内网里最不值钱的渗透命令就是密码，最值钱的渗透命令也是密码。我见过太多所谓“渗透测试”，渗透命令说白了就是渗透命令拿弱口令字典怼着Windows远程桌面狂轰滥炸。真正让我脊背发凉的渗透命令，是渗透命令去年某次授权评估——对方是家银行的分支机构，防火墙策略严得跟铁桶似的渗透命令，结果呢？渗透命令运维把数据库备份文件的压缩包密码设成了“Admin@123”，还顺手传到了内部FTP的渗透命令根目录。

那台FTP服务器用的渗透命令是老掉牙的Serv-U，默认配置，渗透命令匿名可读。渗透命令我甚至没动用任何漏洞利用工具，渗透命令就靠浏览器地址栏敲了个ftp://192.168.x.x/backup.zip，渗透命令文件就下来了。渗透命令解压后是整套核心业务系统的源码，里面硬编码了生产库的连接串。前后不到二十分钟，比去楼下买杯咖啡还快。

所以你看，真正高效的渗透命令往往不是那种花里胡哨的Metasploit模块，而是dir /s /b *.bak——递归翻目录找备份文件。Windows下这条命令配合findstr /i "password" *.txt，能筛出大量开发遗留的敏感信息。Linux环境则用grep -r "passwd" /home/*/ --include="*.conf"，盲扫配置文件的硬编码凭据。这些命令土得掉渣，但每次都能捞到东西。

再往深走一层，命令的用法取决于你对系统行为的理解。比如whoami /priv，这命令输出的是一堆权限列表，但真正关键的是看有没有SeImpersonatePrivilege。有它，意味着你可以尝试土豆家族提权——JuicyPotato或者PrintSpoofer，一条命令弹回SYSTEM shell。没有它，你就算把提权EXP背得滚瓜烂熟也白搭。

还有个细节容易被忽略：netstat -ano看端口，别光盯着80和443。内网横向移动时，某台机器上开着8080或者3306，往往比Web端口更有价值。去年打一个制造业客户，就是通过netstat -ano | findstr "3306"定位到数据库节点，顺手用mysql -h 10.0.0.5 -uroot -p试了试空密码——真就进去了。那套ERP系统所有表都裸奔着，连个脱敏都没做。

命令本身不产生攻击性，产生攻击性的是使用者的思路。我习惯把命令分成两类：一类是“问路”的，比如arp -a看内网存活主机，route print理解网络拓扑；另一类是“伸手”的，比如sc create创建服务后门，schtasks /create注册计划任务维持权限。前者要快，后者要稳。

说到持久化，有个反直觉的招：别老惦记注册表Run键，现在EDR盯得紧。试试wmic process call create "cmd /c net user hacker P@ss123 /add"——WMIC命令行的历史记录容易被忽略，而且执行完进程就退出，不会留驻内存。配合wmic useraccount where name='hacker' set PasswordExpires=false，妥妥的隐蔽账号。

最后说个现场经验：终端里敲命令时，手指的节奏会出卖你的信心。犹豫、反复回删、修改参数，这些痕迹在蓝队眼里都是信号。真正熟练的操作员，命令是连贯的，像在弹一段熟稔的钢琴曲。所以多练，练到ipconfig /all和nslookup成为肌肉记忆，比背一百个EXP都管用。

渗透到头来拼的不是工具库大小，是你对每一条命令背后逻辑的体感。命令是死的，网络是活的，活泛的心思才能让那几行黑底白字的字符真正替你开路。