内网横向移动攻防：中间人攻击与防御实战

1. 内网横向移动攻防概述

在大型企业或机构的内部网络中，攻击者一旦突破边界防御，往往会利用内网信任关系进行横向移动。这种攻击模式通常分为四个阶段：信息收集、权限维持、横向扩散和数据窃取。其中工作组环境下的中间人攻击（MITM）因其隐蔽性和高成功率，成为红队演练中最常用的技术手段之一。

我曾在一次企业安全评估中，仅用ARP欺骗就获取了财务部门90%的明文凭证。这种攻击之所以有效，是因为多数内网仍在使用缺乏加密的NTLM认证协议。当你在会议室看到"网络连接正常但网页打不开"的情况，很可能就是有人在实施DNS劫持。

2. 中间人攻击核心技术解析

2.1 ARP欺骗实现原理

ARP协议的无状态特性导致其极易被欺骗。攻击者通过发送伪造的ARP响应包，将自身MAC地址与网关IP绑定，使受害者的流量经由攻击主机中转。关键参数包括：

• ARP缓存老化时间：默认300秒（Windows）
• 欺骗频率：建议每30秒发送一次ARP响应
• 网卡模式：必须设置为混杂模式

bash复制# 使用arpspoof进行单向欺骗
arpspoof -i eth0 -t 192.168.1.100 192.168.1.1

注意：实施ARP欺骗前需确认交换机端口安全策略，部分企业级交换机会检测ARP洪泛并自动关闭端口。

2.2 DNS劫持技术要点

内网DNS劫持通常通过两种方式实现：

1. 伪造DNS响应包（需结合ARP欺骗）
2. 修改受害主机hosts文件

在Windows工作组环境中，由于缺乏DNSSEC验证，攻击者可以轻易将OA系统域名解析到恶意服务器。我曾遇到一个案例：攻击者将update.xxx.com指向木马服务器，导致200+终端被植入远控。

python复制# 使用scapy构造DNS响应包
from scapy.all import *
dns_response = IP(dst="192.168.1.100")/UDP()/DNS(
    id=0x1234,
    qr=1,
    aa=1,
    qd=DNSQR(qname="oa.company.com"),
    an=DNSRR(rrname="oa.company.com", ttl=3600, rdata="192.168.1.200")
)
send(dns_response)

3. 攻防对抗实践记录

3.1 双向劫持与断网攻击

完整的内网中间人攻击通常包含以下步骤：

1. 网络拓扑探测（netdiscover）
2. 网关定位（traceroute）
3. 双向ARP欺骗（arpspoof双向绑定）
4. 流量截获（tcpdump）
5. 协议解析（Wireshark）

在最近一次演练中，我们通过以下方法突破防御：

• 使用Responder工具捕获NTLMv2哈希
• 通过SMBRelay实现凭证中继
• 利用PetitPotam触发强制认证

3.2 防御方案实测

经过多次实战检验，有效的防御措施包括：

企业级防护建议：

1. 核心交换机启用动态ARP检测（DAI）
2. 部署网络准入控制系统（NAC）
3. 终端安装EDR软件监控ARP表变更
4. 关键系统启用双向SSL证书认证

4. 常见问题排查手册

4.1 攻击失败排查流程

1. 确认网卡混杂模式：

   bash复制ip link show eth0 | grep PROMISC
   

2. 检查防火墙规则：

   bash复制iptables -L -n -v
   

3. 验证ARP缓存更新：

   bash复制arp -a
   

4.2 流量捕获异常处理

当发现截获的流量不全时，建议检查：

• tcpdump过滤语法是否正确
• 网卡是否支持高速抓包
• 交换机是否开启端口镜像
• 是否存在其他安全设备干扰

在一次金融行业演练中，我们发现某品牌防火墙会丢弃异常的ARP请求，导致攻击失效。最终通过改用ICMP重定向攻击绕过检测。

5. 进阶攻击手法

5.1 无线网络渗透

在企业混合网络环境中，通过伪造同名WiFi实施中间人攻击成功率极高。关键要点：

• 使用hostapd创建恶意AP
• 配置相同的SSID和BSSID
• 发送802.11解除认证帧迫使终端重连

bash复制airbase-ng -a 00:11:22:33:44:55 --essid "Company_Guest" -c 6 wlan0

5.2 协议特定攻击

针对不同协议的特性攻击：

• HTTP：SSLStrip+HSTS绕过
• SMTP：STARTTLS降级攻击
• RDP：CredSSP中间人

在针对某制造业的测试中，我们发现其PLC控制系统使用明文协议，通过简单的TCP劫持就实现了指令注入。这种案例暴露出工业控制系统普遍存在的协议安全问题。