沂樾内网渗透测试这个方向，这几年热度一直没降过。不管是做蓝队防守、红队评估，还是刚入行安全没多久的新人，都会发现一个现实问题：拿到一台公网服务器的权限，只是开胃菜，真正考验功力的是进入内网之后怎么走、怎么打、怎么守。我之前整理过不少实战笔记，这次专门把“内网渗透测试基础”这部分从头捋一遍，从最底层的概念讲起，到信息收集、权限提升、横向移动，再到常见问题的排查，尽量用大白话把这条技术链路讲透。文章会比较长，适合先收藏再慢慢啃，也适合在实战前翻一遍当查漏补缺的清单。
1. 内网渗透测试的底层逻辑与核心价值
1.1 为什么内网渗透测试越来越重要
很多刚接触安全的朋友会有一个惯性思维：渗透测试嘛，就是找漏洞、打漏洞、拿权限，拿到服务器就完事了。但放到真实的企业环境里，这种思路远远不够。现代企业的网络架构极少是“一台裸奔服务器”，而是由办公网、生产网、测试网、数据中心等多个区域组成的复杂网络。公网入口通常只是最外层的壳，真正有价值的业务系统、核心数据、用户数据库，都在内网深处。
打个比方，公网渗透像是在小区门口测试保安认不认得出你，而内网渗透是进了小区之后，还要看你能否顺利穿过单元门、电梯、房门，最终走进某一户人家。开发商不会把保险柜放在大门口，企业也不会把核心数据库挂在公网上。所以，内网渗透测试的本质，是模拟攻击者突破边界后，在内部网络中的活动能力评估。
从防守方的角度更直白：现在很多企业的安全建设已经覆盖了边界防御，WAF、IPS、防火墙该上的都上了，但内网一旦失守，内部的东西能不能扛住攻击者的下一步动作？内网渗透测试就是来回答这个问题的。它验证的是“假设边界已经被攻破，内网是否还能兜得住”。
1.2 内网渗透与常规渗透的本质区别
常规渗透测试的逻辑比较线性：信息收集、漏洞扫描、漏洞利用、拿权限、写报告。目标是从外到内，突破一层防线就完事。但内网渗透的逻辑完全不同，它更像是一场“内部战争”，有几个显著区别。
第一，攻击面完全不同。公网渗透面对的是暴露在外的服务，端口扫描基本集中在常见端口；内网渗透面对的是整个内部网络的所有主机、服务、协议，包括平时根本不会暴露到公网的SMB、RDP、WinRM、内部Web系统、数据库服务等。攻击面大了好几个量级。
第二，身份和认证成为核心。公网渗透主要靠漏洞打，内网渗透则大量依赖“身份”这个东西。内网里的系统互相信任的基础是域账户、本地账户、Kerberos票据，攻击者拿到一台主机后，第一件事往往不是继续打漏洞，而是翻内存、翻注册表、翻配置文件，找账户口令和凭据。
第三，检测与逃逸的对抗强度不同。公网上的攻击行为，防守方主要靠流量监测；内网里的攻击行为，防守方还会叠加主机层面的监控，比如日志审计、进程监控、文件完整性校验。攻击者在内网的动作稍大一点就可能暴露，所以内网渗透更讲究“低噪声”。
理解了这三点，再看内网渗透的整个知识体系，就不会觉得它是零散的技巧堆砌，而是一套有内在逻辑的方法论：进得来（边界突破）、待得住（权限维持）、找得到（信息收集）、拿得下（权限提升）、走得远（横向移动）。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 内网信息收集：渗透的第一步，也是最容易被忽略的一步
2.1 内网拓扑与资产盘点：先画地图，再打仗
我见过不少新人拿到一台内网主机后，第一反应就是“赶紧提权”，结果提了半天，连自己的主机在哪个网段、同一网段有哪些机器都没搞清楚。这就像进了迷宫不画地图，只会横冲直撞。信息收集在内网渗透里是决定成败的关键环节，没有之一。
内网信息收集的第一个任务，是搞清楚自己处于什么位置。最基础的三件事：本机IP地址与网段、网关地址、DNS服务器地址。在Windows上可以用 ipconfig /all 查看，Linux上用 ip addr 和 cat /etc/resolv.conf。拿到这些信息后，至少能判断出当前主机所处的子网规模。
接下来是探测同网段存活主机。常见做法是ping扫描，但在内网环境里，很多主机禁ping，所以要用ARP扫描或者TCP端口探测的方式来辅助判断。常用的工具包括nmap的 -sn 参数进行ping扫描、arp-scan 做二层发现，或者用fscan、goby这类综合工具直接跑一遍网段，效率更高。
这里有个实操经验：内网扫描一定要控制速率和并发。有些业务系统对网络延迟敏感，扫描太快容易把生产环境搞出问题。一般建议先用ping扫描快速过一遍整个网段，再对存活主机做端口识别，不要一上来就对整个大网段做全端口扫描。稳妥的节奏是：先确定网段范围，然