内网渗透代理这件事，内网本质上是渗透一场“借道”的游戏。你攻陷了一台跳板机，代理但真正的内网目标藏在三层网络之后，直接连过去的渗透路由根本不通。代理就是代理你在内网里搭的桥，让流量从你的内网攻击机，经过那台被控制的渗透机器，再流向更深处。代理

最粗浅的内网做法是端口转发。用netsh或iptables把目标机器的渗透3389端口映射到你的公网VPS上，然后直接远程桌面连过去。代理这招对付单台机器还行，内网可一旦你面对的渗透是一个有几十台主机的网段，一个个手动映射能把你累死。代理而且流量特征太明显，蓝队盯着端口变化就能发现异常。

真正的分水岭是HTTP代理和SOCKS代理。我遇到过最典型的一次渗透，对方内网分三个隔离区，办公网、生产网、数据库区，每层之间只有特定端口放行。我拿到办公网一台普通员工电脑的权限后，用frp起了一个socks5代理，把流量转发到我的VPS。然后本地用proxychains挂上这个代理，nmap扫描生产网段——注意，扫描流量是经过那台员工电脑发出去的，在目标系统看来，攻击源就是那台“无辜”的办公机。

但代理不是架起来就完事。内网里的横向移动经常需要访问不同的协议，socks5虽然通用，可遇到需要动态端口的情况就很尴尬——比如某些应用会随机打开高位端口回连。这时候就得靠代理链的精细化设计。我在一次实战里，先通过HTTP代理进入第一层网络，再在第二层跳板机上部署一个正向socks代理，最后用EarthWorm做端口复用，把多个内网服务的流量都塞进同一条TCP连接里。整个过程像组装乐高，每一块都要卡得严丝合缝。

代理的隐蔽性比速度重要得多。很多人上来就开全端口扫描，结果被EDR的异常流量检测直接揪出来。我习惯把代理的通讯端口伪装成HTTPS，用TLS加密流量，让防火墙以为只是普通的网页访问。有一次甚至直接把代理架在目标的IIS服务上，用它的80端口做流量中转——蓝队查日志时看到的是正常的Web请求，根本想不到后面藏着一条隧道。

代理断开后的清理同样关键。有一次我在撤离时忘了删掉跳板机上的注册表服务项，结果对方安全团队顺着这条线索追溯了三个月，差点挖出我的入口。现在我做代理都会记录下每台机器的配置文件路径、启动方式，撤的时候一条条清干净，连临时目录里的日志碎片都不放过。

说到底，代理技术本身不复杂，难的是对整个内网拓扑的判断。你得清楚哪些节点值得架代理，哪些只是过路站。有一次我为了跨过三个隔离区，硬是架了四层代理，每加一层延迟就高一点，操作起来卡得要命，但为了摸到核心数据库的值钱数据，这点代价完全值得。内网渗透代理玩到深处，拼的不是工具多炫，而是你对网络路径的理解有多透彻。