内网渗透总结

凌晨两点，内网目标机器的渗透3389端口终于弹出了登录框。管理员账号是总结弱口令，密码就贴在运维的内网共享文档里——这类事比想象中多得多。内网渗透的渗透残酷真相是：80%的突破靠的不是0day，而是总结对人性与运维习惯的精准拿捏。

拿到第一台主机后，内网别急着横向。渗透先看当前权限，总结whoami /all和ipconfig /all能告诉你是内网否在域内，网关指向哪，渗透DNS后缀是总结什么。有一次我卡在DMZ区三天，内网后来发现是渗透忘了看路由表——内网段往往不止一个，你得画出拓扑再动手。总结画拓扑靠什么？ARP缓存、NetBIOS广播、还有那些不设防的SNMP公共字符串。别迷信扫描器，大流量扫一圈，EDR早就把你标红了。

横向移动的核心是凭据。抓明文用mimikatz，但杀软盯得紧，改个签名或远程加载是常态。哈希传递更实用，尤其是NTLMv1残留的老机器——域控默认策略不锁，你就能一直撞下去。有个案例我至今记得：某银行内网，管理员把域管密码存在了桌面TXT里，文件名叫“改密码.txt”。社会工程学永远比技术漏洞高效，这话糙理不糙。

域环境里，SPN扫描比端口扫描好使。Kerberos的TGS票据能离线爆破，弱密码根本扛不住。拿到普通域用户后，查一下BloodHound，看谁能改ACL，谁有GenericAll权限。有一次我发现一个备份账号对域控有WriteDacl权限，直接给自己加了DCSync，全程没触发任何告警。别小看这些“边缘”权限，域控的防线往往漏在委派上。

防御也不是铁板一块。日志通常只开默认，安全事件ID 4624、4625、4768这些，多数企业根本没审计。你只要不触发账户锁定阈值，连续试几十次密码也没人管——前提是别在业务高峰期搞，凌晨三点最安全。横向时用SMB的IPC$连接，比PsExec动静小，但要注意别乱改注册表，那玩意儿的改动痕迹很难擦。

最后说说痕迹清理。删日志是下策，改时间戳才是上策。把攻击机的时间调到和目标一致，再对文件操作，日志里就查不出异常序列。PowerShell历史记录、RDP连接缓存、甚至剪贴板里的复制内容，都可能出卖你。有一次我栽在Win+R的自动补全上——用户输过一次IP，下次就留在那里了。

内网渗透的终点不是域控，是持久化。计划任务、WMI事件订阅、甚至域控的组策略脚本，都能让你回得来。但别贪心，拿到核心数据就撤。留后门被溯源的事，我见过太多——安全团队不傻，他们只是懒。你比他们更懒，就输了。