内网渗透教程

凌晨两点，内网某甲方机房的渗透告警平台突然弹出一条SSH登录日志。登录IP来自内网段，教程用户名是内网三个月前离职的运维张工——密码还是他生日。这不是渗透巧合。攻击者早在两周前就通过钓鱼邮件拿到了域账户，教程用PowerShell一条命令dump了内存中的内网明文凭据，然后像串门一样在横向移动。渗透内网渗透的教程真相，从来不是内网暴力破解，而是渗透信任链的崩塌。

我见过太多安全工程师把精力耗在边界防火墙和WAF上，教程觉得DMZ固若金汤。内网可真正的渗透战场在内部：一个未打补丁的打印服务器，一个暴露了445端口的教程文件共享，甚至是一台无人值守的测试机。攻击者拿到第一台低权限主机后，会用Mimikatz抓取LSASS进程，或者翻遍管理员桌面的TXT文件——那里可能躺着VPN密码。横向移动的路径，本质上是对企业运维习惯的镜像。

拿域控来说，最经典的打法不是0day，而是滥用Kerberos委派。某次演练中，我模拟攻击者，发现IT部门给某个Web应用配置了无约束委派，于是伪造了域管理员的TGT票据。整个过程没触发任何告警，因为流量看起来就是正常的认证请求。后来客户问我怎么防，我说：先数数你域里有多少个服务账户拥有委派权限，再查查它们的密码最后一次修改是什么时候。他沉默了很久。

内网渗透的另一个被低估的入口是DNS。很多企业把AD域控和DNS绑在一起，攻击者通过DNS查询就能画出整个内网拓扑。我曾在一个客户的DNS日志里看到连续的子域爆破请求——对方在枚举SPN（服务主体名称），寻找SQL Server或SAP系统。这种侦察行为在流量层几乎不可见，但一旦定位到高价值主机，攻击者就会用黄金票据直取核心数据库。

别指望杀毒软件能救命。现代攻击者用Cobalt Strike的beacon直接注入内存，落地文件全部加密，杀软扫描时看到的只是白噪声。真正的防御要看日志关联：域控的4624登录事件里，如果同一账户在5秒内从不同IP登录，就该拉响警报。可惜大多数企业连NTP时间同步都没做，日志时间戳差了四十分钟，溯源时只能摊手。

有个细节值得玩味：内网渗透的成功率，往往和企业的离职流程挂钩。我曾测试过一家公司，拿到一个已离职销售经理的邮箱权限，然后通过邮件搜索找到了财务部共享文件夹的密码本。那个文件夹里存着全公司员工的工资表。攻击者不需要多高深的技术，只需要耐心读邮件。安全培训总教员工别点陌生链接，却没人告诉他们：离职前要把个人凭据从浏览器和Outlook里彻底清掉。

写到这里，我想起某次红队行动后的复盘。防守方问我们：你们是怎么绕过EDR的？我回答：没绕，我们直接用了你们给外包运维开的TeamViewer通道。对方愣住，然后苦笑。内网渗透的本质，就是不断寻找那些“为了业务方便”而留下的暗门。你堵住一个，攻击者会找到下一个。真正有效的做法，是每隔季度用攻击者的视角重新审视自己的网段——就像你从不相信邻居家的狗不会咬人，但你还是会定期检查院墙的裂缝。

本文地址：http://www.79wt.cn/news/08a599986.html