内网攻防渗透测试指南 pdf

拿到一份内网渗透测试指南 PDF，别急着翻目录。攻防先看它有没有讲清楚一件事：你从哪台机器出发，渗透目标数据在哪台机器上，测试中间隔着几层网络设备。指南很多指南上来就甩工具列表——Cobalt Strike、内网frp、攻防nmap——但真实内网里，渗透你连第一跳的测试立足点都还没拿到。

去年有个案例。指南某中型企业内网，内网边界防火墙只开放了 443 端口。攻防红队通过一个钓鱼邮件拿到了一台 HR 部门 Windows 10 主机的渗透低权限 Shell。这时候指南 PDF 里如果只写“使用 mimikatz 抓取凭据”，测试那就等于没说。指南那台机器上装了 EDR，mimikatz 一落地就被查杀。实际做法是先看本地是否有浏览器保存的密码，再翻 IT 部门共享文件夹里的批处理脚本——里面硬编码了域管账号。这一步靠的是手工翻文件系统，不是工具。

内网横向移动的核心不是漏洞利用，是凭据复用。你在一台机器上拿到的本地管理员哈希，很可能在另外二十台机器上同样有效——因为运维用 Ghost 镜像批量装的系统。指南 PDF 如果只讲 PTH（Pass-The-Hash）的原理，却不告诉你先跑一遍 crackmapexec 扫全网段 SMB 签名，那它就不够实战。

代理链的搭建是另一个分水岭。从 DMZ 的 Web 服务器跳到内网办公区，中间要过防火墙和 IDS。指南里写“使用 frp 或 ngrok 做端口转发”没错，但没提流量特征。frp 的默认 TLS 证书指纹早就进了威胁情报库。实战中更稳妥的做法是用 chisel 配合自定义 HTTP 头，或者干脆走 DNS 隧道——慢，但不容易被切断。我见过一个红队用 iodine 搭 DNS 隧道传了 200MB 的数据库导出文件，蓝队全程没反应，因为 DNS 查询量在正常波动范围内。

权限维持这块，指南 PDF 喜欢列注册表 Run 键、计划任务、服务。这些在应急响应手册里都是第一梯队排查项。真正能活过一周的，往往是寄生在合法软件更新机制里。比如把后门 DLL 放到某财务软件的插件目录，或者劫持一个不常被检查的 COM 对象。有个细节：某次攻防演练，红队把 WMI 事件订阅和合法运维脚本绑在一起，蓝队用 Autoruns 扫了三遍都没发现异常，因为触发条件是“每周五下午 5 点且系统空闲 30 分钟”——这种条件在沙箱里根本不会触发。

内网渗透测试指南 PDF 最容易忽略的是清理和退出。你上传的工具、创建的账号、修改的注册表，如果不清干净，下一次蓝队复盘时就是完整的攻击链证据。更麻烦的是，有些后门会互相冲突——你留的 Webshell 被另一个红队踩了，对方把你的流量全转发到蜜罐里。所以退出前至少做三件事：删除上传的可执行文件、还原被修改的配置项、确认没有遗留计划任务。别用 wevtutil cl 清日志，那等于告诉蓝队“我被入侵了”。

最后说 PDF 本身。一份好的内网攻防渗透测试指南，应该像老猎人的笔记——有具体 IP 段、具体端口、具体报错截图，甚至有“这一步我卡了两小时”的批注。如果通篇都是“使用 XX 工具进行 XX 攻击”的填空题，那它更适合当目录索引，而不是实战手册。你真正需要的那本 PDF，往往是自己一边打一边补出来的。