlue 的活靶子。但现实里更多的情况是 445 被防火墙拦了，或者系统早就更新了。所以别把希望全押在一个漏洞上。 真正好用的入口往往是 Web 服务。内网里跑着大量 Tomcat、Jenkins、phpMyAdmin，管理员图省事，弱口令一抓一大把。用 `hydra -L users.txt -P pass.txt 192.168.1.50 http-post-form "/login:username=^USER^&password=^PASS^:F=incorrect"` 跑一轮，有时候十分钟就能拿到一个后台。进去之后别乱点，先找文件上传点或者命令执行接口。Tomcat 的 manager 后台可以直接部署 war 包，传一个 jsp 马上去，`curl http://target:8080/shell.jsp?cmd=whoami` 返回 `nt authority\system` 的时候，这台机器就算拿下了。 拿到 WebShell 只是第一步。接下来要提权、要留后门、要横向。Windows 上先 `systeminfo` 看补丁，再用 `whoami /priv` 看权限。如果当前用户有 SeImpersonatePrivilege，直接上 JuicyPotato 或者 PrintSpoofer，成功率很高。Linux 那边更简单，`sudo -l` 看一眼，有 NOPASSWD 的 vim 或者 find，直接 `sudo vim -c ':!/bin/bash'` 就 root 了。这些手法老套，但内网里就是管用。 横向移动的时候，别一上来就扫全网。先看当前机器上的凭据。Windows 上用 mimikatz `sekurlsa::logonpasswords` 抓内存里的明文密码或者 NTLM hash，很多时候能直接抓到域管的。抓到 hash 之后用 `crackmapexec smb 192.168.1.0/24 -u administrator -H 最后说一个容易被忽略的点：清理痕迹。Windows 上删掉上传的工具，清掉 4688 进程创建日志和 4624 登录日志。Linux 上 `history -c` 之后记得把 `~/.bash_history` 也清空，`/var/log/auth.log` 里自己的登录记录也要处理。别觉得内网没人看日志，真遇到有蓝队值守的环境，一个异常的 4624 类型 3 登录就能暴露整条攻击链。 整个过程里最关键的其实不是工具，是信息收集的耐心。Kali 里几百个工具，常用的就那十几个。把 nmap、hydra、crackmapexec、mimikatz、msf 这几个玩熟，比装一堆花哨的脚本管用得多。内网渗透拼的是细节和耐心，不是谁扫得快。