内容摘要：拿到一台机器的 shell 只是开始，不是结束。很多人打到点就急着截图交差，结果连内网有多少台机器都没摸清。我见过最离谱的一次，某外包兄弟拿到域管权限后直接去改 CEO 邮箱密码，触发了告警，整个行动

拿到一台机器的后渗透 shell 只是开始，不是后渗透结束。很多人打到点就急着截图交差，后渗透结果连内网有多少台机器都没摸清。后渗透我见过最离谱的后渗透一次，某外包兄弟拿到域管权限后直接去改 CEO 邮箱密码，后渗透触发了告警，后渗透整个行动线被连根拔起。后渗透后渗透的后渗透核心不是炫技，是后渗透控制信息流。

先看手里的后渗透牌。`whoami /priv` 和 `systeminfo` 这种基础操作不说了，后渗透重点看三样东西：域内信任关系、后渗透共享会话、后渗透以及有没有现成的后渗透凭据。`net view /domain` 能列出域内机器，但更隐蔽的是查 SPN——`setspn -T domain -Q */*`，服务账号往往权限配得随意。有次我翻到一个 SQL Server 服务账号，密码就是公司名加 123，直接横向到数据库服务器，里面存着全公司的考勤记录。

凭据收集别只盯着 lsass。浏览器保存的密码、RDP 连接历史、甚至回收站里没删干净的配置文件，都是入口。`cmdkey /list` 查保存的凭据，`dir /s /b %userprofile%\AppData\Local\Microsoft\Credentials` 看凭据文件。有个细节：Windows 凭据管理器里的条目用 `vaultcmd /listcreds:"Windows Credentials" /all` 能列出来，配合 mimikatz 的 dpapi 模块解密，效果比硬 dump lsass 稳得多。后者动不动就蓝屏，甲方运维第二天上班看到机器重启记录，你就暴露了。

横向移动讲究“慢就是快”。PsExec 和 WMI 早就被 EDR 盯死了，用 `schtasks /create /s target /ru system /tn "Updater" /tr "cmd /c ..."` 这种计划任务反而更干净。或者干脆用 DCOM，`[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.Application","target"))` 远程调 ShellExecute，流量走的是正常的 RPC，日志里看起来就像管理员在操作。我习惯先建一个隐藏共享，把工具丢进去，再通过计划任务执行，完事删掉任务和共享，不留痕迹。

权限维持别只想着注册表 Run 键。那种地方杀软和应急响应的人第一个看。试试 `bitsadmin /create /transfer` 做一个 BITS 任务，系统重启后自动恢复下载，或者用 WMI 事件订阅——`__EventFilter` 绑定 `__IntervalTimerInstruction`，每十分钟触发一次执行。这玩意儿藏在 WMI 仓库里，`Get-WmiObject -Namespace root\subscription -Class __EventFilter` 才能看到，普通管理员根本不知道去哪查。

最后说数据。别一次性打包几个 G 往外传，流量监控不是吃素的。把敏感文件拆成几 KB 的小块，混在正常的 HTTP 请求里带出去，或者干脆只传文件名和路径列表，需要哪份再单独取。有次我花了三天时间，每天只传一个压缩包，每个包不超过 500KB，走的是目标自己的 Exchange 服务器，日志里全是正常的邮件附件流量。等到发现的时候，核心研发文档已经全在手里了。

后渗透没有标准答案。环境不同、对手不同、运气也不同。但有一条铁律：你留下的每一个操作，都要能解释成“正常管理员行为”。做不到这一点，再高的权限也是白给。