渗透实操

拿下那个边界路由器的渗透实操时候，我盯着终端里跳出的渗透实操root shell看了三秒，心跳没加速。渗透实操真正让人兴奋的渗透实操永远是横向移动那一步——从一个不起眼的Web漏洞，到摸进域控的渗透实操整个链条。今天不讲理论，渗透实操只还原一次真实的渗透实操内网渗透过程，目标是渗透实操一家中型制造企业的办公网。

入口是渗透实操一个老旧的Struts2。点开登录框，渗透实操输入单引号，渗透实操报错回显直接弹出了数据库路径。渗透实操顺手试了试S2-045的渗透实操EXP，命令回显正常。渗透实操上传JSP马，渗透实操连上冰蝎，发现是Windows Server 2008，IIS 7.5，权限是NETWORK SERVICE。这台机器位于DMZ区，双网卡，另一块网卡指向10.10.0.0/16——真正的内网。

先做信息收集。netstat -ano看到内网有445和3389在监听。ipconfig /all确认了内网IP是10.10.1.23，网关10.10.1.1。用mimikatz抓本地密码？不行，权限不够。转念一想，NETWORK SERVICE能读注册表里的自动登录凭据。reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"——DefaultUserName是administrator，DefaultPassword明文躺着。运气好到不真实。

有了这组凭据，直接psexec横向到10.10.1.10。那台机器是文件服务器，登录后第一件事是看共享。net share列出五个共享目录，其中一个叫“财务备份”，权限是Everyone完全控制。打开一看，里面有个Excel文件叫“2023年Q4应付账款.xlsx”，旁边还有个“IT资产管理表.xlsx”。后者更值钱——里面记录了所有服务器的IP、用途、管理员账号。

资产管理表里有一条：域控 10.10.1.5，管理员组有“svc_backup”这个账号。密码策略是每90天改一次，但IT备注里写着“测试环境密码同生产”。试了试svc_backup / P@ssw0rd2023，登录成功。用这个账号跑BloodHound，发现它对域控有GenericAll权限。直接DCSync？先别急，域控上装了EDR。

换个思路。svc_backup的登录脚本指向\\10.10.1.8\scripts\login.bat。打开一看，里面调用了PsExec执行一个叫“clean_temp.exe”的程序。把那个exe下载下来，丢进CFF Explorer，发现是Cobalt Strike的beacon。原来IT自己就在用CS做运维。直接复用他们的C2配置，生成一个stageless的payload，替换掉原文件。第二天早上九点，运维登录，beacon上线，权限是SYSTEM，机器是域控。

整个过程最讽刺的地方在于：最坚固的堡垒往往从内部被攻破。那个“测试环境密码同生产”的备注，那个Everyone完全控制的共享，那个复用C2的运维习惯——每一个都是人为的裂缝。渗透测试的本质不是炫技，是找这些裂缝。你不需要零日漏洞，只需要比管理员更了解他的网络。

最后提一句：拿到域控后别急着截图发朋友圈。清理日志、删除上传的工具、恢复修改的脚本。真正的渗透实操，结束的时候要比进来的时候更干净。否则下次蓝队溯源，第一个找的就是你。