内网渗透思路

拿到一台域内主机的内网本地管理员权限，离拿下整个内网还差得远。渗透思路很多人卡在这一步，内网以为扫一扫漏洞、渗透思路抓一抓密码就完事了，内网结果横向移动两步就被EDR拦下来。渗透思路内网渗透的内网核心不是工具堆砌，是渗透思路对目标网络结构和防御弱点的理解。

先说信息收集。内网这块最容易被轻视。渗透思路你登上一台Web服务器，内网第一件事不是渗透思路急着提权，而是内网看清楚它连了哪些网段、跑了什么服务、渗透思路跟哪些机器有会话。内网`netstat -ano`看连接，`arp -a`看邻居，`nltest /dclist`找域控。这些命令不花哨，但能拼出一张拓扑图。我见过有人拿到一台DMZ的机器就直接往内网打，结果那台机器只有一张网卡，根本不通内网，白忙活。

凭据收集是分水岭。本地SAM里的哈希、LSASS里的明文、浏览器保存的密码、配置文件里的连接字符串——这些都是燃料。Mimikatz当然好用，但现在直接往LSASS里读内存，十有八九触发告警。更稳的做法是从注册表导SAM和SYSTEM，离线解；或者翻翻`%APPDATA%`下面那些配置文件，里面经常躺着数据库密码或者API密钥。有一次我在一台运维跳板机的`config.json`里翻到了域管理员的凭据，压根没用到任何提权工具。

横向移动的姿势选择很关键。PsExec？早被标记烂了。WMI？流量特征也明显。现在更多用WinRM或者SMB配合计划任务，动静小。但真正决定成败的是凭据的权限级别。你抓到一个普通域用户的哈希，能做的事有限；抓到服务账号，可能就有本地管理员权限；抓到域管，那基本结束了。所以拿到凭据后先做权限映射，别急着乱打。

域内渗透有个绕不开的点：ADCS。证书服务配置不当，一个普通域用户就能申请到域控的证书，直接拿域管。Certipy这个工具把利用流程简化了很多。我去年在一个项目里就遇到ESC8配置错误，从一台普通工作站到域管，前后不到二十分钟。这种漏洞比找什么MS17-010高效多了。

还有一点常被忽略：日志和监控。你每一步操作都在产生事件。4624登录、4688进程创建、Sysmon的网络连接——防守方如果开了这些，你的行为就是透明的。所以渗透过程中要控制节奏，别在短时间内对大量主机做同样的操作。慢一点，像正常运维那样活动。有时候用目标自己的管理工具反而更隐蔽，比如用SCCM推送脚本，或者用组策略下发任务。

最后说权限维持。拿到域管不是终点，得想好怎么留下来。黄金票据、白银票据、DSRM账号、SID History——方法很多，但每一种都有对应的检测手段。选哪种取决于目标环境的监控水平。如果对方有完整的EDR和SIEM，那任何明显的持久化都会被发现。这时候不如考虑更软性的方式，比如在合法服务里插一个后门账号，或者滥用现有的委派配置。

内网渗透说到底是信息差和权限差的游戏。工具会过时，漏洞会修补，但对网络结构、凭据流转、防御盲点的理解不会过时。多花时间在侦察和凭据收集上，比急着上工具划算得多。

很赞哦!（837）