内网渗透实战指南：从边界突破到域控拿下的完整攻击链

1. 先搞清楚：内网渗透到底在打什么

说起内网渗透，不少刚接触安全方向的朋友第一反应是“拿到一台服务器权限之后就完事了”。实际上恰恰相反，拿下一台外网机器只是整个攻击链的入场券，真正的博弈从你进入内网的那一刻才刚刚开始。

内网渗透的核心目标，是在已经突破边界的前提下，横向移动到核心业务区、拿到高权限账号、最终控制目标数据资产。整套流程可以浓缩成一句话：从外到内打边界，从单点到全局铺横向，从低权限到域管提权限。

我用个生活化的例子帮你建立整体认知：假设你要进一栋戒备森严的大楼，外网打点相当于想办法混进一楼大厅；内网信息收集是你在大厅里观察监控位置、办公区分布、门禁卡型号；权限提升是偷到一张普通员工的工牌；横向渗透则是拿着这张工牌在各楼层试门，直到发现哪扇门能通往后厨、财务室、机房；最后拿下域管权限，等同于搞到一把万能钥匙，整栋楼任意进出。

这篇文章我会按真实的攻击顺序把整套流程拆开讲：边界突破后做什么、内网信息收集到底在收什么、为什么大部分人都卡在横向渗透这一步、域环境下的提权思路，以及每个环节常用的思路和工具。准备打内网渗透靶场练手的新人，或者已经做过一些渗透测试但内网部分始终理不清思路的朋友，这篇应该能帮你把零散的知识点串成一条完整的攻击链。

先说清楚一点：这篇文章讨论的所有技术细节，仅限于在合法授权的靶场环境、企业委托的渗透测试项目、以及安全竞赛中使用。没有授权的内网测试是违法行为，这一点没得商量。

2. 边界突破之后：为什么第一件事不是“急着提权”

很多新手有个误区——拿到一台机器的权限后第一反应是赶紧提权到 root 或者 SYSTEM。这个想法不能说错，但在实战流程里，信息收集永远是优先级最高的动作。

2.1 主机信息收集决定你下一步能干什么

先说最简单的：你现在控制了一台机器，但你根本不知道这台机器是台什么机器。它是一台普通的办公终端，还是一台运维跳板机？是 Windows Server 还是 Linux？是不是域成员？这些信息直接决定了你后续所有动作的可行性。

以 Windows 环境为例，我每次拿到 shell 后第一轮命令基本是固定的：

bash复制systeminfo
ipconfig /all
whoami /all
net localgroup administrators
net user
netstat -ano
tasklist /svc
route print
arp -a

这一轮命令背后要回答的问题很明确：

• systeminfo 看系统版本和补丁情况，为后续提权做准备，也能快速判断这台机器是不是 Server 版。系统版本直接关联内核漏洞的可用性，Server 版通常是更值得花精力打的目标。
• ipconfig /all 查 IP、网关、DNS。这里最重要的是 DNS 服务器地址——如果 DNS 指向一台内网机器，那这台机器八成就是域控；如果本机 IP 是 10.10.x.x 这类明显的内网段，说明你已经身处内网核心区域。
• whoami /all 看当前用户权限以及是否开启 UAC，如果有域信息返回，说明当前主机已加域，标记为“域内机器”。
• netstat -ano 看当前机器的网络连接。这条命令能帮你快速定位哪些机器正在和本机通信，比如其他终端连过来有没有开着 445、3389，有没有数据库连接池指向某台数据库服务器，这些监听端口就是下一步横向的入口。
• arp -a 看本机 ARP 缓存。ARP 缓存里往往躺着同一广播域内活跃的主机 IP，先顺手记下来当作内网存活主机列表的初始数据。

2.2 把当前机器“定性”比盲目扩大战果更重要

拿到这些信息后，你需要回答几个关键问题：

这台机器是工作组还是域的？ 如果 ipconfig /all 里的 DNS 指向域控，或者 systeminfo 里显示“域: xxx.com”，直接进域内渗透流程。如果只是工作组，那这台机器的价值可能只是作为跳板继续向内网其他网段探测。

这台机器有没有双网卡？ 双网卡机器是内网渗透中非常有价值的目标，因为它连接了两个不同的网段。比如你打下的边界机器同时连着办公网和核心生产网，那它就是天然的跳板，后续横向渗透都可以经由它转发流量。

这台机器上有没有已保存的凭据？ 检查 cmdkey /list 查看有没有保存的凭据，检查 dir %userprofile%\AppData\Roaming\Microsoft\Windows\Credentials 看有没有 Credential Manager 的文件，检查浏览器保存的密码，检查 RDP 的历史连接记录 HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers。一个运维在自己机器上存了管理员密码的 RDP 快捷方式，是新人最容易忽略的突破口。

这个阶段的原则很简单：先把自己不知道的信息搞清楚，再决定下一步怎么打。盲目的提权尝试很可能触发安全防护告警，导致前期所有努力白费。

2.3 网络拓扑探测：画出内网地图

单机信息收集完之后，就该从当前机器出发去探测内网拓扑了。这一步很多新手做得非常粗糙——直接用大型扫描器对整段 C 段或 B 段进行全端口扫描，结果在真实环境下很快被打上“恶意扫描”标签。

更稳的做法是分层探测：

• 存活主机发现：利用当前机器的 ARP 缓存、DHCP 租约记录、DNS 缓存快速拼凑一部分存活 IP。内网里大部分 Windows 机器默认开启 ICMP，所以简单的 ping 扫描也能筛掉一大部分不活跃的 IP。
• 端口扫描（宁少勿多）：优先扫常见高危端口。445（SMB）、3389（RDP）、22（SSH）、3306/1433/1521（数据库）、7001/8080/8081（中间件）、5985/5986（WinRM）、389/636（LDAP）。全端口扫描动静太大，实战中除非是靶场，否则我不建议直接对整段扫全端口。
• 开放端口与服务的指纹匹配：识别出目标主机开着哪些服务之后，心里要对“这台机器可能是什么角色”有个预判。开着 389/636 的八成是域控，开着 3306 且 3306 端口在监听 0.0.0.0 的可能是一台没有做好访问控制的数据库服务器，开放 445 的机器是 MS17-010、永恒之蓝之类漏洞的传统目标。

整个过程的目的都是为了画一张“内网地图”——哪台是域控，哪台是文件服务器，哪台是数据库服务器，哪些 IP 是服务器网段，哪些是办公终端网段。有了地图，后面横向渗透才知道往哪个方向打。

3. 权限提升：从普通用户到系统最高权限的几条路

信息收集做到位之后，如果当前用户权限不够，才轮到提权环节。内网环境下提权和单机 Web 渗透的提权有些区别——内网里很多时候你手上是一个 WebShell 或者是通过漏洞打下来的低权限用户，你的提权路径要结合当前机器的操作系统版本、补丁情况、运行的服务等多方面因素来判断。

3.1 为什么提权在内网环节容易被卡住

原因很简单：现在的 Windows 系统补丁更新频率很高，经典的内核提权漏洞基本上补得差不多了，一个保持更新的 Windows Server 2022 几乎很难用老的 CVE 直接打穿。所以在实战中我更倾向于把精力放在三个方向上：

方向一：系统服务配置错误。 比如某个第三方服务以 SYSTEM 权限运行，但对服务二进制文件的写入权限没有限制。内网环境经常有一些资产管理软件、杀毒软件客户端、监控软件以高权限服务方式安装，这些软件往往在注册表和服务配置上存在疏漏。

方向二：计划任务。 查看当前机器上有没有配置了计划任务，以及计划任务执行的脚本或程序是否有当前用户可写权限。运维图省事把一些脚本丢在共享目录里用 SYSTEM 权限运行是内网里常见的配置，一旦脚本可写，直接替换内容就能实现权限提升。

方向三：快速利用已知漏洞。 针对系统版本检索已公开的 exp 要快、准。Windows 的 PrintNightmare、Zerologon 这类漏洞在实战靶场里依然高频出现。

3.2 Windows 下的提权辅助脚本

工具方面推荐先跑一遍提权辅助脚本，帮助你快速定位可利用的点。Windows 下我常用的是：

• Windows-Exploit-Suggester：根据 systeminfo 输出的补丁信息，和漏洞数据库比对生成可能利用的漏洞列表。思路很直观，但我必须提醒你，这个工具基于补丁比对，存在误报率，而且无法判断目标机器是否真的存在漏洞组件，所以脚本输出的列表要人工二次验证。
• BeRoot：检查 Windows 服务、计划任务、启动项、注册表等位置的错误配置权限，适合快速找出可写的服务路径或计划任务。
• PowerUp：专门针对 Windows 服务权限提权的脚本集，直接检查可写服务、Unquoted Service Path、服务权限等常见错误配置。

一个我反复强调的原则：工具只负责帮你缩小范围，是否能够实际利用，一定要手工验证。Windows-Exploit-Suggester 列了 20 个漏洞，你不可能一个个打过去，所以要结合系统实际安装的组件、进程、服务来判断哪些 exp 真正有可能成功。

3.3 Linux 主机提权思路

如果权限拿到的是 Linux 主机，思路类似但细节完全不同。第一轮收集命令：

bash复制uname -a
cat /etc/issue
id
sudo -l
find / -perm -4000 -type f 2>/dev/null
ps aux
cat /etc/crontab
ls -la /etc/cron.d/
env
cat /home/*/.bash_history

重点关注：

• sudo -l 看当前用户是否免密执行某个命令。如果免密执行的命令里有 vim、less、find、python、perl 这类可以执行系统命令的程序，那提权基本就是一句话的事。
• SUID 文件里如果出现了上面提到的这几类二进制，也可以直接利用。
• 环境变量里的 LD_PRELOAD/LD_LIBRARY_PATH 配合 sudo 配置可能构造提权链。
• 内网开发机上的 .bash_history 往往藏着数据库密码、SSH 私钥路径、git 仓库地址，经常比漏洞提权来得更快。

有一说一，在真实的内网环境里，Linux 主机出现内核提权漏洞的概率比 Windows 低，而且 Linux 服务器上面往往没有安装乱七八糟的第三方安全软件，反而更干净。所以打 Linux 主机，弱口令、密钥泄露、配置错误往往比内核漏洞好使。

4. 横向渗透：为什么你已经在一台机器上了，但还是进不了域控

横向渗透是整个内网渗透流程里最考验功力的环节，也是无数新手“断送”的地方。你明明拿到了一台域内主机的 SYSTEM 权限，却怎么都进不了域控，这中间差的往往不是技术，而是对横向渗透核心逻辑的理解。

4.1 横向渗透的本质是“重复使用合法凭据”

横向渗透的攻击思路和边界突破完全不同。边界突破你是在和漏洞对抗，横向渗透你更多是在和“凭据管理”对抗。 再解释得直白一点：内网里的大多数机器都信任同一套账号体系，当你从一台机器上获取到某个域用户的密码哈希（Hash）或者明文密码，你可以尝试用这组凭据去访问其他机器。

这就是俗称的 Pass The Hash（哈希传递）和 Pass The Ticket（票据传递）。打个比方：你在 A 机器上捡到了一张会议室门禁卡，你并不知道卡的主人是谁，但这不重要，你只需要拿着卡去刷 B 机器的门禁，能刷开就行。横向渗透的安全基础就是——很多协议（比如 SMB）在认证时只校验密码哈希是否匹配，不关心你是不是原主。

这个特性让 Windows 内网横向渗透在拿到管理员哈希之后变得异常“顺滑”，不需要破解密码，直接拿哈希去打其他机器。

4.2 哈希传递的完整操作过程

先搂一眼前提条件：目标机器开了 445 端口（SMB），你手上有一组具有管理员权限的账号哈希，且你和目标机器在同一个网络可达范围内。

常用的操作工具是 impacket 套件里的 psexec.py 或 wmiexec.py。以 psexec.py 为例：

bash复制python3 psexec.py -hashes LMHash:NTHash domain/administrator@192.168.1.10

注意这里的参数 LMHash:NTHash。现代 Windows 系统 LM Hash 基本废弃了，填 aad3b435b51404eeaad3b435b51404ee（空 LM hash）即可，关键是 NTLM Hash。

哈希从哪来？通常是通过 Mimikatz 在已控制机器上抓取。

bash复制privilege::debug
sekurlsa::logonpasswords

还需要理解一个常见的坑：Mimikatz 抓取哈希并不保证包含域管理员的哈希。你抓到的通常只是这台机器上当前登录过的用户的凭据。如果一个域管理员从来没登录过你控制的这台机器，你从这台机器的 LSASS 进程里是抓不到他的哈希的。这也是为什么从单台主机到域控的这一步，往往卡在“手上只有普通域用户哈希，没有管理员哈希”。

实战里哈希传递失败有几个高频原因，我列在这里，方便你排查：

• 目标机器的 445 端口被防火墙拦截。很多较新的 Windows 默认防火墙策略不允许来自非域网络的 SMB 访问，你需要先测试 445 是否可达。
• 你持有的哈希对应的账号在目标机器上没有本地管理员权限。哈希传递不是凭据的万能钥匙，它要求目标账号在目标机器上具备管理员组成员身份。一个普通域用户成功登录域控的概率几乎为零。
• 目标机器开启了 SMB 签名强制策略。某些安全基线要求 SMB 通信强制签名，impacket 的 psexec 默认可能因为没有正确签名而被拒绝。这种情况下可以换用 wmiexec.py，它对 SMB 签名的容错性好些。
• 你用的是本地管理员哈希，但这个哈希只在当前这台机器上有效。本地账号哈希不能跨机器使用（除了一类特殊情况：如果多台机器安装了相同的本地管理员密码，比如有的公司用工具批量给所有机器设置了相同的本机管理员密码，那么哈希就可以在多台机器间复用）。

4.3 WMI 与 WinRM：比 PsExec 更弹性

我个人的经验是：能用 WMI 或 WinRM 就别优先用 PsExec。原因有三个：

第一，PsExec 本质上是在目标机器上创建一个服务来执行命令，这个操作会触发绝大多数 EDR 的行为检测，很多安全设备对服务创建的动作都会有比较敏感的告警规则。第二，PsExec 会留下明显的服务日志和可执行文件痕迹。第三，WMI 不需要在目标机器上落地任何二进制文件。

impacket 套件里的 wmiexec.py 是横向渗透的利器：

bash复制python3 wmiexec.py -hashes LMHash:NTHash domain/administrator@192.168.1.10

wmiexec 通过 Windows Management Instrumentation 的远程进程创建功能执行命令，返回一个半交互式 shell。同样支持哈希传递、明文密码传递、Kerberos 认证等。

WinRM（5985/5986 端口）是另一种非常干净的横向方式。如果目标机器开启了 WinRM，可以用 evil-winrm 来连接：

bash复制evil-winrm -i 192.168.1.10 -u administrator -H NTHash

WinRM 的流量走 HTTP(S)，比 SMB 更加不容易引起网络层告警，而且在较新的 Windows Server 上是默认开放的远程管理通道。很多安全团队根本不监控 5985 端口，这就是攻击者能钻的缝隙。

4.4 横向渗透的路径规划思路

实际操作中横向渗透不是拿着一堆哈希到处乱试。更接近实战的打法是一只“只打必要的机器”：

1. 确定目标：域控 IP（或域控主机名）。
2. 从当前机器出发，利用信息收集阶段掌握的内网拓扑，先定位与域控网络可达、且可能保存有高权限凭据的机器（比如运维管理机、备份服务器、HR 部门的终端，因为 HR 经常用管理员权限浏览网页导致会话被窃取，这是钓鱼投递后横向进域控的经典路径）。
3. 在每台可控的机器上抓取凭据，逐步靠近域控。

有一个非常实用的信息收集技巧是检查当前域内是否有人用管理员账号远程登录过你的机器，这个会话记录可以通过 query user 来查看：

bash复制query user

如果发现域管理员正在你控制的机器上有会话，那这台机器就是直通域控的黄金通道。直接 dump LSASS 拿管理员的哈希或票据，然后一步到位横向到域控。

5. 域渗透：从普通域用户到域管

前面提到的大部分横向动作，本质上都是利用账号在机器层面的权限。真正从“控制了几台机器”到“控制整个域”，你需要最后一步——拿下域管权限。这也是很多人在内网渗透靶场里绕来绕去最后卡住的地方。

5.1 域环境里的关键差异：不再只看主机，还得看“域”

在域环境里，普通域用户即使拿到了一台域内主机的 SYSTEM 权限，也不代表对域控有控制权。域管账号是域内最高权限的账号，控制了域管，就意味着可以登录任何一台域内机器，包括域控。

从普通域用户到域管的路线可以归为两大类：

• 利用域内服务的漏洞直接打域控。比如 Zerologon（CVE-2020-1472）、PrintNightmare 这类针对域控的漏洞利用，一旦成功就直接拿到域管权限，但这种路线依赖域控的补丁版本和信息系统的防护能力。
• 通过 ACL 滥用和委派攻击绕路。这类攻击不直接攻击域控，而是利用域内已有的配置弱点。最常见的是 Kerberos 委派攻击，如果某个服务账号被配置了非约束性委派或约束性委派，攻击者可以伪装成任意用户向该服务发起认证，从而拿到域管的服务票据。

5.2 票据攻击：黄金票据与白银票据

再补充一个域环境下独特的攻击手段——Kerberos 票据伪造。

• 黄金票据（Golden Ticket）：如果你已经拿到了域内 KRBTGT 账号的哈希（这个哈希只有域控上才有），那么你就可以伪造任意用户的 TGT（票据授权票据），包括域管。一张黄金票据的有效期默认是 10 年，意味着一旦你拿到 KRBTGT 哈希，整个域基本就沦陷了。哪怕后面域管密码改了，只要 KRBTGT 哈希没变，你仍然可以为所欲为。
• 白银票据（Silver Ticket）：白银票据是伪造针对某个具体服务（如 SMB、HTTP）的 ST（服务票据）。它不需要 KRBTGT 哈希，只需要目标服务账号的哈希。白银票据比黄金票据动静更小，因为它不经过 KDC，直接访问目标服务即可。

这两种票据攻击是域内横向渗透最“干净”的凭据利用方式——不需要在目标机器上执行任何代码，全程只通过网络协议交互，能够规避大量基于进程行为的检测。

伪造黄金票据的经典命令（Mimikatz）：

code复制kerberos::golden /user:fakeadmin /domain:demo.com /sid:S-1-5-21-... /krbtgt:KRBTGT_NTLM_HASH /ptt

伪造白银票据：

code复制kerberos::golden /user:fakeadmin /domain:demo.com /sid:S-1-5-21-... /target:dc01.demo.com /service:cifs /rc4:DC_SERVICE_NTLM_HASH /ptt

生成票据后通过 dir \\dc01.demo.com\c$ 验证是否成功访问域控的文件共享——如果弹出目录列表，说明你的白银票据已经“蒙混过关”了。

5.3 委派攻击：域环境里的“身份代刷”

委派攻击是域渗透里比较绕但使用频率极高的技术点。简单解释委派是做什么的：域内的某些服务（比如 Web 应用）需要以用户的身份去访问其他资源（比如文件服务器），那服务账号就需要“代用户去访问”的能力，这就是委派。

微软的 Kerberos 委派分三种：非约束性委派、约束性委派、基于资源的约束性委派。每种都有对应的利用方式：

• 非约束性委派：服务账号收到用户的 TGT 后，会把用户的 TGT 存在内存中备用。攻击者如果控制了这台配置了非约束性委派的机器，就可以在 LSASS 进程中抓到任意访问过该服务的用户的 TGT，包括域管。
• 约束性委派：限制了服务可以代表用户访问哪些服务，但依然可以结合 S4U2Self 和 S4U2Proxy 进行协议转换攻击。
• 基于资源的约束性委派：近年来实战里很火的利用方式，如果攻击者能控制一个机器账号（或通过普通域用户创建机器账号），就能利用基于资源的约束性委派攻击域控，因为攻击者可以直接把这个机器账号的哈希注册到域控的委派列表里。

用一条命令查一下当前域里哪些机器配置了非约束性委派：

bash复制powershell -command "Get-ADComputer -Filter {TrustedForDelegation -eq \\$true} -Properties TrustedForDelegation | Select -ExpandProperty Name"

找到目标之后，如果攻击者已经控制该机器并有 SYSTEM 权限，只需要等待某个高权限用户（比如域管）通过该机器做一次身份验证（比如浏览一下文件共享、登录一下网页应用），TGT 就会落到 LSASS 进程里，Mimikatz 一把梭。

这个攻击的隐蔽性在于：你不需要主动“打”任何人，你只需要躺在一台机器上，等人来自投罗网。

5.4 ACL 滥用：不碰漏洞也能当域管

除了票据攻击和委派攻击，域环境中的 ACL（访问控制列表）滥用也逐渐成为高价值攻击面。Windows 域内几乎所有对象—用户、组、计算机—都有一套 ACL，定义了谁能对对象执行什么操作。如果某个低权限用户在域内拥有以下一些“不合理”的权限，就能实施 ACL 攻击：

• 对某个域用户拥有 GenericAll 或 GenericWrite 权限：攻击者可以直接修改目标用户的密码。
• 对域管组拥有 AddMember 权限：攻击者可以把任意账号加入域管组。
• 对域对象拥有 Replicating Directory Changes 权限：攻击者可以发起 DCSync 攻击，直接同步域控上的密码哈希。

使用 BloodHound 可以快速梳理域内的这些 ACL 关系。BloodHound 通过采集域内对象的信息，构建出“谁能控制谁”的攻击路径图，很多情况下一条肉眼根本看不出来的 ACL 链条，BloodHound 能直接画出一条从普通用户到域管的路径。

实操层面流程是：在已控制的机器上运行 SharpHound 采集器收集域信息，导出 JSON 数据，然后导入 BloodHound 前端进行可视化分析。分析时重点查看 “Shortest Path to Domain Admins” 和 “Find Principals with DCSync Rights” 这两个查询。

我见过最典型的场景：某同事账号只对一台重要文件服务器有 GenericAll 权限，但通过这台文件服务器上运行的服务账号，又间接控制了一个有 DCSync 权限的账号。不到三跳，就到了域管。这种路径不靠工具很难梳理出来。

6. 痕迹清理与免杀对抗：别在最后一步翻车

说实话，这是我见过最多人在实战和攻防演练里翻车的环节。横向渗透成功，域管也拿下了，结果因为清理不干净，被溯源的防守方顺藤摸瓜把整个攻击链路全挖出来了，前面的所有功夫都白费。

6.1 Windows 日志清理的常规操作与边界

Windows 的事件日志是溯源最重要的数据源。拿到高权限后第一件事是检查你后续连过的每台机器上的安全日志、系统日志、PowerShell 操作日志，评估有多少操作会留下记录。

Mimikatz 自带的 event::clear 可以快速清空目标机器的日志，但这里有个很实际的问题：你把日志全清掉的同时，反而会触发更高等级的告警。在攻防演练中，防守方通常把“某台主机日志被清空”视为最高等级的安全事件，瞬间会把所有注意力都集中到这台机器上。所以实战里我更推荐选择性清理：

bash复制wevtutil el
wevtutil cl Security
wevtutil cl System
wevtutil cl "Windows PowerShell"

清理后可以考虑用一条正常的日志覆盖一下，比如重新启动某个服务产生一条新的“服务启动”日志，把干净日志的时间窗口填上，降低被追溯的概率。

6.2 删除文件痕迹与远程操作去-本-地-化

攻击过程中往目标机器上传过工具、脚本、扫描器的，务必在退出前全部删干净。不仅是文件本体，还要处理 NTFS 数据流中的残留、浏览器缓存、回收站中的残留、临时目录中的解压文件。

顺手检查一下这些常见落点：

• C:\Users\Public\
• C:\Windows\Temp\
• C:\Windows\Tasks\
• C:\ProgramData\
• 当前用户 %TEMP% 目录

一个比较取巧的实践经验是尽量把工具放在本来就该有大量临时文件的目录里，并伪装成常见的文件名，这样清理的时候不会漏。

在横向渗透阶段，能够使用远程命令通道就尽量不要在目标落地任何文件。WMI 和 WinRM 天然支持远程创建进程，不需要上传可执行文件到目标磁盘。Mimikatz 这类需要落地文件的工具，也可以通过内存加载的方式运行，比如通过 PowerShell 远程加载，或者使用 Cobalt Strike 的 execute-assembly 在内存中执行 .NET 程序集。

6.3 隐藏计划任务和后门账号的风险

通过计划任务做权限维持是常见操作，但内置的 schtasks 创建的计划任务在 Get-ScheduledTask 里很容易被发现。要藏得更深，有几个思路：

• 使用 WMI 事件订阅做权限维持。WMI 事件订阅不存在于计划任务列表里，并且在系统重启后依然有效。可以通过 Get-WmiObject -Namespace root\Subscription 查看当前已经存在的 WMI 事件订阅。
• 创建隐藏的本地用户。这一招在现代域环境下不是好选择，因为域控会做统一的账号基线扫描，多出一个陌生的本地管理员账号瞬间就会被发现。如果你打算做权限维持，更推荐通过修改已有合法账号的权限来达成。

我在实际测试中还有一个体会：很多团队过于关注如何绕过杀毒软件，却忽略了操作行为的隐蔽性。在安全防护真正成熟的企业里，行为分析远比静态特征有效。你用一个免杀的 exe 横向移动了 20 台机器，每台机器上的进程行为都一样，这种行为模式本身就是最明显的告警信号。所以能走内存不走磁盘，能用系统自带命令不用上传工具，能让脚本看起来像正常业务就把脚本伪装得更自然一些，这些操作习惯比任何一款免杀工具都重要。

7. 从零搭建一条可复现的内网靶场练习路线

纸上谈兵解决不了问题，内网渗透这门手艺必须靠实打实的靶场练习来喂出来。问题在于：很多新人不知道去哪练、练什么、按什么顺序练。

7.1 免费靶场平台与练习顺序

在线靶场方面，HackTheBox、TryHackMe、VulnHub 都提供包含内网渗透场景的靶机，其中 TryHackMe 的 Attack/Debug 类房间非常适合新人，因为它的提示系统做得非常好，能帮你理解每一步为什么要这么做。

国内也有不少攻防演练平台提供有内网场景的在线靶场环境，这类平台把攻击链设计得更贴近我们实际的企业网络拓扑——含域控、多网段、多台机器互相连通。

如果你的目的是完整练习域渗透流程，优先选那些明确说明包含 Active Directory 环境的靶场，因为你只有在域环境里才能真正理解黄金票据、白银票据、委派攻击、ACL 滥用这些概念。单机的 CTF 题目大部分不涉及域渗透，练不到横向渗透的核心能力。

7.2 本地搭建一套属于自己的 AD 靶场

线上靶场有个天然的问题——你永远是在别人搭好的环境里打，很多网络隔离、多网段跳板场景做得不够真实。有条件的话，我建议用虚拟化平台在本地搭一套“麻雀虽小五脏俱全”的域环境。

低配版本只需要三台虚拟机：

网络规划上，WEB01 使用一个仅主机的 NAT 网卡模拟“外网可达”，然后通过第二块网卡接入内网网段。DC01 和 PC01 只接入内网网段。这种拓扑能让你从 WEB01 打进内网后，体验真正的“从边界横跳到域控”的完整路径。

搭建完成后，按以下顺序一遍一遍练习：

1. 给 WEB01 部署一个有漏洞的 Web 应用，练习 Web 打点拿到初始权限。
2. 在 WEB01 上做信息收集，发现内网网段和域环境。
3. 尝试提权到 SYSTEM，抓取凭据。
4. 利用抓到的域用户凭据横向探测 PC01。
5. 在 PC01 上发现域管理员登录记录或明文凭据。
6. 最终通过哈希传递或票据攻击拿下 DC01。
7. 在 DC01 上抓取 KRBTGT 哈希，伪造黄金票据验证权限维持。

整个环境里最难搭的是域控，但恰恰是域控才能帮你吃透域渗透的底层逻辑，千万别偷懒跳过。

7.3 练习中值得刻意训练的习惯

我自己带过不少人走内网渗透的入门路线，发现一个规律：做得快的人和对流程理解深的人往往不是同一批人。为了帮你避免“只会跟工具不会思考”的问题，推荐在每次练习时养成下面几个习惯：

• 每打完一台机器，把发现的所有账号、哈希、共享路径记录下来，整理成一张“凭据表”。实战中凭据是横向渗透的燃料，燃料管理混乱会导致打法断裂。
• 每次横向成功，就画一次最新的攻击路径图。这个习惯能让你的思路时刻保持清晰，不至于在复杂的内网拓扑中迷失。
• 每次被打断后记录原因——是被杀软拦截了，还是 445 不通，还是目标上根本没有我们要的凭据。这些原因比“成功路径”更有价值，因为在真实的渗透测试中，坑远比路多。
• 反复练习同一套环境的目的是形成肌肉记忆，而不是背命令。最关键的是要理解每一步之间为什么如此衔接——信息收集为什么能连接到哈希抓取，哈希抓取为什么能覆盖到横向移动，横向移动为什么最终指向域控。这套因果链才是内网渗透最核心的东西。

8. 实战中最容易翻车的五个细节和对应的避坑姿势

最后把实操中最容易翻车的地方集中整理一下。内网渗透跟单纯打 CTF 单机题有一个很大的差异——它的链路更长、状态更多变，任何一个环节出了问题，前面所有投入都有可能白费。

再补充三个具体的避坑操作，都是我实际踩坑之后总结的：

1. 在域环境里优先找域管登录过的机器，而不是盲目横向扩散。

不少新人横向渗透的思路是“把能打的全打一遍”，结果机器控制了一堆，但是没有一台能让你够到域管。正确思路是反过来的——利用查询域管会话的工具（比如 Psyker 或 PowerSploit 下的 Get-NetSession）去查谁是域管、域管当前登录在哪台机器上，然后集中火力打那台机器。

2. 碰到 445 端口不通不要立刻放弃，先检查内网的协议可替代性。

很多公司的安全策略是封锁跨网段的 SMB 访问，但 RDP、WinRM、WMI 可能是放行的。面对 445 不通的目标，先判断目标开放了 5985（WinRM）还是 3389（RDP），换合适的通道。总喜欢死磕 SMB 的渗透测试人员进了大型企业内网会非常痛苦。

3. 用隧道工具的时候，优先考虑当前网络环境下最能“隐身”的协议。

从跳板机进入内网之后，隧道方案要根据目标网络的出口策略来选：如果只允许 HTTP/HTTPS 出网，用 HTTP 隧道（比如 Neo-reGeorg）最合适；如果是 DNS 出网宽松的场景，DNS 隧道（比如 dnscat2）要优先考虑；ICMP 全通的情况下，上 icmpsh 往往是最不易被防火墙发现的方案。有一点我必须强调：一个成熟的渗透测试工程师，方案的规划和选择永远是在动手之前就开始考虑的，隧道方案更是如此——工具装上去、流量发出去的那一秒钟，就是开始暴露的一秒钟，方案越贴合目标网络的流量特征，越不容易触发告警。

9. 内网渗透的学习路径：具备什么能力才算“入门”而不是“摸过”

最后谈谈从学习路径角度的经验。因为我见过太多人做了不少靶场题，却仍然对整套流程没有一个全貌的认知。这与内网渗透知识结构的特性有关——它的知识不是线的，是网的。

要系统掌握内网渗透，至少要具备以下三块基础：

第一块是扎实的网络知识。 没有 TCP/IP 基础，你根本看不懂端口扫描结果背后的意义；不懂 DHCP 就不会理解为什么一台机器的 IP 变了可能导致之前打的洞全部失效；不懂 DNS 就不会明白域内为什么会有那么多和 DNS 相关的攻击手法。建议先把 CCNA 级别的网络知识认真学一遍，不要求背路由协议，但 TCP 三次握手、子网掩码划分、NAT 几种模式的工作原理、ACL 的匹配规则这些必须理解到位。

第二块是 Windows 系统的底层原理。 内网渗透绕不开 Windows。你一定要理解 Windows 的认证体系（NTLM 认证流程、Kerberos 认证流程、域信任关系）、Windows 的进程与令牌机制、注册表和服务控制管理器的工作方式、LSASS 进程为什么是“凭据的聚宝盆”。不了解这些原理，用 Mimikatz 抓哈希就纯粹是“会按按钮不会系统思考”；反之理解了原理，每条命令背后对应的 Windows 行为你都心里有数，思路才会顺畅。

第三块是和甲方防御方“打交道”的经验。 好的渗透测试人员不是只会打得爽的人，而是知道自己的攻击行为在防守方眼里是什么样的人。你打内网时产生的每一条日志、每一次端口扫描、每一个进程创建，都可能被 EDR 感知并汇总到安全团队的大屏上。带着“如何在不被防御方注意的前提下完成目标”的思路去练习，比单纯的“怎么拿到域控”重要得多。

回到最开始的问题——内网渗透到底在打什么？打的是“信任”。是机器之间默认互相开放端口的信任，是办公终端对域账号体系的无条件服从，是管理员对内网“很安全”的盲目自信。你掌握了全套流程之后，会发现最坚固的堡垒往往不是被超级黑客用 0day 打穿的，而是被一条条不显眼的信任链一步步啃开的。