拿到《内网安全攻防渗透测试实战指南》这本书的内网PDF版本时，我正蹲在一个客户的安全内网里，手里只有一台被限制得死死的攻防跳板机。那会儿满脑子想的渗透实战不是什么高大上的APT对抗，就是测试怎么从这台破Windows Server 2008上把域管密码捞出来。这本书翻到第三章“域内信息收集”的指南时候，我差点拍大腿——里面讲的内网用PowerView跑`Invoke-UserHunter`找登录域管的主机，跟我当时手动翻LDAP日志的安全笨办法比起来，简直一个天上一个地下。攻防

很多人以为内网渗透就是渗透实战拿个Cobalt Strike一顿点，其实真到了实战里，测试第一步往往卡在“我怎么知道这台机器在域里是指南什么角色”。书里给了一个很实在的内网切入点：先用`net group "Domain Admins" /domain`看看谁能管域，再用`nltest /dclist`把域控IP摸出来。安全这些命令看着土，攻防但你在只有cmd.exe的环境下试试？比上传什么工具都稳。我印象最深的是作者反复强调“不要急着上扫描器”，先手工把ARP表、路由表、DNS缓存翻一遍。上周有个项目，就是靠`arp -a`发现了一台不该出现在办公网段的数据库服务器，直接绕过了前端WAF。

横向移动那几章写得挺狠。PTH（Pass-the-Hash）和PTT（Pass-the-Ticket）的实操步骤没废话，直接给Mimikatz的命令行。但书里没回避一个现实问题：现在很多环境开了Credential Guard，你抓出来的哈希根本没法复用。作者给的建议是转去打Kerberos协议里的漏洞，比如Kerberoasting。我照着试过一次，用`Rubeus kerberoast`把服务账号的TGS-REP请求拉回来，离线爆破出密码只用了二十分钟——那个服务账号的密码居然是“P@ssw0rd123”，还是域管组的。你说这找谁说理去？

书里关于隧道和代理的部分，我觉得比市面上大多数教程都接地气。它没上来就讲什么ICMP隧道、DNS隧道，而是先问一句：你拿到的那台机器能出网吗？能出TCP吗？能出UDP吗？我见过太多人一进内网就急着搭socks5，结果目标机器连外网DNS都查不了。书里给的顺序很务实：先试HTTP代理，再试端口转发，实在不行才上reGeorg或者frp。有个细节我特别认同——它提醒你把代理工具放在内存里跑，别往磁盘上写。去年某次应急响应，客户就是靠杀软扫到了一个frpc.exe的落地文件，直接把攻击路径全掐了。

权限维持那部分，书里没吹什么“终极免杀后门”，反而花了很大篇幅讲计划任务和WMI事件订阅。这俩东西系统自带，杀软基本不拦。我试过用`schtasks /create /sc onlogon /tn "MicrosoftEdgeUpdate" /tr "C:\Windows\Temp\svchost.exe"`这种伪装成系统更新的任务，在Windows Defender眼皮底下活了三个月。当然，书里也说了，这种手法怕的是管理员手动翻计划任务列表。所以它建议你同时改一下注册表里的`SD`值，把任务藏起来——这招我在一个金融客户那儿用过，他们的安全运维直到项目结束都没发现。

最后说句实在的，这本书的PDF我前后翻了四遍，每次都能找到之前漏掉的细节。比如它讲黄金票据的时候，特意提了一句“别忘了改krbtgt的密码两次才能彻底失效”。这种坑，没踩过的人根本写不出来。你要真打算在内网里跟蓝队掰手腕，别光看那些花哨的0day，先把书里这些“笨办法”练熟。毕竟实战里能让你拿到域管的，往往不是多高级的漏洞，而是某个管理员把密码设成了公司名加123。

(责任编辑：热点)