拿到一台域内主机的内网权限，只是渗透起点。真正的流程麻烦从你试图横向移动那一刻开始——防火墙规则、EDR钩子、内网日志审计，渗透每一样都能让你在五分钟内从"渗透者"变成"被溯源对象"。流程

先说信息收集。内网很多人一进内网就急着扫端口，渗透nmap全段扫，流程结果流量告警直接把蓝队叫醒。内网我习惯先用net view /domain看域结构，渗透再用nltest /dclist定位域控。流程命令行比扫描器安静得多。内网如果拿到的渗透是一台Windows工作站，翻一下%USERPROFILE%\AppData下的流程浏览器历史、RDP连接记录，甚至回收站里的快捷方式，往往比扫端口收获更大。有一次我在一台财务机器上翻到一个.rdp文件，里面明文存着跳板机的凭据——省了整整两小时。

凭据抓取是分水岭。mimikatz的sekurlsa::logonpasswords依然好用，但前提是你得先绕过杀软。现在的EDR对lsass进程的读取行为盯得很紧，直接跑mimikatz基本等于自爆。换个思路：用procdump把lsass内存dump下来，离线再解析。或者更土的办法——翻unattend.xml、sysprep.inf、组策略首选项里的Groups.xml，这些地方经常躺着cpassword。别嫌老，老方法活到现在是有原因的。

拿到凭据之后，别急着psexec。psexec会在目标上创建服务，事件日志里留一堆痕迹。试试wmiexec或者atexec，走WMI和计划任务，隐蔽性好不少。如果目标开了WinRM，evil-winrm直接上，连端口都不用额外开。横向移动的核心逻辑就一句话：用目标已有的合法通道，别自己造新通道。

域控是终点，但别一头扎进去。先查域管理员组里有哪些账号，net group "Domain Admins" /domain。看看有没有服务账号被塞进去了——这种账号的密码往往几年没换，而且可能复用在本机管理员上。我遇到过一台SQL Server，sa密码和域管密码一模一样。这种时候你甚至不需要提权，直接xp_cmdshell就能执行命令。

DCSync是拿域控哈希最优雅的方式。不需要登录域控，只要有复制权限的账号就行。mimikatz的lsadump::dcsync /user:krbtgt，拿到krbtgt哈希之后可以做黄金票据。但注意，DCSync会触发目录服务访问日志，Windows Server 2016之后默认开启。如果蓝队在看4624事件里的复制请求，你基本暴露了。

最后说持久化。很多人喜欢注册表Run键或者计划任务，这些太容易被发现。我倾向于用AdminSDHolder——修改这个对象的ACL，系统每60分钟会自动把权限同步到所有受保护账户上。或者搞一个SID History注入，把域管SID塞进普通用户的SID History属性里。这两种方式都不需要落地文件，重启也不丢。

内网渗透的本质是信息差。你知道的比防守方多，你就能活下去。但别贪，拿到目标就收手。我见过太多人因为多扫了一个网段，被蜜罐钓住，最后整条攻击链被完整还原。见好就收，比什么技术都重要。

(责任编辑：热点)