内网渗透测试实战指南：从信息收集到域控攻防的完整攻击链
1. 项目概述：从“破门”到“巡城”的攻防思维跃迁
“内网‘围城’”，这个比喻精准地描绘了现代企业网络安全的典型困境。外网边界看似固若金汤，但一旦攻击者通过某个薄弱点（如一个未修复漏洞的Web应用、一封钓鱼邮件）成功“破门”，进入内网，整个内部网络往往就暴露在攻击者面前，如同一座不设防的城池。传统的渗透测试，很多时候止步于拿到一个Webshell或一个普通用户权限，便宣告“成功”。然而，这仅仅是故事的开始，远非结束。
真正的内网渗透测试，其价值在于模拟一个具备明确目标、持续潜伏、横向移动并最终达成控制（如获取域控权限、核心数据）的完整攻击链。这个过程，我们称之为“杀链”。它不仅仅是技术点的堆砌，更是一套完整的战术思维和工程化流程。从最初的单点信息刺探（Reconnaissance）、武器化（Weaponization）、投递（Delivery），到内网中的漏洞利用（Exploitation）、安装控制（Installation）、命令与控制（C2），再到最后的横向移动（Lateral Movement）和达成目标（Actions on Objectives），每一步都环环相扣。
本次详解，我将结合十多年的实战经验，抛开那些华而不实的理论，直接切入核心。我们不仅要讲清楚每个环节“怎么做”，更要深入剖析“为什么这么做”以及“什么时候该这么做”。你会发现，内网渗透远不止于使用msfconsole或Cobalt Strike那么简单，它涉及到操作系统原理、网络协议、身份认证机制（如Kerberos、NTLM）、应用服务漏洞以及防御规避等深层次知识。无论是面对一个简单的DC-1靶机，还是一个复杂的真实企业网络，这套从“单点突破”到“全面控域”的思维框架，都是你手中最锋利的武器。
2. 核心思路拆解：构建你的内网攻击“导航图”
在进行任何内网操作之前，盲目行动是大忌。你需要一张清晰的“导航图”，也就是攻击路径规划。这张图不是凭空想象，而是基于持续不断的信息收集和分析逐步绘制而成的。
2.1 信息收集：你的“眼睛”和“耳朵”
进入内网后的第一步，绝不是急着去exploit。静下心来，把自己当成一个刚刚潜入敌后的特种兵，首要任务是摸清环境。
1. 本机信息收集：立足点分析这是你的第一个据点，必须彻底摸透。
- 系统信息：
systeminfo（Windows）或uname -a、cat /etc/*-release（Linux）。关注操作系统版本、补丁级别、架构（x64/x86），这直接决定了后续可利用的漏洞和工具。 - 用户与权限：
whoami /all（Windows，查看当前用户、权限、所属组）、net user、net localgroup administrators。立即判断当前权限是普通用户、本地管理员还是域用户。如果是域用户，net user /domain和net group /domain将为你打开新世界的大门。 - 网络配置：
ipconfig /all（Windows）或ifconfig（ip addr）。记录所有IP地址、DNS服务器（很可能是域控）、网关。arp -a查看本地ARP缓存，快速发现同一网段的其他主机。 - 进程与服务：
tasklist（Windows）或ps aux（Linux）。寻找安全软件（AV/EDR）、运维管理工具、数据库服务等。netstat -ano查看网络连接和监听端口，发现本机开放的服务以及与其他主机的通信关系。 - 凭证与敏感文件：浏览桌面、文档目录，查找密码本、配置文件（如
web.config、config.php）、远程连接工具（如SecureCRT、Xshell）的会话保存文件。在Linux上，history命令可能泄露重要操作和密码。
实操心得：信息收集要形成脚本化、自动化习惯。在Windows上，我常用一个简单的批处理或PowerShell脚本一次性跑完上述基础命令。在Linux上，则会使用
LinEnum、linux-exploit-suggester这类工具。记住，安静是第一要务，避免触发大量告警。
2. 网络拓扑与主机发现：绘制战场地图知道自己在哪后，就要探索周围。
- 网段发现：通过本机IP和子网掩码，确定当前所在网段（如
192.168.1.0/24）。但大型内网通常划分多个VLAN。如何发现其他网段？- 路由表：
route print（Windows）或ip route。查看本地路由信息，可能发现指向其他内网网段的路由。 - 多网卡：检查机器是否有多个网络适配器，可能直接连接不同网段。
- ARP缓存与网络连接：之前
arp -a和netstat -ano的结果中，可能包含其他网段的IP。
- 路由表：
- 存活主机发现：针对目标网段进行扫描。在内网中，ICMP Ping (
ping)可能被禁止。需要多管齐下：- TCP SYN扫描：使用
nmap -sn -PS22,80,443,445 192.168.1.0/24。即使主机禁Ping，向常见端口发送SYN包，收到响应也能判断存活。 - ARP扫描：在二层网络中最快最准确。
nmap -sn -PR 192.168.1.0/24或使用arp-scan工具。 - NetBIOS/NBNS扫描：在Windows网络中，
nbtscan工具可以快速发现开启NetBIOS服务的主机，并获取主机名、MAC地址等信息。
- TCP SYN扫描：使用
- 端口与服务探测：发现主机后，对关键主机进行更细致的端口扫描和服务识别。
nmap -sV -sC -O -p- <target_ip>是经典组合，但全端口扫描耗时且显眼。实战中，我通常会分阶段：先快速扫描常见高危端口（如21, 22, 23, 80, 443, 445, 3389, 5985, 5986），再针对性地深入。
2.2 权限提升：从“平民”到“贵族”
拿到一个普通用户权限后，横向移动的能力和效率会大打折扣。因此，在可能的情况下，优先在已控主机上尝试提权，获取本地管理员或SYSTEM权限。
1. Windows本地提权核心思路是寻找系统配置、服务、计划任务、驱动程序或内核中的漏洞/错误配置。
- 信息收集：使用
WinPEAS或Windows-Exploit-Suggester等工具自动化收集可能用于提权的信息，如未安装的补丁、脆弱的服务路径、AlwaysInstallElevated注册表项、可写路径等。 - 漏洞利用：根据系统版本和补丁信息，寻找公开的本地提权EXP。例如，著名的Print Spooler服务漏洞（CVE-2021-1675/CVE-2021-34527）、各种内核驱动漏洞等。务必在测试环境中验证后再用于实战。
- 服务与计划任务：检查是否有服务以SYSTEM权限运行，但其可执行文件路径或依赖的DLL当前用户可写。检查计划任务，看是否有任务以高权限运行且触发器或动作可被影响。
- 凭证窃取：如果当前用户曾以管理员身份运行过某些进程，其内存中可能缓存了凭证。使用
Mimikatz（需高权限）可以尝试抓取明文密码、NTLM哈希或Kerberos票据。但现代系统（Win10/Server 2016+）默认已缓解明文密码在内存中的存储，重点转向哈希和票据。
2. Linux本地提权思路类似，关注SUID/GUID文件、内核漏洞、Cron任务、sudo配置等。
- 自动化枚举：
LinEnum、linux-exploit-suggester是首选。 - SUID/GUID文件：查找设置了SUID位的文件，特别是那些属于root用户的。如果这些文件本身存在漏洞（如缓冲区溢出），或者其行为可被劫持（如通过环境变量PATH），就可能提权。经典的
find / -perm -u=s -type f 2>/dev/null命令列出所有SUID文件。 - 内核漏洞：根据
uname -a输出的内核版本，搜索对应的提权EXP。如Dirty Cow（CVE-2016-5195）影响范围极广。 - Cron任务：检查
/etc/crontab和/var/spool/cron/crontabs/，看是否有以root身份定期运行的任务，且其脚本或路径当前用户可写。 - Sudo配置：
sudo -l查看当前用户能以root身份运行哪些命令。如果配置不当，如允许运行vi、find、awk等，可能通过逃逸到shell的方式提权。
注意事项：提权操作风险高，易触发防护告警。在真实测试中，应与防御方充分沟通授权。在靶场中，则可以大胆尝试。永远记住，信息收集的深度决定了提权路径的宽度。不要只盯着一个EXP，系统配置错误往往比0day漏洞更常见。
3. 横向移动：在城池中“穿墙过户”
获得一个立足点（通常是管理员权限）后，横向移动的目标是控制更多主机，特别是关键主机（如域控、文件服务器、数据库服务器）。
3.1 凭证传递：身份的“盗用”
这是内网横向移动最核心、最高效的手段。核心原理是：在Windows网络中，许多身份认证并不总是要求你提供明文密码，而是接受密码的哈希值（NTLM Hash）甚至是一个有效的登录会话令牌。
1. Pass The Hash (PTH)如果你获取了某个用户的NTLM Hash，即使不知道明文密码，也可以利用这个Hash在网络中进行身份验证，访问该用户有权访问的资源（如SMB共享、WMI、WinRM）。
- 工具：
Mimikatz、Impacket套件中的psexec.py、smbexec.py、wmiexec.py等。 - 命令示例：
# 使用Impacket的psexec进行哈希传递 python3 psexec.py -hashes <LMHash>:<NTHash> DOMAIN/User@Target_IP # 如果只有NTLM Hash（LM部分通常为空） python3 psexec.py -hashes :<NTHash> DOMAIN/User@Target_IP - 限制：需要目标主机开启SMB（445端口）等相关服务，且账户具有远程登录权限（如属于本地管理员组）。受限于微软的加固措施，如受限管理模式（Restricted Admin Mode）和Credential Guard。
2. Pass The Ticket (PTT)在Kerberos认证的域环境中，如果你获取了用户的Kerberos票据（Ticket），特别是票据授予票据（TGT），你可以直接使用该票据向域控申请访问任何服务的票据，而无需密码或哈希。
- 黄金票据：伪造域管的Kerberos TGT。需要获取
krbtgt用户的NTLM Hash。一旦拥有，可以生成访问域内任何服务的票据，权限极高。 - 白银票据：伪造针对特定服务（如CIFS文件共享服务）的票据。需要获取该服务账户的NTLM Hash。权限局限于该服务。
- 工具：
Mimikatz可以导出、注入票据。Impacket的ticketConverter可以转换票据格式，getTGT.py可以请求票据。 - 操作流程：
- 在已控域机器上，用Mimikatz导出当前内存中的所有票据：
mimikatz # sekurlsa::tickets /export。 - 找到域管等高权限用户的TGT票据文件（
.kirbi）。 - 在攻击机上，使用Mimikatz注入该票据：
mimikatz # kerberos::ptt <ticket.kirbi>。 - 之后，就可以直接使用
dir \\dc.domain.com\c$这类命令访问域控资源，无需密码。
- 在已控域机器上，用Mimikatz导出当前内存中的所有票据：
3. 其他凭证获取与利用
- LSASS内存转储：使用
Mimikatz的sekurlsa::logonpasswords或Procdump+Mimikatz离线分析，从LSASS进程内存中提取凭证。 - SAM与LSA Secrets：通过注册表导出
SAM和SYSTEM文件，可在本地破解用户哈希。LSA Secrets中可能存储着服务账户密码、自动登录密码等。 - Credential Manager：查看Windows凭据管理器里保存的各类密码。
- 浏览器密码：使用
LaZagne、BrowserGhost等工具提取Chrome、Firefox等浏览器保存的密码，其中可能包含内网应用、VPN、OA系统的登录凭证。
3.2 利用信任关系：沿着“特权通道”前进
内网中主机和用户之间存在着各种信任关系，这是攻击者绝佳的跳板。
1. 管理员共享与组策略首选项历史上，组策略首选项（GPP）可以用来在域内批量配置本地管理员密码。其密码在Groups.xml等文件中以AES加密，但微软公开了密钥，导致密码可被轻易解密。虽然新版本已修复，但遗留的Groups.xml文件可能仍在SYSVOL共享中（\\domain.com\SYSVOL），成为攻击入口。
2. 域内主机本地管理员密码相同很多企业为了运维方便，将所有非域控主机的本地管理员密码设置为相同。那么，攻破一台主机获取的本地管理员哈希，就可能适用于所有其他主机。可以使用CrackMapExec等工具进行批量哈希传递测试。
3. Kerberoasting与AS-REP Roasting这是两种针对Kerberos协议的攻击，用于破解服务账户和用户账户的密码。
- Kerberoasting：任何域用户都可以请求访问某个SPN（服务主体名称）的票据。该票据使用服务账户的密码哈希加密。攻击者可以请求票据，然后离线暴力破解加密部分，从而获取服务账户（常是高权限）的明文密码。工具：
Impacket的GetUserSPNs.py。 - AS-REP Roasting：如果域用户设置了“不需要预认证”（Do not require Kerberos preauthentication），攻击者可以直接为其请求AS-REP响应，其中包含用该用户密码加密的数据，可离线破解。工具：
Impacket的GetNPUsers.py。
3.3 利用漏洞与服务：寻找“城墙的裂缝”
除了凭证，直接利用内网服务漏洞进行横向移动也是重要手段。
- MS17-010 (EternalBlue)：虽然老旧，但在未及时更新的内网中依然存在。可以直接攻击SMB服务获取系统权限。
- MS08-067：更古老的漏洞，但某些封闭环境可能仍有留存。
- WinRM / RDP漏洞：针对远程管理服务的漏洞，如BlueKeep（CVE-2019-0708）。
- 应用服务漏洞：内网中的Web应用（OA、CRM）、数据库（Redis未授权、MySQL弱口令）、中间件（Weblogic反序列化）等，都可能成为横向移动的跳板。
横向移动的策略应该是交替进行、多点开花。先用低噪音的凭证窃取和信息收集，摸清高价值目标（域控、运维机、数据库服务器），再针对性地使用漏洞利用或高级凭证攻击，实现精准打击。
4. 域控攻防：夺取“皇冠上的明珠”
域控制器（Domain Controller, DC）是Windows域环境的神经中枢，存储了所有域用户、计算机的账户信息和安全策略。控制域控，意味着控制了整个域。
4.1 定位与识别域控
通常，DNS服务器就是域控。通过ipconfig /all查看DNS服务器地址，或nslookup查询域名的SRV记录（如_ldap._tcp.dc._msdcs.<domain>）可以定位域控。net group "Domain Controllers" /domain命令也能列出所有域控。
4.2 攻击路径与经典手法
1. MS14-068 (Kerberos漏洞)这是一个允许域内普通用户将自己权限提升至域管理员的漏洞。需要知道用户的SID和密码（或哈希）。利用工具（如goldenPac.py）可以伪造高权限票据。虽然大部分现代环境已修复，但仍是经典案例。
2. DCSync攻击这是最强大的域控攻击手段之一。它模拟域控从其他域控同步数据的行为，从而直接向域控请求指定用户的密码哈希。需要域管理员或域控计算机账户等特殊权限才能发起。
- 操作：在已获得足够权限的会话中，使用Mimikatz执行：
mimikatz # lsadump::dcsync /domain:<domain> /user:Administrator。这将直接拉取域管Administrator的NTLM Hash。 - 防御与检测：监控对
DS-Replication-Get-Changes和DS-Replication-Get-Changes-All这两个扩展权限的异常使用。
3. 利用域管凭证直接登录通过前面的横向移动，如果你已经获取了域管理员组成员的凭证（明文密码或哈希），那么直接通过psexec、wmiexec、WinRM或RDP登录域控即可。
python3 wmiexec.py -hashes :<NTHash> DOMAIN/Administrator@DC_IP4. 打印机漏洞（PrintNightmare）及其变种CVE-2021-1675 / CVE-2021-34527 等打印机后台处理程序服务漏洞，允许经过身份验证的用户远程执行代码，并且可以绕过补丁进行提权。在特定条件下，可被用于攻击域控。
4.3 权限维持：在“王座”上扎根
拿下域控后，需要考虑如何持久化控制，即使被发现并更改了密码。
- 黄金票据：如前所述，一旦拥有
krbtgt的Hash，就可以随时伪造TGT，这是域级别最隐蔽的权限维持方式。krbtgt账户的密码极少更改（通常只在域功能级别提升时）。 - 创建隐藏后门账户：在域控上创建新的域用户，并将其加入高权限组（如Domain Admins）。更隐蔽的做法是SID History攻击：为一个普通账户添加域管的SID历史记录，使其具备域管权限，但在常规查询中不易被发现。
- DCShadow攻击：一种高级攻击，将一台已控的域成员服务器“伪装”成域控，向真正的域控推送恶意数据（如修改用户的SPN、添加后门账户等）。需要相当高的权限和复杂的操作。
- 组策略对象后门：通过修改或创建GPO，在所有域计算机上部署计划任务或启动脚本，实现持久化。
核心技巧：在域渗透中，信息收集的优先级永远最高。花80%的时间去摸清域结构、用户关系、组策略、信任关系，剩下的20%时间用于执行精准攻击。盲目攻击就像在黑暗中开枪，不仅效率低，而且极易暴露。
5. 防御规避与隐蔽渗透：成为“隐形人”
现代企业内网通常部署了EDR、AV、IDS/IPS、流量审计等安全设备。高水平的渗透测试必须考虑如何绕过这些防护。
5.1 对抗主机安全软件（AV/EDR）
- 免杀技术：
- 代码混淆与加密：使用工具对Payload（如Meterpreter shellcode）进行编码、加密、混淆，改变其静态特征。
- 分离加载：不直接执行恶意EXE，而是将Shellcode注入到合法进程（如
notepad.exe,explorer.exe）的内存中执行。Process Hollowing、Process Injection是常用技术。 - 利用合法工具：使用系统自带的、或信誉良好的第三方管理工具（如
PsExec、WMI、PowerShell）来执行恶意操作，实现“Living off the Land”（离地攻击）。Cobalt Strike的execute-assembly功能就是典型代表，将.NET程序集加载到内存中执行，不落盘。 - 定制开发：自己编写加载器，使用冷门API，采用反调试、反沙箱技术。
- 行为规避：
- 降低权限：尽量使用普通用户权限进行操作，避免触发需要高权限的监控规则。
- 延迟与慢速：在命令执行、数据传输中引入随机延迟，模拟正常用户行为。
- 避免敏感操作：如直接调用
cmd.exe /c whoami可能被标记，可以尝试通过WMI或PowerShell Remoting间接执行命令。
5.2 对抗网络流量检测（IDS/IPS）
- 加密与隧道：所有C2（命令与控制）通信必须加密。使用HTTPS、DNS over HTTPS/TLS等协议进行隧道传输。
- 协议伪装：将C2流量伪装成正常的Web流量（如HTTP/HTTPS）、云服务API请求、甚至常见的即时通讯协议。
- 域前置：利用CDN服务（如CloudFront、Akamai）将流量转发到真实C2服务器，使流量在监控者看来是访问合法大型网站。
- 多阶段与低频通信：减少通信频率，使用“心跳包+任务拉取”的模式，只在必要时传输数据。
5.3 清理痕迹
- 清除日志：操作完成后，清理Windows事件日志（Security, System, Application）、PowerShell历史记录、Web访问日志等。但要注意，集中式的日志服务器（如SIEM）可能已经收集了日志，本地删除无效。
- 时间戳修改：使用
timestomp等工具修改所创建或访问文件的创建、修改、访问时间，使其与周围文件保持一致。 - 内存清理：退出前，清理工具在内存中残留的敏感数据。
最重要的规避策略是：了解监控规则，知其然并知其所以然。在测试前，尽可能与蓝队沟通，了解他们部署了哪些安全产品、监控哪些关键行为。你的规避动作才能有的放矢。
6. 工具链与实战工作流：你的“兵器库”与“作战流程”
工欲善其事，必先利其器。一个高效的渗透测试者离不开一套顺手的工具链和清晰的工作流程。
6.1 核心工具选型与搭配
没有万能工具，只有最适合场景的工具组合。
| 类别 | 工具示例 | 主要用途 | 特点与备注 |
|---|---|---|---|
| 信息收集 | nmap,masscan,nbtscan | 主机发现、端口扫描、服务识别 | nmap全能，masscan高速全网扫描，nbtscan专攻NetBIOS。 |
BloodHound+SharpHound | 域内权限关系可视化分析 | 域渗透神器。通过收集数据，图形化展示用户、组、计算机之间的攻击路径。 | |
ADExplorer(Sysinternals) | 离线分析域控快照 | 轻量级，无需在目标安装代理。 | |
| 漏洞利用 | Metasploit Framework | 漏洞利用、Payload生成、后渗透模块 | 生态庞大，模块丰富，是学习和实战的基石。 |
Impacket | 一系列Python脚本，用于处理网络协议 | 包含psexec,smbexec,wmiexec,secretsdump等，是横向移动的瑞士军刀。 | |
SearchSploit | 本地漏洞库搜索 | 配合Exploit-DB，快速查找公开EXP。 | |
| 凭证操作 | Mimikatz | Windows凭证提取、传递、票据操作 | 内网必备，功能强大但特征明显，需做免杀。 |
hashcat,john | 密码哈希破解 | 获得哈希后的破解工作。 | |
| 横向移动 | CrackMapExec | 一款全方位的域内攻击工具 | 能自动进行SMB爆破、哈希传递、执行命令等，效率极高。 |
PsExec(Sysinternals) | 远程命令执行 | 微软官方工具，常被用作“白利用”。 | |
Evil-WinRM | 通过WinRM进行远程Shell | 如果目标开启WinRM（5985端口），这是一个很好的选择。 | |
| C2框架 | Cobalt Strike | 商业化渗透测试平台 | 团队协作、权限维持、钓鱼攻击、流量伪装能力极强，是行业标杆。 |
Metasploit | 内置Meterpreter作为C2 | 灵活，可与外部工具联动。 | |
Sliver | 新兴的跨平台C2 | Go语言编写，免杀性好，社区活跃。 | |
| 免杀与混淆 | Veil,Shellter | Payload生成与免杀 | 自动化生成免杀Payload。 |
Donut | 将PE文件转换为Shellcode | 便于内存加载，绕过静态查杀。 | |
Invoke-Obfuscation | PowerShell脚本混淆 | 对抗PowerShell日志监控。 | |
| 隧道与代理 | frp,ngrok,nps | 端口转发、内网穿透 | 用于将内网服务映射到公网，建立稳定的C2通道。（注：此处仅讨论其在渗透测试授权场景下的技术原理，严禁用于非法穿透） |
EarthWorm,reGeorg | SOCKS代理工具 | 在多层内网中建立代理链，实现流量转发。 |
6.2 标准化实战工作流
一个可重复、高效的流程能极大提升成功率。
- 外部突破：通过Web漏洞、社会工程学、钓鱼邮件等方式，获取第一个入口点（通常是一个Webshell或一个用户权限）。
- 入口点加固：
- 立即进行基础信息收集（系统、网络、用户）。
- 尝试权限提升，获取本地管理员或SYSTEM权限。
- 部署持久化后门（如计划任务、服务、启动项）。
- 部署第一个C2 Agent（如Meterpreter, Beacon），建立稳定控制通道。
- 内网侦察：
- 以当前主机为跳板，进行ARP、ICMP、端口扫描，绘制网络拓扑。
- 收集域信息（如果存在）：
net view /domain,net group "domain computers" /domain等。 - 运行
BloodHound的收集器（SharpHound），获取域内关系数据并导出分析。
- 横向移动：
- 凭证窃取：在已控主机上转储凭证（Mimikatz），尝试哈希传递（PTH）或票据传递（PTT）。
- 服务漏洞利用：对发现的高危端口服务进行漏洞利用。
- 密码喷洒/爆破：在获得少量密码策略信息后，针对域用户进行低频率的密码尝试。
- 每控制一台新主机，重复步骤2和3，扩大控制范围，并重点关注高价值目标（域控、文件服务器、数据库、运维终端）。
- 攻陷域控：
- 通过收集到的域管哈希（DCSync）、Kerberos票据（黄金票据）或直接利用漏洞，获取域控控制权。
- 进行域内持久化（黄金票据、隐藏账户、恶意GPO等）。
- 目标达成与清理：
- 根据测试目标（获取特定文件、访问关键系统），完成最终动作。
- 谨慎清理操作痕迹（日志、文件）。
- 整理攻击路径、证据截图，编写报告。
这套流程不是线性的，而是循环、迭代、并行的。信息收集贯穿始终，根据新发现的信息不断调整攻击方向。
7. 从靶场到实战：思维转换与经验沉淀
靶场（如DC-1到DC-9系列、VulnHub、HackTheBox）是绝佳的练手环境，但它们通常是“理想化”和“漏洞明显”的。真实内网渗透要复杂和模糊得多。
靶场与实战的关键差异：
- 防御体系：实战中有EDR、防火墙、IDS、流量审计、蜜罐。你的每一个扫描、每一次漏洞利用尝试都可能触发告警。
- 网络复杂度：实战内网规模庞大，网段众多，存在网络隔离（防火墙、ACL）、网络设备管理段、VPN接入区等复杂结构。
- 系统与补丁：系统版本混杂，从Windows XP/2003到Windows 11/Server 2022都有。补丁情况不一，但0day漏洞并不常见，更多依靠配置错误和弱口令。
- 社会工程学：实战中，通过钓鱼邮件、电话欺诈、物理接触等方式获取初始访问的可能性极大，且往往比技术漏洞更有效。
- 时间与耐心：实战渗透可能需要数天、数周甚至更长时间的静默潜伏、信息收集，等待合适时机。靶场则追求快速拿到flag。
给新手的内网渗透学习路径建议：
- 基础夯实：熟练掌握操作系统（Windows/Linux）基础命令、网络协议（TCP/IP, HTTP/S, SMB, LDAP, Kerberos）、Web常见漏洞原理。
- 靶场攻坚：按顺序挑战
Metasploitable、VulnHub基础靶机、HackTheBox的简单/中等机器。重点不是“刷题”，而是理解每一步的原理，并尝试用多种方法达成目标。 - 域环境专精：搭建自己的域环境实验室（可以用Windows Server Evaluation版和若干虚拟机）。在受控环境中反复练习
BloodHound分析、Mimikatz使用、哈希传递、黄金票据等核心域渗透技术。 - 工具链深化：不止于MSF和CS。深入学习
Impacket、CrackMapExec、PowerShell攻击技巧（PowerSploit, Empire）。学习编写简单的Python/Go工具来自动化重复性工作。 - 防御视角学习：学习蓝队知识。了解Windows事件日志（ID 4624, 4625, 4688等）、Sysmon配置、ATT&CK框架。知道攻击行为会留下什么痕迹，才能更好地规避。
- 参与CTF和演练：参加内网渗透专题的CTF比赛，或企业内部的红蓝对抗演练，这是最接近实战的锻炼。
内网渗透测试是一条需要持续学习、深度思考和大量实践的道路。它没有固定的“通关秘籍”，只有对基础原理的深刻理解、对工具链的熟练运用、以及对攻防对抗思维的不断磨练。从单点突破到全面控域，每一次成功的“杀链”执行，都是技术、耐心和策略的完美结合。记住，最强的攻击者，往往是最了解防御的人。保持好奇心，保持敬畏心，在法律的边界和授权的范围内，不断精进你的技艺。