路由器后台的局域默认密码是admin，这事儿说出来很多人不信。网渗去年秋天我在一个老旧小区做测试，透电掏出手机连上WiFi，局域浏览器输入192.168.1.1，网渗账号密码各敲三下键盘，透电进去了。局域DHCP客户端列表里躺着十四台设备，网渗其中一台Windows 7主机名写着"OFFICE-PC"，透电共享文件夹开着，局域连防火墙都没怎么拦。网渗

局域网渗透的透电第一步从来不是技术，是局域信息收集。你连进一个网络之后，网渗先看网关地址，透电再看ARP表。Windows上敲arp -a，Linux上ip neigh，谁在线、谁下线，一目了然。我习惯用nmap扫一遍存活主机，nmap -sn 192.168.1.0/24，速度快的时候十几秒出结果。那些亮着445端口的机器最值得关注——SMB服务开着，意味着可能有共享目录、可能有弱口令、也可能存在永恒之蓝那类漏洞。

永恒之蓝（MS17-010）是2017年泄露的NSA工具，到现在还有大量未打补丁的内网机器中招。Metasploit里exploit/windows/smb/ms17_010_eternalblue这个模块，配合set RHOSTS和set PAYLOAD windows/x64/meterpreter/reverse_tcp，对着目标IP打过去，成功率取决于系统版本和补丁状态。我见过一台2013年的工控机，Win7 SP1，连KB4012212都没装，三秒钟拿到SYSTEM权限。屏幕那头的人还在用Excel做报表，完全不知道自己的键盘记录已经传到了隔壁房间的笔记本上。

但更多时候没这么顺利。现在的Windows 10默认关闭SMBv1，Defender实时保护开着，普通用户权限下连注册表都改不了。这时候得换思路——ARP欺骗加中间人攻击。用arpspoof -i eth0 -t 192.168.1.100 192.168.1.1把目标流量引到自己机器上，再开sslstrip或者ettercap抓HTTP明文密码。很多内网系统还在用HTTP协议传输登录凭证，尤其是那些老旧的OA、ERP、监控后台。我抓到过一个财务系统的管理员密码，因为登录页面是http://开头的，表单提交连base64都没做。

拿到一台机器的权限之后，别急着扫内网。先看它保存了什么。浏览器密码、WiFi凭证、SSH私钥、RDP保存的凭据，这些都在用户目录下躺着。mimikatz抓Windows内存里的明文密码是常规操作，sekurlsa::logonpasswords一条命令下去，域账户密码可能就到手了。如果这台机器加入了域，那基本等于拿到了整个内网的钥匙——域管权限意味着你能推GPO、能读域控数据库、能伪造黄金票据。

横向移动的手段太多了。PsExec、WMI、WinRM、计划任务，哪个顺手用哪个。我偏好用crackmapexec批量试密码，crackmapexec smb 192.168.1.0/24 -u administrator -p P@ssw0rd，撞开一台算一台。内网里重复使用密码的情况太普遍了，运维图省事，一套密码走天下。去年有个客户，域管密码和本地管理员密码一模一样，我拿下第一台机器之后，半小时内控制了整个域。

防御这事儿说复杂也复杂，说简单也简单。关掉不用的端口，SMB、RDP别对全网开放。密码策略强制执行，别让"admin/123456"这种组合出现在任何一台机器上。网络分段，财务部VLAN和研发部VLAN之间加ACL，别让一台失陷机器变成跳板。补丁管理别偷懒，MS17-010都过去七年了，还有人在中招。最后，别用HTTP传密码，上HTTPS，成本不高，效果立竿见影。

渗透测试的边界感很重要。我每次动手之前都会确认授权范围，写清楚能碰哪些IP、能用到什么程度。没授权就扫端口、抓包、试密码，那是违法犯罪，不是技术交流。局域网里的每一台设备背后都是活生生的人，他们的文件、邮件、聊天记录，不该成为你炫技的素材。