好荐的鱼爸很多朋友问过我同一个问题：内网渗透到底应该怎么学？市面上课程、博客、工具铺天盖地，可真把你扔进一个稍微复杂点的靶场里，你还是不知道怎么下手。我见过太多人卡在同一个死循环里——扫描器扫出一堆漏洞不知道先打哪个，千辛万苦拿下一台主机却不知道下一步该干嘛，进了域环境绕了几天连域控的影子都没摸到。问题从来不是工具不够新、教程不够多，而是脑子里缺一张地图。这篇文章要聊的"五维金字塔"，就是我自己沉淀下来的一套内网渗透学习框架。它不是技术字典，而是一份把散点知识重新组织成能力阶梯的路线图，严格遵循"先环境、再测绘、后立足、再横向、终沉淀"的递进关系，每一层没打牢，上一层就是空中楼阁。
1. 为什么"学了很多却不会用"？框架缺失是根因
先讲一个我观察了很久的现象。很多初学者学内网渗透的方式是这样的：今天看一篇"利用MS17-010拿下域控"的文章，觉得很酷，照着敲一遍；明天又看一篇"Kerberoasting攻击详解"，收藏了；后天再看到"BloodHound分析域环境"，觉得高大上，先存着。三个月过去，收藏夹满了，遇到新靶场还是从头开始nmap。
这不是学习态度的问题，是知识组织方式的问题。内网渗透和信息收集、漏洞利用、权限提升、域协议、横向移动、日志清理等数十个知识域纠缠在一起，它本质上是一项"对抗性系统工程"，而不是一两招"绝活"。你单独会一个MS17-010、会一个CVE-2021-42287，如果没有一个框架把这些能力串联成"发现目标→获取立足点→扩大战果→达成目标→沉淀输出"的完整链路，你在真实对抗中就会变成无头苍蝇。
五维金字塔的出发点，就是把这条链路拆成五个可训练、可检验、可递进的维度：
| 层级 | 维度 | 核心问题 | 能力标志 |
|---|---|---|---|
| 第一维 | 靶场环境与工具链 | 我在哪练？用什么练？ | 能独立搭出一个可复现的靶场拓扑 |
| 第二维 | 信息收集与资产测绘 | 目标长什么样？ | 能输出一张有优先级标注的拓扑图 |
| 第三维 | 立足点获取与权限升级 | 我如何进去？进去后怎么稳住？ | 能拿下主机并完成一次可靠提权 |
| 第四维 | 横向移动与域渗透 | 我如何扩散？如何触达核心目标？ | 能从普通主机路径化地打穿整个域 |
| 第五维 | 综合演练与报告沉淀 | 我能否应对完整项目？ | 能独立完成一次授权演练并输出报告 |
这个顺序是我刻意排过的。金字塔底部的"环境与工具"决定了你后续所有练习的稳定性和可复现性，很多人恰恰在最底层偷了懒——今天用A靶场，明天用B脚本，环境一换，之前的经验全部失效。我后面详细说每一维怎么练、练到什么程度算合格、中间会踩哪些坑。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 金字塔第一维：靶场环境与工具链，先把"战场"搭好
2.1 靶场选型不是越炫越好
聊内网渗透，必须先聊靶场。为什么？因为内网渗透几乎所有操作都带有对抗属性，在公网或未授权环境练习本身就是大忌，跑在合法授权、完全可控的靶场里才是唯一正确的学习方式。但靶场选型有一个很普遍的误区：有人一上来就追求"高仿真""接近真实内网"，找一堆商业化的重装备环境，结果内存爆了、依赖装不上、快照不会管理，折腾两周连环境都没跑起来，学习的热情全耗在环境搭建上了。
我的建议是分层使用：
- 单机靶场（DVWA、Vulhub、Vulfocus）用来练Web打点和漏洞利用基本功，熟悉"拿到一个Web请求后如何判断、验证、利用"这个最小闭环。
- 域内网靶场（红日经典靶场、Vulnstack系列、自建实验域）用来练完整的攻击链，从外网入口一路打到域控。
- 在线CTF/靶场平台（HackTheBox、TryHackMe等）用来保持手感和接触新场景，注意选择带内网模拟的机器。
重点提一下红日靶场这类环境，它的拓扑里标配了外网Web服务器、内网主机、域控制器，还预设了多层网络隔离，非常贴合"初始立足点→内网探测→域渗透"的学习节奏。很多安全圈子的人最初打穿域