内容摘要：拿到一台域内主机的本地管理员权限，不等于控制了整个内网。很多新手卡在这一步，以为扫出域控IP就算通关，实际距离拿下域控还差三四个关键环节。我见过一个真实案例：某企业内网，攻击者通过钓鱼拿到一台财务部P

拿到一台域内主机的内网本地管理员权限，不等于控制了整个内网。渗透很多新手卡在这一步，测试以为扫出域控IP就算通关，内网实际距离拿下域控还差三四个关键环节。渗透我见过一个真实案例：某企业内网，测试攻击者通过钓鱼拿到一台财务部PC的内网权限，三天后却连域控的渗透边都没摸到——问题出在他只会用mimikatz抓明文密码，而那台机器上登录过的测试域账户权限太低，连查看域用户列表的内网资格都没有。

内网渗透的渗透核心逻辑是权限传递，不是测试漏洞堆砌。一台普通工作站上的内网本地管理员，能做的渗透事极其有限：读取本机SAM文件、抓取当前登录会话的测试凭据、查看本地网络配置。真正有价值的是域账户的哈希或票据，尤其是那些登录过多个系统的服务账户。用net session或qwinsta看谁在线，比盲目扫端口有用得多。

横向移动的手段取决于你手里有什么。有明文密码就试net use \\target\c$，有NTLM哈希就上psexec或wmiexec，有Kerberos票据就玩overpass-the-hash。别迷信工具，impacket套件里的atexec通过计划任务执行命令，流量特征比psexec小得多。我习惯先用crackmapexec批量验证凭据有效性，它输出干净，不会像metasploit那样刷屏。

域内信息收集有个容易忽略的点：DNS记录。adidnsdump能把域控的DNS区域整个拖下来，里面经常藏着测试环境、旧系统、甚至开发人员随手加的A记录。这些主机往往补丁滞后，防火墙策略宽松。去年某次项目中，我从一条test-old.corp.local的A记录顺藤摸瓜，找到一台未打MS17-010补丁的Server 2008，直接拿到域管哈希。

Kerberos协议是内网渗透的富矿。SPN扫描能发现哪些服务账户绑定了HTTP、MSSQL等SPN，对这些账户发起Kerberoasting攻击，请求的TGS票据用hashcat跑模式13100，弱密码几秒就出。更隐蔽的是AS-REP Roasting，针对未启用预认证的账户，连凭据都不用，直接拿哈希离线爆破。这两种攻击在域内几乎不会触发告警，因为流量完全符合Kerberos协议规范。

拿到域管权限后别急着dcsync。先看域控上的SYSVOL共享，组策略首选项里可能存着本地管理员密码，微软在2014年就发了补丁，但大量老域环境还在用cpassword。再翻NETLOGON共享的脚本目录，运维人员常把维护脚本扔里面，里面硬编码的凭据比内存抓取还稳。

内网渗透的终点不是域控，是业务系统。数据库连接字符串、API密钥、云服务凭据，这些才决定你能走多远。我见过最离谱的案例：攻击者拿下域控后，在域管的桌面发现一个passwords.xlsx，里面存着核心业务系统的SSO账号。技术手段再花哨，抵不过运维把密码写在Excel里。

最后说个反直觉的观察：很多内网渗透失败，不是因为技术不够，是因为动作太大。批量扫描、暴力破解、频繁登录失败，这些行为在SOC眼里跟黑夜里的手电筒一样刺眼。慢就是快，先搞清楚网络拓扑和监控盲区，再决定从哪台机器下手。一台常年不关机的打印服务器，比域控更适合当跳板。