横向渗透攻击

去年冬天，渗透一家中型制造企业的攻击IT主管给我看了他们的内网拓扑图。防火墙、渗透EDR、攻击漏洞扫描系统一应俱全，渗透边界防护做得像铁桶。攻击可就在三个月前，渗透攻击者从一台没人管的攻击打印机入手，三天内摸到了财务数据库。渗透那台打印机连着内网，攻击固件三年没更新，渗透默认密码都没改。攻击这就是渗透横向渗透攻击最典型的剧本——不撞门，翻窗户。攻击

很多人以为网络安全就是渗透防住入口。现实是，攻击者一旦拿到任意一个内网节点的控制权，接下来的动作才真正致命。横向渗透的核心逻辑很简单：利用内网信任关系，从一台机器跳到另一台，逐步扩大控制范围。它不依赖某个惊天动地的0day漏洞，更多时候用的是系统管理员自己都没意识到的配置疏忽。

我见过最离谱的案例来自一家医院。攻击者先拿下了一台用于预约挂号的旧服务器，那台机器还跑着Windows Server 2008。然后他扫了一遍内网，发现域管理员居然用同一套密码登录了十二台核心业务系统。一个密码，十二把钥匙。攻击者甚至不需要什么高级工具，PsExec就能横着走。三天后，整个挂号系统瘫痪，急诊被迫手写登记。事后复盘，IT团队承认那套密码策略是五年前定的，后来加了几台新服务器，直接沿用了老密码，没人想起要改。

横向渗透常用的手法就那么几类。Pass-the-Hash，偷到NTLM哈希后不破解，直接拿来认证；Kerberoasting，针对服务账户的票据攻击；还有滥用WMI和SMB协议进行远程执行。这些技术本身不新鲜，新鲜的是它们至今仍然有效。为什么？因为内网环境太复杂了。业务系统要互联，共享目录要开放，远程管理要权限。每一条信任链都是攻击者的跳板。

有个细节值得琢磨。很多企业把精力花在边界防御上，内网却像一座不设防的小镇。防火墙策略是“内网全通”，域控权限给得大手大脚，服务账户密码设成“admin@123”然后十年不换。攻击者最喜欢这种环境——不需要暴力破解，不需要钓鱼邮件，只要拿到一个低权限账户，剩下的就是按图索骥。我见过一个红队成员用BloodHound跑了一遍内网，十分钟就找到了从普通用户到域管的攻击路径。那条路径上有三个配置错误，每一个都足以致命。

防御横向渗透，思路得换。别只盯着边界，内网也得做微隔离。把域控、数据库、业务服务器分到不同安全域，限制东西向流量。监控异常登录行为，比如一个普通账户突然在凌晨三点访问了五台服务器。定期清理特权账户，别让服务账户的密码比你家WiFi还简单。还有，别忽视那些“边缘设备”——打印机、摄像头、UPS电源管理卡。它们往往跑着老旧系统，却是内网信任链上的薄弱环节。

那家制造企业的IT主管后来做了件事。他把内网所有设备的默认密码全改了一遍，给每台服务器打了补丁，还部署了一套内网流量分析工具。三个月后，他们检测到一次横向渗透尝试——攻击者从一台测试机出发，试图连接域控的445端口。流量分析工具直接告警，安全团队在攻击者拿到哈希之前切断了连接。攻击者用的还是那套老工具，但这次，窗户关上了。

横向渗透攻击不会消失。只要内网还有信任关系，还有配置疏忽，还有懒得改的默认密码，它就会一直存在。攻防的本质从来不是技术对技术，而是人对人。你多检查一遍配置，攻击者就多一道坎。你少改一个密码，他就多一条路。就这么简单。