内容摘要：靶机内网不是一台机器，是一张网。你攻下一台Web服务器，以为拿到了入口，其实只是踩进了别人早就铺好的雷区。真正的战场在10.x.x.x和172.16.x.x那些你扫不完的C段里，隔着一层NAT，你连对

靶机内网不是靶机内网一台机器，是靶机内网一张网。你攻下一台Web服务器，靶机内网以为拿到了入口，靶机内网其实只是靶机内网踩进了别人早就铺好的雷区。真正的靶机内网战场在10.x.x.x和172.16.x.x那些你扫不完的C段里，隔着一层NAT，靶机内网你连对方有几台域控都摸不清。靶机内网

去年帮朋友做一次内网渗透测试，靶机内网目标是靶机内网一家做物流的中型企业。外网只有一个OA系统，靶机内网弱口令进去，靶机内网上传webshell，靶机内网提权到system。靶机内网到这里花了不到四十分钟。靶机内网然后我敲下ipconfig，看到三个网段：192.168.10.0/24是DMZ，172.16.5.0/24是办公区，10.10.8.0/24标注着“核心业务”。真正的麻烦从这儿开始。

先做信息收集。用arp -a看邻居，用net view探共享，再扔一个fscan进去扫172.16.5.0/24。结果出来的时候我愣了一下——47台存活主机，开放了445端口的占八成，其中12台打了MS17-010补丁失败。但这不是最要命的。最要命的是我在一台文件服务器的共享目录里翻到一个Excel，名字叫“运维账号密码表.xlsx”。里面躺着三组域账号，其中一组是backup_operator，密码是Company@2023。这种把凭据当便利贴贴在脑门上的操作，在内网里比漏洞还致命。

用这组账号登录一台业务跳板机，发现它同时连着10.10.8.0/24。但跳板机上装了EDR，进程注入被拦了两次。换思路，看它的RDP连接记录，发现管理员习惯从这台机器连到10.10.8.12。于是我在跳板机上架了Socks代理，用Proxifier把流量导进去，再拿backup_operator去试10.10.8.12的SMB。成功了。这台机器是备份服务器，上面跑着Veeam，备份文件里直接能还原出域控的ntds.dit。整个过程没有用任何0day，全是配置失误和权限泛滥。

靶机内网里最危险的东西往往不是未打补丁的漏洞，是“信任”。主机信任域控，域控信任服务账号，服务账号又因为运维图省事被复用到了十几台机器上。你只要拿到其中任意一个环节，整条链子就散了。我见过一台开发测试机，本地管理员密码和域管理员密码只差一个数字。也见过用P@ssw0rd做服务账号密码，结果那台机器同时是WSUS服务器，推补丁的时候把域内所有机器的本地管理员哈希都同步了一遍。

横向移动的时候，别只盯着永恒之蓝和Kerberoasting。看看登录脚本，看看组策略首选项里的cpassword，看看那些没人管的旧版Linux跳板机。有一次我在一台CentOS 6的机器上翻到/root/.ssh/known_hosts，里面记录了三十多台内网主机的指纹，顺手用ssh-keyscan配合弱口令又拿下了四台。

内网渗透的本质是信息拼图。你拿到的每一个账号、每一张网络拓扑图、每一行命令历史，都是拼图的一块。别急着打域控，先花两天把能画的图画出来。谁在什么时候登录了哪台机器，哪台机器连着数据库，数据库的sa密码是不是和某个员工的邮箱密码一样。这些琐碎的东西比漏洞利用工具管用得多。

最后说个细节。那次测试结束前，我在10.10.8.0/24里发现一台没开任何服务的Windows 7。扫端口只开了135和139，看起来毫无价值。但用wmic查了一下它的网络连接，发现它每五分钟向一个外网IP发一次心跳包。抓包一看，是某国产杀软的管理端。而那台管理端的登录口令，就写在同网段一台打印机的共享文档里。你看，内网里没有孤岛，只有你还没连上的线。