域渗透资料整理

域渗透这活儿，域渗说白了就是透资拿下一台机器后，琢磨怎么把整个Windows域给端了。料整理我见过太多人卡在第一步——拿到一个普通用户Shell，域渗然后对着屏幕发呆。透资他们缺的料整理不是工具，是域渗思路。

先泼盆冷水。透资网上那些“域渗透速成指南”多半是料整理扯淡，真正干活儿的域渗时候，你面对的透资是一个打了十几年补丁的AD环境，里面躺着几万个对象，料整理组策略乱得像被猫挠过的域渗毛线球。我见过最离谱的透资一次，某公司域管理员密码是料整理“P@ssw0rd2020”，改了年份用了三年。这不是段子，是真实存在的。

正经聊技术。你拿到初始立足点后，第一件事不是急着提权，而是老老实实做信息收集。用BloodHound把域内关系捋一遍，找最短路径到域管。这工具能把你从“瞎猜”里解放出来——它告诉你，你控制的这台机器，到底能不能通过某种诡异的嵌套组关系摸到域管。我习惯把输出结果导成JSON，然后盯着图看半天，找那些没人注意的边缘节点。有时候，一个被遗忘的GPO链接，比十个漏洞都值钱。

提权的手法翻来覆去就那几样，但细节决定成败。Kerberoasting你得会，但更要会判断哪些SPN值得烤——有些服务账户的密码是随机生成的，烤了也是白烤。反过来，如果你发现某个服务账户的密码策略里写着“永不过期”，那基本就是块肥肉。还有AS-REP Roasting，专挑没开预认证的账户下手，这种账户在域里通常藏得深，但一旦逮着一个，离线爆破比在线猜快得多。

横向移动这块，我自己的习惯是优先用PsExec和WMI，但别死脑筋。有回我碰到个环境，杀软把net use都拦了，最后是靠WinRM的5985端口摸过去的。你说工具老不老？老。管不管用？真管用。关键是你得清楚每种协议的触发条件，比如SMB要开445，RPC要碰135，这些端口被防火墙堵死的时候，你手里得有Plan B甚至Plan C。

最后一步拿到域管，别急着拔腿就跑。先看DC上的日志，清掉自己的痕迹，再把域管密码改成个随机强密码——别留后门，留着就是给自己挖坑。我见过有人拿下域管后得意忘形，结果第二天被蓝队顺着日志揪出来，连锅端。真正的渗透测试，收尾比进攻更考验功夫。

说到底，域渗透拼的不是谁漏洞库背得熟，而是谁能在混乱的AD环境里找到那条别人看不见的路。多去真实环境里摔打几次，比看一百篇教程都强。工具是死的，人是活的——这话听着俗，但干这行越久，越觉得是真理。