拿到一台内网机器的内网渗透权限，只是内网渗透起点。真正的内网渗透麻烦在于，你面前的内网渗透网络拓扑可能是一张画错了的地图，而你要靠手里的内网渗透几个漏洞和一点运气，摸到域控那台机器。内网渗透去年有个朋友做项目，内网渗透外网打点进了一台Web服务器，内网渗透权限是内网渗透IIS的，权限不高，内网渗透但能执行命令。内网渗透他以为内网就是内网渗透几台数据库加文件共享，结果一扫描，内网渗透发现整个/16的内网渗透段里藏着三百多台主机，域控在另一个VLAN。内网渗透这就是内网渗透的日常——你以为进了门，其实刚摸到门把手。

信息收集这一步，很多人会跳过，直接上工具扫。但内网里最值钱的东西往往不在端口上，而在人身上。我习惯先看当前机器的net user和net group，尤其是Domain Admins组里有谁。有一次，一台机器上跑着旧版的OA系统，数据库连接字符串明文写在web.config里，拿到的那个账号居然在域里有Replicating Directory Changes权限。这种配置错误比什么0day都管用。还有一次，在共享目录里翻到一个Excel，文件名是“IT资产表_2019”，打开一看，里面列着所有服务器的IP、用途、负责人，连域控的备份计划都写在里面。这种文件没人会特意去删，但它比扫描器跑三天都有效。

横向移动的时候，别只盯着445和3389。WMI、WinRM、甚至计划任务都能用。PsExec动静大，会留服务，但有些老内网里，管理员账号密码在几十台机器上复用，你只要拿到一个本地管理员hash，就能一路pass-the-hash过去。我见过最离谱的，是一台开发机的本地管理员密码和域管理员密码一样。那台机器上还开着RDP，登录进去之后，桌面有个txt文件，写着“域控密码：P@ssw0rd123”。这种案例听起来像段子，但内网里就是会发生。

域渗透的核心是凭据。Kerberoasting能拿服务账号的hash，AS-REP Roasting能拿不需要预认证的账号，DCSync直接跟域控要hash。但前提是你得有个域用户。哪怕是个普通域用户，也能跑BloodHound。BloodHound画出来的图，比任何拓扑图都直观。它会告诉你，从你当前这个用户，到Domain Admins，最短路径是哪几条。有时候路径短得可笑——一个用户属于某个组，那个组对某台机器有本地管理员权限，而那台机器上登着域管。三条边，就到顶了。

权限维持这件事，在内网里比外网更微妙。你放个黄金票据，域管重置krbtgt密码就没了。你放个Skeleton Key，重启就没了。比较稳的是做ACL后门，给一个普通用户加DCSync权限，或者加GenericAll到某个组。这种后门藏在访问控制列表里，不查ACL根本看不出来。我见过一个内网，管理员每三个月改一次域管密码，但从来没检查过AdminSDHolder的ACL。那个后门活了两年。

最后说一句，内网渗透不是炫技。你拿下的每一台机器，都可能触发EDR告警。有些内网里部署了蜜罐，一个假的SQL Server，端口开着，你一连就中招。所以慢一点，看清楚再动。别为了拿域控而拿域控，先想清楚你要什么数据，在哪个系统里，然后规划最短路径。内网里最怕的不是防得严，而是你乱动，把管理员吵醒了。