内容摘要：```html 渗透攻击红队百科全书 body { font-family: 'Segoe UI', 'PingFang SC', 'Microsoft YaHei', sans-serif

```html

渗透攻击红队百科全书

红队不是“黑客”，是攻击拿钱做坏事的合法流氓。区别在哪？红队授权书。没那张纸，百科你叫罪犯；有那张纸，全书你叫安全专家。渗透我见过太多人把红队和渗透测试混着说，攻击其实差远了。红队渗透测试是百科找漏洞写报告，红队是全书模拟真实APT打穿整个防御体系。一个盯着SQL注入，渗透一个盯着域控权限和供应链。攻击

去年有个客户找我做红队评估。红队他们买了三家厂商的百科EDR，防火墙堆到天花板。全书结果呢？我用一个钓鱼邮件，附件是伪装成“年度调薪方案”的.lnk文件，三小时拿到财务总监的NTLM Hash。他们安全团队还在看SIEM告警，我已经在域管机器上装Cobalt Strike了。这事说明什么？人的漏洞永远比系统漏洞好使。

侦察阶段别急着扫端口。先翻领英、GitHub、公司官网的“团队介绍”页面。有个技巧：搜site:target.com filetype:pdf，经常能捞到内部培训文档，里面写着VPN默认密码。还有，去haveibeenpwned查员工邮箱，撞库成功率比暴力破解高十倍。我试过用某次LinkedIn泄露的密码，直接登进了一个运维的GitLab，里面全是生产环境密钥。

武器化阶段最烦的是免杀。Windows Defender现在连Cobalt Strike的默认beacon都能秒杀。你得自己改shellcode加载器，用SysWhispers绕系统调用，或者干脆上Rust写个自定义植入体。别迷信网上那些“一键免杀”，早被标记了。我习惯用Donut把.NET程序集转成shellcode，再塞进合法进程里，比如msbuild.exe。这招用了两年，还没翻车。

“红队报告里最值钱的不是漏洞列表，是防守方的响应时间线。你几点打的，他们几点发现的，中间那几小时就是命。”

横向移动别只会PsExec。那玩意早被EDR盯死了。试试WMI或者WinRM，再不行用DCOM。有个骚操作：利用PrintNightmare漏洞（CVE-2021-1675）打打印服务器，直接拿SYSTEM权限。不过现在补丁都打了，得找新路子。我最近在研究ADCS的ESC8漏洞，配合NTLM relay，能把域控证书骗到手。这比Kerberoasting稳多了。

权限维持别只懂注册表自启。那太low。高级点用WMI事件订阅，或者劫持COM对象。最阴的是改SSP，把mimilib.dll塞进lsass，每次登录都记录明文密码。这招得小心，搞不好蓝屏。我一般留个Golden Ticket就够了，有效期十年，想什么时候回来就什么时候回来。

清理痕迹？别信那些“日志清除工具”。Windows事件日志有Event ID 1102，你清一条，系统记一条。正确做法是：只删你操作相关的日志，比如4624登录成功、4688进程创建。用wevtutil精确过滤，别一把梭。还有，Prefetch和Amcache也得处理，不然取证时全露馅。

---

最后说个真事。某次红队项目，我打进内网后闲着没事，翻了翻IT部门的共享文件夹。发现一个Excel表，标题叫“安全设备密码本”。打开一看，防火墙、WAF、堡垒机密码全在里面。我直接截图发给客户CISO。他沉默了半天，回了一句：“这表是五年前建的，早该删了。”你看，红队最大的价值不是打进去，是让甲方看见自己有多瞎。

这行干久了，你会觉得防守方永远在补漏，攻击方永远在找缝。但缝永远找得完，漏永远补不完。所以别迷信工具，多动脑子。一个curl命令能搞定的事，别写三百行Python。记住，你是红队，不是脚本小子。

```