去年秋天，局域我帮一家小公司做安全巡检。网渗他们的局域办公网和访客Wi-Fi共用一个二层环境，VLAN都没划。网渗我在前台连上Wi-Fi，局域用手机跑了三分钟ARP扫描，网渗就看到了财务电脑的局域共享文件夹——里面躺着未加密的工资表。这不是网渗电影情节，是局域很多中小企业的日常。

局域网渗透的网渗核心逻辑其实就一句话：你只要能发一个数据包到目标机器，剩下的局域就是找那个能让你执行代码的缺口。很多人把这事想复杂了，网渗以为需要什么高级漏洞。局域实际上，网渗八成以上的局域内网沦陷靠的是配置疏忽和弱口令，不是零日漏洞。

先搞清楚你在哪一层

二层是大多数渗透的起点。交换机不会隔离广播域，ARP协议又没有认证机制，这就给了中间人攻击天然的土壤。我习惯先用arp-scan把存活主机列出来，再挑几个看起来像服务器或打印机的IP，用nbtscan查NetBIOS名称。很多公司懒得改默认主机名，你会看到“FINANCE-PC”“CEO-LAPTOP”这种直接暴露身份的目标。

有一次我碰到一台Windows 7机器，SMB签名没开，直接跑responder就抓到了NTLMv2哈希。拿回去用hashcat跑字典，密码是“Company@2023”。这种密码策略在中小企业里太常见了——长度够，但模式固定，社工库一撞一个准。

三层不是护城河

有人觉得划了VLAN就安全了。VLAN hopping确实需要特定条件，但路由器本身如果开了代理ARP或者ICMP重定向，照样能跨网段摸过去。更常见的是双网卡机器——财务的台式机同时插了办公网和业务网，这台机器就成了天然的跳板。

我见过最离谱的一个案例：某工厂的生产网和办公网物理隔离，但车间主任嫌传文件麻烦，自己拉了一根网线把两个交换机连起来了。这根网线让整个“隔离”变成了笑话。渗透测试里，物理层的疏忽往往比协议漏洞更致命。

拿到立足点之后

别急着扫全网。先看当前机器的权限、域环境、已保存的凭据。Windows上cmdkey /list和dir /a %userprofile%\AppData\Local\Microsoft\Credentials经常有惊喜。Linux上翻.bash_history和.ssh目录，很多运维会把密码写在脚本里。

横向移动的首选是PsExec和WMI，但这两年被EDR盯得紧。更隐蔽的是用计划任务配合PowerShell远程执行，或者直接滥用SMB共享。我偏好先找文件服务器——权限配置通常比域控松，而且里面往往有IT部门自己放的部署脚本，脚本里明文写着服务账号密码。

防御不是买设备

很多公司买了防火墙和EDR，但内网依然裸奔。问题出在“信任内网”这个假设上。零信任喊了这么多年，实际落地时连最基本的802.1X都懒得部署。我建议至少做三件事：关闭不必要的SMB和WMI端口、强制SMB签名、对服务账号用组策略托管密码。成本不高，能挡掉大部分自动化工具。

还有一点，别忽视打印机和摄像头。这些设备固件常年不更新，默认密码就那几个。我进过一台HP打印机，Web界面密码是“admin”，里面存着SMTP凭据——用那个凭据直接登进了公司邮箱。

局域网渗透没有银弹，它考验的是你对协议细节的理解和对目标环境的观察。工具会过时，但“找配置错误”这个思路不会。下次你连上公司Wi-Fi的时候，不妨想想：如果我是攻击者，第一步会做什么？