渗透阶段最危险的渗透阶段地方在于：它看起来什么都不像。没有警报，渗透阶段没有异常流量峰值，渗透阶段连EDR的渗透阶段日志都干干净净。你打开任务管理器，渗透阶段CPU占用率正常，渗透阶段网络连接数正常，渗透阶段一切正常。渗透阶段但攻击者已经在你内网里了。渗透阶段

我见过一次典型的渗透阶段渗透。对方通过一个OA系统的渗透阶段历史漏洞打进来，用的渗透阶段是一条三年前就公开的RCE。打进来的渗透阶段进程伪装成svchost.exe，路径写在C:\Windows\Temp下面——这个细节本身就够可疑了，渗透阶段但当时的渗透阶段监控规则只匹配了System32下的异常svchost，漏了。

攻击者拿到初始shell之后没有急着横向。他先蹲了整整两天。这两天里只做了一件事：摸清内网的网段划分、域控位置、哪些机器开了445、哪些机器装了杀软。这些信息通过DNS查询和LDAP请求慢慢收集，流量小到可以忽略。防火墙没拦，因为走的全是合法协议。

这就是渗透阶段和扫描阶段最大的区别。扫描是敲门，渗透是配钥匙。敲门会响，配钥匙不会。

第三天他开始动了。用的是ZeroLogon，直接打域控。这个漏洞当时补丁已经出了四个月，但那台域控没打。为什么没打？因为运维觉得域控太关键，不敢随便重启。这个理由我听过不下十次。攻击者赌的就是这个。

拿到域管hash之后，他建了一个新的域账户，名字叫“backup_svc”。这种名字扔在AD里，一百个管理员里九十九个不会多看一眼。然后他用这个账户登录了文件服务器，只读了一个共享目录——里面有财务的季度报表。到此为止，没有加密，没有勒索，没有留后门。他只是把报表下载到了本地。

整个过程持续了六天。第六天晚上，他清掉了所有日志，包括Security日志和PowerShell操作日志。用的工具是wevtutil，系统自带的。删完之后还补了一条日志轮转策略，让新的日志看起来像是正常归档。

如果不是因为财务那边发现报表的访问时间不对——凌晨三点，而财务部没人加班——这件事可能永远不会被发现。查了三天才查到那个backup_svc账户，再查下去，发现它从来就没被创建过。

渗透阶段的核心矛盾就在这里：防御方要覆盖所有可能的入口，攻击方只需要找到一个。而且攻击方有时间优势。他可以等，可以试，可以失败一百次只要成功一次。防御方不行，一次失手就是全线崩溃。

很多人把渗透和提权混在一起讲。其实提权只是渗透的一个子环节。真正的渗透阶段包含的是：立足、侦察、维持、清除痕迹。这四个动作里，侦察花的时间最长，清除痕迹最容易被忽略，但恰恰是清除痕迹决定了攻击者能藏多久。

我后来复盘这个案例的时候注意到一个细节。攻击者用的C2通道是GitHub的gist。每隔六小时拉一次配置，流量走HTTPS，域名是github.com。这种流量你封不封？封了业务受影响，不封就等于给攻击者留了一条永久通道。最后他们的做法是在出口做了SSL解密，但只解了特定几个IP段——github.com不在里面。

所以渗透阶段拼的不是技术，是耐心和细节。谁先不耐烦，谁就输。攻击者比防御者更懂这一点。