内网渗透技术全解析：从基础协议到域渗透实战

1. 从“门外汉”到“敲门人”：内网渗透的认知起点

很多刚接触安全的朋友，一听到“内网渗透”四个字，脑海里可能立刻浮现出电影里黑客在键盘上噼里啪啦、屏幕上代码滚动的炫酷场景，觉得这技术高深莫测，离自己很远。实际上，内网渗透更像是一场系统性的“城堡探险”。你可以把一家公司的网络想象成一座戒备森严的城堡，外部有高墙（防火墙）、护城河（网络隔离），而内网渗透的目标，就是从外部找到一个不起眼的“侧门”或“窗户”溜进去，然后在这个城堡内部自由探索，摸清每个房间（服务器、终端）的布局、守卫（安全策略）的弱点，甚至找到通往核心宝库（核心数据库、域控服务器）的钥匙。

我刚开始学的时候，也走过不少弯路，总觉得工具和命令是王道，疯狂收集各种“神器”和“一键脚本”。后来踩过几次坑才明白，工具只是“兵器”，而清晰的思路和扎实的基础知识才是“内功心法”。没有内功，再好的兵器也发挥不出威力，甚至可能伤到自己。这篇分享，我就想从一个过来人的角度，把内网渗透这套“内功心法”的修炼路径，掰开揉碎了讲清楚。它不追求让你立刻成为顶尖高手，而是帮你搭建一个从零开始、步步为营的知识框架，让你知道每一步在做什么、为什么这么做，以及可能遇到哪些“坑”。无论你是安全专业的学生、刚入行的安服工程师，还是对网络安全充满好奇的开发者，收藏这篇，跟着思路走一遍，你都能对内网渗透有一个系统且扎实的理解。

2. 内网渗透全景图：目标、阶段与核心思想

在动手之前，我们必须先搞清楚这场“探险”的终极目标是什么，以及要分几步走。盲目乱撞，不仅效率低下，还极易触发警报。

2.1 渗透的终极目标：权限与数据

内网渗透的所有行动，最终都指向两个核心目标：获取更高权限和攫取核心数据。

• 权限的阶梯：从最初一个普通用户权限（User），到本地管理员权限（Local Admin），再到域内普通用户权限（Domain User），最终目标是拿到域管理员权限（Domain Admin）或企业管理员权限（Enterprise Admin）。拥有了域管权限，就相当于拿到了整个城堡所有房间的“万能钥匙”，可以任意访问、控制域内的任何一台计算机。
• 数据的价值：权限是手段，数据是目的。核心数据可能包括：域内所有用户的账号密码哈希（便于横向移动）、源代码、财务数据、客户信息、商业计划等。这些数据的泄露，对企业而言往往是灾难性的。

2.2 经典渗透阶段：一个环环相扣的过程

一次完整的内网渗透，通常遵循一个相对固定的流程，我们可以将其划分为以下几个阶段：

1. 信息收集：这是所有行动的基石。就像侦探破案前要调查现场，我们需要尽可能多地收集目标网络的信息。包括但不限于：外部IP、域名、子域名、开放的端口及服务、Web应用框架、中间件版本、员工邮箱（用于钓鱼）、组织架构等。信息收集越充分，后续攻击的面就越广。
2. 漏洞利用与初始突破：基于信息收集的结果，寻找脆弱点进行攻击，获取第一个立足点。这可能是通过一个Web漏洞（如SQL注入、文件上传）拿到Web服务器的Shell，也可能是通过钓鱼邮件让内部员工点击恶意链接或附件，从而在其电脑上执行我们的代码。
3. 内网横向移动：获得第一个入口点（通常称为“跳板机”或“攻击机”）后，工作才真正开始。我们需要以这台机器为起点，向网络内部的其他机器进行渗透和扩散。这个过程的核心就是“横向移动”。
4. 权限提升：在横向移动的过程中，我们获得的初始权限往往很低。我们需要在单台主机上，利用系统配置错误、漏洞或弱密码，将权限从普通用户提升至本地管理员或系统权限。
5. 持久化与权限维持：为了防止管理员发现并清除我们的访问，我们需要在攻陷的机器上留下“后门”，确保即使机器重启、密码更改，我们依然能重新获得控制权。常见的如创建计划任务、服务、启动项、隐藏账户等。
6. 数据窃取与清理痕迹：达到目标后，悄无声息地打包并外传所需数据，并尽可能清除日志、操作记录等痕迹，做到“来无影，去无踪”。

注意：在实际的授权渗透测试或红队演练中，必须严格遵守授权范围和法律边界。未经授权的渗透测试是违法行为。本文所有内容仅用于技术学习和授权安全测试场景。

2.3 核心思想：假设与验证

贯穿整个渗透过程的核心思想是：大胆假设，小心验证。网络环境千变万化，没有一套固定的“武功秘籍”能通吃所有场景。你需要根据当前收集到的信息（如操作系统版本、安装的软件、开放的端口），做出“这里可能存在XX漏洞”或“管理员可能使用了弱密码”的假设，然后用工具或手动方式进行验证。验证成功，则假设成立，进入下一步；验证失败，则修正假设，寻找其他路径。这是一个持续循环、动态调整的过程。

3. 筑基篇：内网环境与协议核心认知

要想在内网里“行走自如”，你必须先熟悉这个“城堡”的基本构造和通行规则。这部分知识看似枯燥，却是后续所有高级技巧的根基。

3.1 内网环境三大件：工作组、域与域控

• 工作组（Workgroup）：一种松散的对等网络模式。每台计算机独立管理自己的用户账户和资源，就像一个小集市，每个摊位（计算机）自己管自己。要访问其他计算机的资源，需要知道那台计算机上的本地账号和密码。工作组环境结构简单，但不利于集中管理，常见于小型办公室或家庭网络。
• 域（Domain）：一种集中管理的网络模式。由一个或多个域控制器（Domain Controller, DC）来统一管理域内所有计算机的用户、组策略和安全策略。域内的计算机都“加入”了这个域。用户只需使用一个域账户，就可以登录域内任何一台允许其登录的计算机，并访问其有权限的网络资源。这就像一个大公司，所有员工由人力资源部（域控）统一管理，凭工卡（域账户）可以进入公司大楼和授权区域。
• 域控制器（DC）：域的核心大脑，通常运行Windows Server系统并安装了Active Directory（活动目录，AD）服务。它存储了域内所有对象（用户、计算机、组）的信息，并负责身份验证。拿下域控制器，基本就等于控制了整个域。

3.2 关键协议深度解析：血液与脉络

内网通信依赖于一系列协议，理解它们就如同理解了城堡内的“暗语”和“密道”。

• SMB（Server Message Block）：文件共享与打印机共享的基石协议。当你使用\\192.168.1.100这种方式访问共享文件夹时，底层用的就是SMB。它也是内网横向移动的“高速公路”。攻击者常利用SMB协议的漏洞（如永恒之蓝EternalBlue）或弱密码爆破来攻击开启445端口的机器。
  • 实操要点：使用net view \\192.168.1.100命令可以查看目标机器的共享资源。使用nmap -p 445 --script smb-enum-shares,smb-enum-users 192.168.1.0/24可以扫描网段内开放的SMB共享和用户。
• NetBIOS over TCP/IP（NBT）：一个老旧的名称服务协议，用于网络发现。它监听在UDP 137（NetBIOS名称服务）、138（NetBIOS数据报服务）和TCP 139端口。虽然老旧，但在很多内网中依然启用，可以泄露主机名、工作组/域名等信息。
  • 实操要点：nbtscan工具可以快速扫描一个网段，获取主机的NetBIOS名称和MAC地址，是快速绘制内网拓扑的神器。
• LLMNR/NBNS（链路本地多播名称解析/NetBIOS名称服务）：当DNS解析失败时，Windows系统会退而求其次，使用LLMNR（IPv6）或NBNS（IPv4，即NetBIOS）在本地网络中进行广播查询。这为“中间人攻击”创造了条件。
  • 攻击场景：攻击者可以伪装成被请求的主机，响应这些广播查询，从而将流量导向自己，实施凭据窃取（如通过Responder工具）。
• Kerberos：Windows域环境默认的身份验证协议，比古老的NTLM更安全。它基于“票据”进行认证，过程涉及客户端、KDC（密钥分发中心，运行在域控上）和服务端三方。
  • 核心概念理解：可以把Kerberos想象成去游乐场玩。你先去售票处（KDC）用身份证（密码哈希）兑换一张通票（TGT，票据授予票据）。然后你想玩过山车（访问某个服务），你需要拿着通票去售票处换取一张过山车的专用票（ST，服务票据）。攻击者可能会尝试伪造票据（黄金票据、白银票据）来绕过认证。
• LDAP（轻量级目录访问协议）：用于查询和修改Active Directory中的目录服务。它运行在域控的389端口（636为LDAPS）。通过LDAP，可以枚举域内的用户、计算机、组等信息，是信息收集的关键。
  • 实操命令：在已加入域的机器上，可以使用net user /domain、net group /domain等命令，其底层就是通过LDAP查询域控。

3.3 内网地址与拓扑发现

进入内网后，第一件事就是“看地图”。

1. 查看本机网络配置：

   ipconfig /all # Windows ifconfig # Linux

   重点关注IP地址、子网掩码、默认网关、DNS服务器。DNS服务器很可能就是域控制器。

2. 探测存活主机：

   • ARP扫描：在二层网络中最快最准。工具：arp-scan(Linux),nmap -sn -PR 192.168.1.0/24。
   • ICMP Ping扫描：但可能被防火墙禁止。nmap -sn -PE 192.168.1.0/24。
   • TCP/UDP端口扫描：通过扫描常见端口（如135, 139, 445, 3389）来发现主机。nmap -p 135,139,445,3389 192.168.1.0/24 --open。

3. 绘制网络拓扑： 通过 traceroute (tracertin Windows) 或更高级的工具如BloodHound的自动采集，可以分析出计算机之间的信任关系、用户登录会话等，可视化地发现从当前位置到域管理员的最短攻击路径。

4. 突破篇：初始入口获取与权限提升

有了基础知识，我们开始实践。第一步是如何从外部“敲开城堡的门”。

4.1 常见的初始突破方式

• Web应用漏洞：这是最常见的入口。例如：

  • SQL注入：通过构造恶意SQL语句，获取数据库数据，甚至获取服务器权限（通过xp_cmdshell等）。
  • 文件上传漏洞：上传一个包含恶意代码的脚本文件（如.aspx, .php, .jsp），并诱使服务器执行它，从而获得WebShell。
  • 框架/组件漏洞：利用Struts2、Spring、Log4j2等流行框架的已知漏洞直接获取系统权限。
  • 实操心得：不要只依赖自动化扫描器。手动测试参数、分析请求响应、阅读源代码往往能发现扫描器找不到的深层漏洞。拿到WebShell后，第一时间尝试提权，并建立更稳定的反向连接。

• 社会工程学-钓鱼攻击：技术防御再强，人也可能是最弱的一环。通过伪造邮件、网站，诱骗员工点击链接、下载附件或输入凭据。

  • 鱼叉式钓鱼：针对特定目标，内容高度定制化，成功率极高。
  • 凭证钓鱼：克隆一个内部登录页面（如OA、邮箱登录页），诱使用户输入账号密码。
  • 注意事项：在授权测试中，钓鱼演练需要格外谨慎，必须获得明确授权，并制定详细的方案，避免造成不必要的恐慌或实际损失。

• 弱口令与默认口令：对SSH、RDP、数据库（如MySQL、Redis）、管理后台（如路由器、交换机、Web后台）进行弱口令爆破。永远不要低估“admin/admin”、“root/123456”这种组合的出现频率。

4.2 权限提升（提权）实战详解

拿到一个普通用户Shell后，我们需要将其升级为管理员或系统权限。

Windows提权思路：

1. 系统信息收集：首先全面了解目标。

   systeminfo | findstr /B /C:"OS Name" /C:"OS Version" # 系统版本 whoami /priv # 当前用户权限 net user # 本地用户 net localgroup administrators # 管理员组用户

2. 内核漏洞提权：寻找未修复的系统漏洞。使用wesng或WinPEAS等工具自动化检查系统补丁情况，匹配已知的本地提权EXP（如CVE-2021-1678, PrintNightmare）。

   • 操作流程：上传提权EXP到目标 -> 执行 -> 获得System权限Shell。
   • 踩坑记录：64位系统要注意EXP的位数匹配。杀毒软件可能会拦截，需要做免杀处理。务必先在测试环境验证EXP的稳定性和兼容性。

3. 服务与计划任务提权：

   • 服务路径漏洞：如果一个以System权限运行的服务，其可执行文件路径指向一个普通用户有写入权限的目录，我们就可以替换该文件，等待服务重启。
   • 不安全的服务权限：使用accesschk.exe或PowerUp.ps1脚本检查服务配置，如果普通用户对某个服务有修改（SERVICE_CHANGE_CONFIG）权限，可以将其启动命令改为我们的恶意命令。
   • 计划任务：检查计划任务（schtasks），看是否有任务以高权限运行且调用的脚本或程序当前用户可写。

4. AlwaysInstallElevated：如果注册表项HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated和HKEY_LOCAL_MACHINE...下的值均为1，则任何MSI安装包都会以System权限安装。我们可以制作一个恶意的MSI包来提权。

5. 凭证窃取与密码复用：

   • 抓取内存密码：使用mimikatz（需管理员权限）可以抓取LSASS进程内存中的明文密码和哈希。命令：privilege::debug+sekurlsa::logonpasswords。
   • 哈希传递攻击：如果我们获取了某个用户的NTLM哈希（但不知道明文密码），并且目标机器禁用了NTLM认证，我们可以尝试使用这个哈希直接进行横向移动，而无需破解。工具：mimikatz的pth模块或impacket套件中的psexec.py。

Linux提权思路：

1. 信息收集：

   uname -a # 内核版本 sudo -l # 当前用户可以以root权限运行哪些命令（重中之重！） find / -perm -u=s -type f 2>/dev/null # 查找SUID文件 crontab -l # 查看当前用户的计划任务

2. 利用SUID文件：SUID文件在执行时，会以文件所有者的权限运行。如果找到一个属主是root且具有SUID权限的命令（如find,vim,bash等），并且我们可以控制其参数，就可能提权。例如，古老的find命令提权：find . -exec /bin/bash -p \;。

3. sudo滥用：sudo -l命令列出当前用户无需密码即可以root身份运行的命令。如果其中包含vim,less,more,man,awk等可以进入交互模式或执行系统命令的程序，就可以利用它们逃逸到root shell。例如，sudo vim -c '!bash'。

4. 内核漏洞提权：和Windows类似，使用linux-exploit-suggester等工具检测可能的内核漏洞，然后上传并编译对应的EXP。

5. 环境变量劫持：如果有一个以root权限运行的程序，它调用了另一个命令（如ls），但没有使用绝对路径，我们就可以通过修改PATH环境变量，让我们自己的恶意ls程序优先被执行。

6. 计划任务（Cron）提权：检查系统级（/etc/crontab）和用户级的cron任务，看是否有任务以root权限运行且调用的脚本当前用户可写。

5. 纵横篇：内网横向移动的艺术

进入内网并在一台机器上站稳脚跟后，真正的挑战才开始：如何从A点移动到B点、C点……直至目标。

5.1 凭证获取与利用

横向移动的燃料就是凭证（用户名和密码/哈希）。

• 本地凭证抓取：如前所述，使用mimikatz（Windows）或从/etc/shadow文件读取（Linux，需root权限）。
• 网络嗅探与中间人攻击：
  • ARP欺骗：通过欺骗网关和目标主机，将它们的流量导向你的攻击机，从而嗅探到明文密码或哈希（针对NTLMv1等弱协议）。工具：Ettercap,BetterCAP。
  • LLMNR/NBNS投毒：使用Responder工具监听并响应LLMNR/NBNS请求，诱导受害者向你发送NTLMv2哈希，然后可以离线破解。
• 密码喷洒攻击：不同于暴力破解（一个用户试很多密码），密码喷洒是使用一个或几个常用密码，去尝试域内的所有用户。这样可以避免触发账户锁定策略。工具：DomainPasswordSpray.ps1。

5.2 横向移动的主要手段

1. 利用SMB/WMI执行命令：

   • psexec：微软官方工具，通过SMB服务在远程主机上创建服务并执行命令。需要目标管理员账号密码。impacket套件中有Python版：psexec.py domain/user:password@target_ip。
   • wmiexec：通过Windows管理规范（WMI）远程执行命令，比psexec更隐蔽，不会创建服务。impacket的wmiexec.py非常好用。
   • smbexec：类似psexec，但通过文件共享传递命令输出。impacket的smbexec.py。

2. 利用计划任务：通过schtasks命令在远程主机上创建计划任务来执行我们的载荷。

   schtasks /create /S 192.168.1.10 /U DOMAIN\AdminUser /P Password /RU SYSTEM /SC ONCE /TN "Backdoor" /TR "C:\shell.exe" /ST 00:00 schtasks /run /S 192.168.1.10 /TN "Backdoor"

3. 远程桌面（RDP）与SSH：如果获取到有远程登录权限的账号密码，直接使用RDP或SSH客户端连接是最直接的方式。对于RDP，可以尝试“受限管理员模式”或使用mimikatz开启。

4. WinRM（Windows Remote Management）：Windows Server 2012及以上版本默认开启的远程管理服务（端口5985/5986）。可以使用evil-winrm工具进行连接，前提是用户属于远程管理组。

5. 票据传递攻击：这是Kerberos协议下的高级横向移动技术。

   • 黄金票据：在获取域控的krbtgt账户的NTLM哈希后，可以伪造任意用户的TGT票据，从而访问域内任何服务。拥有黄金票据，就等于拥有了整个域。
   • 白银票据：在获取了某个服务账户（如CIFS文件服务）的NTLM哈希后，可以伪造访问该特定服务的ST票据。权限比黄金票据低，但不需要与KDC（域控）交互，更隐蔽。
   • 实操警告：票据攻击非常强大且隐蔽，但操作复杂，需要精准把握票据的有效时间、域名、SID等信息。一个参数填错就会失败。

5.3 代理与隧道搭建：打通攻击路径

内网机器通常不能直接访问外网。我们需要在跳板机上建立“隧道”，将内网的流量代理出来，或将我们的攻击流量送进去。

• 正向代理 vs 反向代理：
  • 正向代理：客户端明确知道自己通过代理访问服务器。适用于我们控制跳板机，让跳板机帮我们访问内网其他资源。
  • 反向代理：客户端不知道代理的存在，它访问一个公开服务器，而这个服务器将请求转发到内网的真实服务器。适用于我们将内网的服务（如3389端口）映射到公网VPS上，方便连接。
• 常用隧道工具：
  • frp / ngrok：功能强大的反向代理工具，配置简单，支持TCP/UDP/HTTP等多种协议。
  • EarthWorm (ew) / Neo-reGeorg：经典的SOCKS5代理工具，体积小，功能专一，常用于HTTP/HTTPS隧道。
  • SSH隧道：利用SSH协议自带的端口转发功能，是最隐蔽的方式之一。
    • 本地转发：ssh -L 本地端口:目标主机:目标端口 跳板机用户@跳板机IP。将本地端口的流量，通过跳板机转发到目标主机。
    • 远程转发：ssh -R 跳板机端口:目标主机:目标端口 跳板机用户@跳板机IP。将跳板机端口的流量，转发到我们本地能访问的目标主机。常用于突破防火墙。
  • Proxifier / Proxychains：代理客户端工具，可以将指定应用程序的流量强制通过我们建立的SOCKS/HTTP代理发出，实现全局或应用级的代理。

6. 域渗透核心：Active Directory攻防要点

在Windows域环境中，Active Directory是皇冠上的明珠，也是攻击者的终极目标。

6.1 AD信息收集自动化

手动命令效率低，使用工具进行自动化枚举是必然选择。

• PowerView：PowerShell脚本，是BloodHound的前身，功能强大。

  Import-Module .\PowerView.ps1 Get-NetDomain # 获取域信息 Get-NetUser | select cn,description,lastlogon # 获取所有域用户 Get-NetComputer | select name,operatingsystem # 获取所有域计算机 Get-NetGroup -GroupName "Domain Admins" # 获取域管理员组成员

• BloodHound：划时代的AD域渗透分析工具。它通过一个采集器（SharpHound）收集域内的关系数据（用户、组、计算机、会话、权限等），然后以图数据库的方式呈现，自动分析出从当前用户到域管理员的最短攻击路径。它让复杂的域关系一目了然。
  • 使用流程：在域内一台机器上运行SharpHound.exe采集数据 -> 将生成的zip文件导入BloodHound界面 -> 在界面中进行路径分析和查询。

6.2 关键攻击路径与利用

BloodHound通常会揭示出几种经典的攻击路径：

1. ACL滥用：AD中的对象（用户、计算机）都有访问控制列表。如果普通用户对某个高权限组（如Domain Admins）或用户有“写入权限”、“所有扩展权限”等，就可能直接修改其成员或属性，将自己加入该组。
2. Kerberoasting：攻击者请求所有配置了SPN（服务主体名称）的用户账户的ST票据。这些票据使用对应用户的哈希进行加密。攻击者将票据导出后，可以离线暴力破解（因为服务账户的密码有时强度不高），从而获取服务账户的明文密码。
   • 工具：Rubeus，impacket的GetUserSPNs.py。
3. AS-REP Roasting：如果域用户设置了“不需要预认证”，攻击者可以直接为其请求AS-REP响应，其中包含使用该用户密码加密的数据，可以离线破解。
4. 委派攻击：
   • 非约束委派：配置了非约束委派的服务器，可以代表用户访问域内任何服务。如果攻击者控制了该服务器，并诱使域管理员访问它，就能捕获域管理员的TGT票据。
   • 约束委派：更常见。服务器只能代表用户访问特定服务。如果攻击者拥有配置了约束委派的服务账户的密码/哈希，就可以伪造票据访问指定的服务。

6.3 权限维持与后门

拿到域管权限后，需要考虑如何长期、隐蔽地保持控制。

• DCShadow攻击：一种极其隐蔽的后门技术。攻击者将一台已控的域成员服务器伪装成域控制器，然后向真实的域控制器推送恶意的AD对象更改（如添加一个隐藏的后门用户到管理员组）。由于是“域控制器之间的同步”，很难在日志中追踪。
• Skeleton Key：由mimikatz实现。它向域控的LSASS进程注入恶意代码，在内存中给所有用户添加一个“万能密码”。使用这个万能密码，可以以任何域用户的身份登录，但原始用户的真实密码依然有效。重启域控可清除。
• DSRM密码同步：目录服务还原模式（DSRM）是域控的本地管理员账户。攻击者可以将域管的NTLM哈希同步到DSRM账户，然后通过DRSM账户登录域控。
• 创建隐藏账户：创建以$结尾的用户（如admin$），这类账户在net user命令中默认不显示，但并非绝对隐蔽。更高级的方法是直接修改AD数据库文件（ntds.dit），但风险极高。

7. 防御视角与实战避坑指南

只懂攻击不懂防御，知识体系是不完整的。从防御者（蓝队）的角度思考，能让你更好地理解攻击手法，也能在渗透测试时更隐蔽。

7.1 常见防御措施与绕过思路

• 杀毒软件/EDR：
  • 防御：实时监控进程、内存、文件行为，拦截恶意软件。
  • 绕过：使用免杀技术。包括代码混淆、加壳、分离加载器与载荷、使用白名单程序（如msbuild.exe,installutil.exe）执行恶意代码（Living Off The Land）。
• 网络监控与IDS/IPS：
  • 防御：检测异常流量模式、已知攻击特征。
  • 绕过：使用加密隧道（如HTTPS, DNS隧道）、流量伪装、降低扫描频率、使用合法的协议端口（如将C2流量放在80/443端口）。
• 强密码策略与多因素认证：
  • 防御：增加密码爆破和猜测难度。
  • 绕过：转向利用漏洞、钓鱼窃取凭证、或者寻找配置错误（如可写的服务路径），而非直接对抗密码策略。
• 最小权限原则与网络分段：
  • 防御：限制用户和服务的权限，将网络划分为不同区域，阻止攻击者横向移动。
  • 绕过：需要更精细的信息收集，找到特权提升的漏洞或配置错误，利用有限的权限作为跳板，逐级突破分段边界。

7.2 实战中的高频“坑点”与技巧

1. 工具被拦截：直接上传mimikatz.exe、nc.exe大概率会被杀。解决方案：
   • 使用源码编译，或使用现成的免杀版本（需自行寻找或制作）。
   • 使用内存加载（无文件落地）技术，如PowerShell的Invoke-ReflectivePEInjection。
   • 使用系统自带工具或脚本（如certutil下载文件，bitsadmin传输数据，PowerShell执行命令）。
2. 操作触发警报：频繁的端口扫描、大量的失败登录日志、异常的WMI/SMB连接都可能触发SIEM告警。
   • 技巧：尽量使用低频、慢速扫描。横向移动时，优先使用目标内网已有的管理通道（如WinRM、已有管理软件）而非暴力开新端口。操作完成后，有条件的话清理相关日志（wevtutil）。
3. 环境不稳定：内网机器可能重启、掉线，获得的Shell可能意外断开。
   • 技巧：获得Shell后，第一时间建立持久化后门（如计划任务、服务）。使用screen（Linux）或nohup让命令在后台稳定运行。对于Windows，可以创建隐藏的计划任务。
4. 信息收集混乱：渗透过程中会产生大量信息（IP、账号、密码、哈希、漏洞）。
   • 技巧：养成好习惯，使用笔记软件（如OneNote, CherryTree）或命令行工具（如keepnote）实时记录。为每个目标建立独立目录，存放扫描结果、截图、凭证文件等。
5. 心理素质：在真实的攻防演练中，时间压力、蓝队的反制都可能带来紧张情绪。
   • 心得：前期准备越充分，应急预案越多，心态就越稳。每进行一步操作，都想好下一步和退路。不要在一个死胡同里浪费太多时间，及时切换攻击路径。

内网渗透是一个庞大而精深的领域，这篇长文也只能勾勒出其核心骨架和关键脉络。真正的精通，源于在合法授权环境下的无数次实战、复盘和思考。记住，工具和技术迭代很快，但网络协议原理、系统设计思想和攻防对抗的逻辑是相对稳定的。打好基础，建立体系化的思维，保持持续学习的好奇心，你才能在这个领域走得更远。最后，再次强调，所有技术都应在法律和道德允许的范围内使用，用于提升系统安全，而非破坏它。