凌晨三点，渗透某公司安全运维老张的攻击手机突然狂震。告警平台显示，渗透内网一台财务专用的攻击Windows Server 2008，正以每秒三次的渗透频率向域控服务器发起身份验证请求。密码错误，攻击再试，渗透密码错误，攻击再试——这根本不像人类操作。渗透老张切到那台机器的攻击屏幕录像，发现鼠标自己在动，渗透打开命令行，攻击敲了一行`net group "Domain Admins" /domain`，渗透然后停住了。攻击他后背发凉，渗透这是横向渗透，攻击者已经拿到了一台跳板机，正在试探内网的核心权限。

横向渗透不是什么高深魔法，说白了，就是攻击者拿下你网络里一台“不那么重要”的电脑后，以此为据点，像地鼠一样在内网里四处打洞，寻找能通向“金库”（域控、数据库、核心服务器）的路径。纵向攻击是硬闯大门，横向攻击则是翻墙进了院子后，挨个撬窗户。真正的危险在于，它利用了内网默认的“信任”——设备之间互相信任，端口开着，服务跑着，很少有人会质疑“自己人”的请求。

手法通常分三步。第一步叫“侦察”，攻击者用`net view`、`ping`扫描或者更隐蔽的PowerShell脚本，摸清内网IP段、主机名、开放端口。这一步动静极小，就像小偷先踩点，看看哪家窗帘没拉。第二步是“凭据窃取”，最常见的是用Mimikatz抓取内存里的明文密码或哈希值，或者翻找共享文件夹里的“密码.txt”——别笑，我见过一家制造业企业，把域管密码存在桌面上的Excel里，列名就叫“密码（勿删）”。第三步才是“移动”，用窃取的凭据通过SMB远程执行命令（PsExec是最常用的工具），或者利用计划任务、WMI在目标机器上运行恶意代码，然后跳向下一台。

有个细节值得玩味：横向渗透最怕的是“被看见”，所以攻击者会刻意模仿正常行为。他们避开上班高峰，选择凌晨操作；执行命令时加上延时，模拟人工敲键盘的节奏；甚至先运行一段无害的`whoami`，再执行真正的攻击命令。安全设备如果只盯着“恶意特征”，很容易漏掉这些“合法工具”的滥用。真正有效的防御，反而是“笨办法”——给每台机器设置独立的管理员密码，哪怕一台被攻破，攻击者也拿不到全网通用的钥匙；再就是开启日志审计，重点监控域控上的登录失败次数和异常的时间点。

那次事件最后没造成大损失，因为老张提前给所有服务器装了本地防火墙，只允许特定IP段互访。攻击者卡在财务那台机器上，像掉进了一个没有出口的迷宫，折腾了四十分钟，自己退了。但老张说，他后来把那个Excel文件删了，并给全公司发了邮件，标题就一句话：“别再把密码当便利贴了。”横向渗透考验的不是攻击者的技术有多炫，而是防守者是否愿意承认：内网从来不是安全区，它只是一张默认信任的网，而信任，恰恰是最容易被利用的漏洞。