拿到一台Win10机器，第一件事不是急着翻文件，而是看它有没有开445端口。去年帮朋友处理一台中招的办公电脑，勒索病毒就是从这个口进来的。微软默认关闭SMBv1，但很多内网机器为了共享打印机，又把SMB开回去了。用netstat -an | findstr 445扫一眼，开着的话，后面的事就好办多了。

信息收集阶段，Win10自带的东西比想象中好用。systeminfo能直接列出补丁编号，对照MS17-010这种老漏洞，三秒钟判断能不能打。更细一点，wmic qfe get HotFixID把已装补丁全列出来，缺哪个补哪个，比盲目上工具稳。我习惯再跑一遍whoami /priv，看看当前账户有没有SeImpersonate权限——有的话，土豆系列提权工具基本能通杀。

权限提升这块，Win10的UAC是个绕不开的坎。默认设置下，管理员账户也是降权跑的。但有个细节容易被忽略：如果当前用户属于Administrators组，只是没提权，用fodhelper.exe这种自带的白名单程序就能绕过。原理不复杂，改注册表里fodhelper的调试器路径，再触发它启动，系统会以高完整性级别运行。我实测过20H2版本，依然有效。微软在后续版本修了，但企业内网大量机器还停在旧版。

横向移动靠的是凭据。Win10默认不开WDigest明文缓存，但如果你拿到的是管理员会话，sekurlsa::logonpasswords还是能抓到NTLM哈希。哈希传递打SMB，用psexec或者wmiexec都行。区别在于psexec会在目标机器留服务，动静大；wmiexec走WMI，日志少，但依赖135端口。内网里两种都备着，看情况选。

持久化方面，Win10的计划任务比注册表Run键隐蔽。建一个每天触发一次的任务，动作是执行PowerShell下载器，触发器设成“用户登录时”加“空闲十分钟后”。这样重启不丢，用户不察觉。另一个路子是劫持Userinit注册表项，但那个太老，稍微像样的EDR都会盯。

最后说个真实案例。某次授权测试，目标是一台Win10 1909。445开着，但MS17-010补了。转去扫Web，发现8080跑着Jenkins，未授权访问。用脚本控制台反弹了个shell，权限是jenkins。这账户在本地Administrators组里，直接runas提权，完事。整个过程没用任何0day，全是配置疏忽。Win10本身安全性不差，差的是部署它的人。默认配置下，能打的点不多；一旦有人图省事关了防火墙、开了共享、给了过高权限，那渗透路径就宽了。

工具链上，Cobalt Strike也好，Metasploit也罢，核心还是对Windows机制的理解。知道token怎么偷、ACL怎么改、服务怎么建，比背命令有用。Win10每年两次功能更新，老方法会失效，但思路不变——找配置和补丁的缺口，然后顺着权限链往上爬。