去年秋天，域渗我接了一个内网渗透的透攻项目。外网打点花了不到两小时，域渗一个暴露在公网的透攻Citrix网关成了突破口。但真正进去之后，域渗接下来整整三天，透攻我都在跟域控较劲。域渗这个过程让我重新理解了域渗透的透攻本质——它从来不是工具堆砌，而是域渗信息差和权限链的博弈。
先说一个容易踩的透攻坑。很多人拿到第一台机器，域渗上来就甩mimikatz，透攻结果触发EDR告警，域渗整条线断掉。透攻我的域渗习惯是先做最基础的域信息收集，用net user /domain、nltest /dclist:这类系统自带命令，几乎不产生流量特征。知道域控在哪、域管有几个、哪些机器还活着，比急着抓哈希重要得多。有次我碰到一个环境，域管账户设了“受保护用户”标记，mimikatz根本抓不到明文，只能靠Kerberoasting打服务账户。如果一上来就无脑抓密码，这条路就放弃了。
权限提升的路径，往往藏在管理员觉得“无所谓”的配置里。比如某台文件服务器，IT为了图方便，把域管账户加进了本地管理员组，还开了WinRM。我拿到这台机器后，直接用winrs连上去，再通过它向域控发起DCSync。整个过程没写一个恶意文件，全走合法协议。防守方如果只看进程创建日志，根本发现不了。这也是域渗透最危险的地方——攻击者用的都是系统自带的功能，你很难从“工具”层面去拦截。
横向移动这块，PsExec的时代基本过去了。现在更稳的是用WMI或者计划任务，配合schtasks /create /s target /ru system这种命令。我试过在一个开了AppLocker的环境里，PsExec直接被拦，但WMI调用却畅通无阻。后来查资料才知道，很多EDR对WMI的监控粒度很粗，只记录连接，不记录具体执行内容。这给了攻击者很大的操作空间。
Kerberos协议是域渗透的核心战场，但很多人只盯着黄金票据。其实白银票据在某些场景下更隐蔽——它不需要跟KDC通信，直接伪造服务票据。我遇到过一台Web服务器，它的机器账户哈希被本地管理员权限泄露了，我用白银票据伪造了CIFS服务的访问权限，直接读取了域控的SYSVOL共享。整个过程没有任何Kerberos认证流量，日志里干干净净。防守方如果只监控4769事件，根本抓不到。
域渗透的终点通常是域控，但拿到域控不等于结束。有次我DCSync拿到krbtgt哈希，造了黄金票据，结果发现域内所有机器的本地管理员密码都不同，而且LAPS部署得很到位。我只能从域控上翻GPO脚本，找到部署LAPS时用的那个服务账户，再通过它去读LAPS密码。这个过程花了四个小时，比打域控本身还累。所以别以为拿到域管就万事大吉，真正的持久化控制，需要你把整个域的信任关系摸透。
防守方要防域渗透，光靠打补丁没用。我见过太多环境，补丁打得很全，但域管账户在每台机器上都登录过，凭据散落一地。最有效的措施其实是分层管理——域管账户只能登录域控，日常运维用普通账户加临时提权。这比任何EDR都管用。可惜很多企业嫌麻烦，不愿意改。
最后说个细节。域渗透里，时间同步很重要。Kerberos默认允许5分钟偏差，但有些环境把时间同步服务关了，导致票据请求失败。我习惯在打点后先w32tm /resync，再继续操作。这个动作很小，但能省掉很多莫名其妙的报错。攻防就是这样，细节决定成败。