cmd横向渗透，向渗说白了就是向渗拿到一台Windows机器后，用它当跳板去控制内网里别的向渗机器。这活儿不花哨，向渗不依赖什么高级漏洞，向渗靠的向渗是系统自己留下的门——IPC$共享、计划任务、向渗WMI、向渗PsExec，向渗全是向渗老面孔。

我见过最典型的向渗场景：某公司财务部一台电脑中了马，攻击者上去一看，向渗好家伙，向渗域管理员居然用它登过邮箱。向渗于是向渗cmd窗口里敲下一行命令：

net use \\192.168.1.10\ipc$ "Passw0rd!" /user:corp\admin

这条命令不产生任何文件，不触发杀软，只是建立了一个隐藏的IPC连接。如果对方密码没变，那这台机器就等于裸奔了。接下来更简单——把恶意服务拷过去，远程启动，一条命令搞定控制权。

sc \\192.168.1.10 create evilbin binPath= "cmd.exe /c whoami > c:\windows\temp\out.txt" sc \\192.168.1.10 start evilbin

看，就这么直白。没有图形界面，没有弹窗，一切都在cmd的黑框里完成。很多人以为横向渗透需要什么高深技术，其实真正干活的就是这些几十年前就存在的命令。

另一个常用招数是计划任务。攻击者喜欢用它，因为日志记录比服务启动更隐蔽。命令长这样：

schtasks /create /s 192.168.1.11 /u corp\admin /p "Pass" /tn "update" /tr "cmd.exe /c net user hacker P@ss /add" /sc once /st 00:00 schtasks /run /s 192.168.1.11 /u corp\admin /p "Pass" /tn "update"

这招狠在哪儿？它直接给目标机器添加了一个本地管理员账号。整个过程不超过五秒，而运维查看计划任务日志的频率，通常比看安全日志低得多。

还有WMI。不带任何第三方工具，纯系统自带。攻击者用wmic命令远程执行进程，连计划任务都省了：

wmic /node:192.168.1.12 /user:corp\admin /password:"Pass" process call create "cmd.exe /c net user backdoor P@ss /add"

这种调用不留文件痕迹，杀毒软件很难拦截。因为WMI本身就是Windows管理机制的一部分，你没法封杀它，除非彻底关闭远程管理功能——那很多企业IT自己就先疯了。

防御端的现实很残酷：多数公司只装了杀软和防火墙，却忽略了账户审计。攻击者横向渗透成功的前提，往往只是拿到了一个域账号的密码。而这个密码，可能三个月没改过，可能跟某员工生日一样好猜，可能被明文存在某个共享文档里。

我见过最离谱的一次，某企业域管理员密码是“Admin@123”，安全部门还觉得复杂度达标了。结果攻击者用这一个密码，横向扫了全网三百多台机器，一半都能登进去。

所以别把横向渗透想得太神秘。它本质就是：拿到一个合法凭证，然后利用Windows信任机制，在机器间跳跃。cmd窗口里敲的命令越多，留下的痕迹越多——但前提是有人愿意去翻日志。

如果你负责安全，建议从三件事做起：第一，强制所有账户启用复杂密码且定期轮换；第二，关掉不必要的IPC$共享和远程计划任务；第三，把登录日志和命令执行审计集中收集，别让它们躺在各台机器里睡大觉。

否则，哪天你打开cmd，输一条net use，可能就进到了别人的“内网”。