如何进行内网的初步探测与扫描

内网探测的何进第一步，从来不是行内急着敲命令，而是初步先搞清楚自己站在哪儿。去年我做一次授权测试，探测客户给了个VPN账号，扫描登进去一看，何进IP是行内10.24.7.66，掩码255.255.255.0。初步那一刻我心里就有数了——这网段不大，探测但隔壁10.24.8.0/24可能藏着东西。扫描你连自己所在的何进网段拓扑都没摸清，扫再多的行内端口也是盲人摸象。

所以先做一件事：确认本机网络配置。初步Windows下ipconfig /all，探测Linux下ifconfig或ip addr，扫描顺带看一眼路由表route print或ip route。网关是谁？DNS指向哪？有没有其他网卡？这些信息直接决定了你后续的扫描范围。有一次我碰到一台双网卡服务器，内网IP是192.168.1.10，但另一块网卡连着172.16.0.0/16的隔离网段——如果不看路由表，你根本不知道还有第二层肉。

接下来是主机发现。别一上来就nmap -sS扫全段，动静太大。先做ARP扫描，arp-scan -l（Linux）或者arp -a看缓存，这玩意儿只在本地二层有效，速度快且不易触发告警。跨网段的话，用ICMP ping扫，但很多主机禁ping，所以配合TCP SYN到常见端口（如80、443、445）做探测。nmap的-sn参数就是干这个的，但记住：-sn默认发ICMP和TCP ACK到80，有些防火墙会过滤。我习惯用nmap -sn -PS21,22,80,443,445,3389，多打几个端口，命中率高得多。

找到存活主机后，别急着扫端口。先看看开放的服务和版本——这是内网渗透的分水岭。nmap的-sV版本探测很关键，但全端口扫描会拖慢节奏。我通常先扫前1000个常用端口，nmap -sS -sV -T4 -p1-1000 目标IP。如果发现某台机器开着8080或8000，多半是web管理后台或API服务，值得深挖。记得有一次扫出一台MySQL 5.1，版本老到爆，直接弱口令进去了，整个内网像剥洋葱一样一层层打开。

端口扫描结果的判断比执行更重要。比如445端口开放，意味着可能存在SMB共享或永恒之蓝漏洞；3389是RDP，可以试试弱口令；22是SSH，看版本是否支持用户枚举。别盲目信nmap的输出，有一次它把某个服务识别成Apache，结果我连上去才发现是个Tomcat的管理界面，默认口令直接登进去，部署了个war包就拿到了shell。所以扫描结果要结合上下文去猜，猜错了再验证，这比机械地跑一遍漏洞扫描器有意思多了。

最后提一句UDP扫描——很多人直接忽略。内网里SNMP（161端口）、TFTP（69）、NTP（123）这些UDP服务经常有惊喜。nmap的-sU慢得让人抓狂，但你可以只扫几个关键端口。我遇到过一台打印机开着SNMP，默认community字符串是public，直接读出了内网VLAN划分和所有IP-MAC对照表——这比扫一百台主机都管用。

整个流程走下来，你可能花不到半小时，但已经勾画出一张粗糙的内网地图。记住，探测不是目的，是手段。你脑子里要始终带着问题：这网段为什么存在？哪台机器最像核心业务？哪个服务最可能被运维忽略？带着这种怀疑去敲命令，比任何自动化工具都靠谱。