kali外网渗透windows

凌晨两点，外网我盯着屏幕上那条从德国跳板机转发的渗透TCP连接。目标是外网一台Windows Server 2019，公网IP暴露着3389端口，渗透像没锁门的外网公寓。三小时前，渗透nmap扫描显示它开着SMB、外网RDP和IIS，渗透补丁日期停在去年六月——CVE-2020-1472的外网窗口还开着。

用kali打外网Windows，渗透说白了就是外网一场信息差游戏。你永远不知道对方补丁打了没，渗透防火墙规则漏没漏，外网管理员密码是渗透不是还叫P@ssw0rd。我习惯先跑masscan全端口，外网再对开放端口做服务指纹识别。别急着上漏洞库，先看版本号，很多看似危险的端口其实版本早就修复了，反而一些冷门端口藏着惊喜。

那次渗透，我盯上的是它的IIS。默认站点下挂着一个老旧的OA系统，登录框旁边有个文件上传功能。试着传了个aspx一句话木马，居然没过滤后缀。更离谱的是，上传目录直接映射到web根目录，访问路径都不用猜。服务器回显200的那一刻，我知道这台机器已经到手一半了。

拿到webshell只是开始，外网到内网的横向移动才是重头戏。我上传了一个免杀的Cobalt Strike beacon，用certutil解码落地，运行。三秒后，beacon回连到我的VPS。system权限，域内机器，杀软是Windows Defender但没开实时监控——管理员大概觉得外网防火墙够硬，内网就放松了警惕。

接下来是提权和持久化。说实话，这台机器根本不用提权，IIS默认以NetworkService运行，但有个MS17-010的漏洞可以利用，直接打到SYSTEM。我更喜欢留一个计划任务，每小时执行一次powershell下载器，即使beacon被清掉也能复活。管理员可能永远不知道，他的服务器日志里多了一条看似正常的WMI订阅。

整个过程最耗时的不是技术操作，而是绕过那些看不见的规则。比如，RDP的指纹锁只允许特定IP登录，我就用端口转发把3389映射到跳板机的某个高位端口。又比如，Windows防火墙默认禁止ICMP，但允许HTTP出站，我的通信流量就混在正常的HTTPS请求里。这些细节，教科书上不会写，全靠实战里踩坑踩出来。

最后我清理了日志，删掉了上传的webshell文件，但保留了后门。不是每次渗透都要搞得惊天动地，有时候安静地拿走管理员权限，比破坏数据更有价值。第二天早上，那台服务器照样正常运行，没人发现任何异常。直到一周后，管理员才在事件查看器里看到几条陌生的登录记录——但那时，我的痕迹早就被覆盖了。

外网打windows，kali只是工具，真正的武器是思路。你永远不知道对面管理员有多懒，也不知道他有多细心。有时候一台补丁齐全的服务器反而因为弱口令沦陷，有时候漏洞百出的机器却因为网络隔离让你无从下手。这就是渗透的乐趣——没有固定套路，只有随机应变。