很多从Web渗透转内网的朋友刚开始都会有一种“失重感”。Web端有明确的URL、参数和响应一切似乎都在掌控之中可一旦进入内网面对的却是网段、凭证、域信任关系这些更加抽象的概念。今天我想聊聊怎么从一台外网跳板机出发一步步摸到域控的核心以及这个过程中那些容易踩的坑。靶场搭建先画好地图再出发练内网渗透没有合适的靶场就像闭着眼睛走迷宫。我推荐的起步架构是1台外网机 2台内网机 1台域控四台机器构成一个最小化的企业内网模型。外网机通常配置双网卡一张对外暴露服务模拟被攻破的Web服务器另一张接入内网网段。两台内网机分别扮演普通办公终端和数据库服务器域控则负责整个环境的身份认证与策略下发。这个架构的优势在于路径清晰外网机是入口内网机是横向移动的中转站域控是最终目标。搭建时建议用VMware或VirtualBox域控装Windows Server 2016/2019其余用Windows 10即可。网络模式上外网机第一张网卡用NAT或桥接模拟公网第二张与内网机、域控同用**仅主机模式Host-Only**隔离。很多人图省事把四台机器全放同一个网段结果信息收集阶段就一团乱麻根本分不清流量走向。信息收集内网渗透的“望远镜”拿到外网机的初始shell后第一件事不是急着翻密码而是搞清楚自己在哪里、能去哪里。Web渗透里的信息收集偏向“点”——一个域名、一个接口、一个参数内网则是“面”的扫描本机IP、所在网段、域成员关系、可访问的服务、防火墙策略缺一不可。常用命令组合如下# 快速查看本机网络配置ipconfig /all# 查看当前用户及权限whoami/all# 查看域信息net view /domain# 查看本机共享net share# 查看ARP缓存推测内网活跃主机arp-aLinux环境下则用ifconfig、netstat -tulnp、cat /etc/resolv.conf等。关键是养成多维度交叉验证的习惯ARP缓存看到的主机再用ping或nmap扫一遍确认存活DNS服务器指向的往往是域控netstat里的 Established 连接可能暴露其他内网资产。很多人一上来就丢Nmap全端口扫描动静大、时间长还容易触发告警。更稳妥的做法是分段探测先用ping或fping做存活扫描再用nmap -sS -p 22,80,135,139,445,3389,5985扫常见端口最后对高价值目标做服务识别。凭证窃取从“敲门砖”到“万能钥匙”内网渗透的核心矛盾是机器很多能直接利用的漏洞很少但凭证一旦到手局面瞬间打开。Windows环境下Mimikatz是绕不开的工具。它的经典用法是从LSASS进程内存中抓取明文密码或NTLM哈希# 提升权限后执行privilege::debug sekurlsa::logonpasswords但这里坑不少。首先是权限问题非管理员运行Mimikatz基本抓不到东西而现代Windows版本Win10 1809以后默认开启了Credential Guard明文密码很难直接读出往往只能拿到NTLM哈希。其次是杀毒软件拦截直接上传mimikatz.exe大概率被杀需要做些免杀处理或者改用PowerShell版本的Invoke-Mimikatz。另一个常被忽略的工具是Responder。它通过监听LLMNR、NBT-NS等NetBIOS名称服务在局域网内发起欺骗攻击诱导其他主机向攻击机发送NTLM认证信息。配置极其简单responder-Ieth0-wrf一旦有主机尝试解析不存在的名称Responder就能捕获到NTLMv2哈希。这个手法的妙处在于完全被动不需要主动攻击任何目标特别适合内网初期潜伏。横向移动Pass the Hash 的实战逻辑拿到哈希后下一步就是横向移动。Pass the HashPtH的本质是绕过密码验证环节直接用哈希完成身份认证这在拿不到明文密码的场景下尤为关键。Impacket工具集里的smbexec.py、wmiexec.py、psexec.py是三大常用脚本。以wmiexec为例python3 wmiexec.py-hashesLM_HASH:NT_HASH DOMAIN/USERTARGET_IP执行后会在目标主机上启动一个半交互式的shell。这里有几个细节值得注意哈希格式Impacket要求的是LM_HASH:NT_HASH的完整格式如果LM哈希为空也要保留冒号前的空位写成00000000000000000000000000000000:NT_HASH。目标端口WMI默认走135端口但后续数据传输会动态协商高端口防火墙策略复杂时可能失败这时换用smbexec或psexec更稳定。痕迹清理wmiexec会在目标上创建临时服务退出时建议加-delete参数清理或者手动删除C:\Windows\Temp下的残留文件。很多人把横向移动理解为“一台一台扫过去”其实更高效的做法是结合BloodHound做路径规划。BloodHound通过收集域内的用户、组、计算机、ACL等关系能直观展示出从当前用户到域管理员的最短攻击路径。运行SharpHound收集数据SharpHound.exe-call导入BloodHound后查询Shortest Paths to Domain Admin往往能看到令人意外的捷径——比如某个普通用户恰好是某台服务器的本地管理员而那台服务器又允许域管理员登录。BloodHound把域环境“画”出来BloodHound的价值在于把抽象的域信任关系可视化。它的查询语言Cypher虽然需要适应但常用模式固定# 查找域管理员 MATCH (u:User) WHERE u.admincountTRUE RETURN u # 查找当前用户可达的特权路径 MATCH pshortestPath((u:User {name:DOMAIN\\USER})-[*1..]-(g:Group {name:DOMAIN\\DOMAIN ADMINSDOMAIN})) RETURN p实际使用中我发现新手最容易犯的错误是数据收集不全。SharpHound默认只跑部分收集方法复杂域环境里建议用-c all全量采集虽然耗时更长但路径分析更准确。另一个坑是Neo4j数据库版本兼容性BloodHound对Neo4j 4.x的支持曾有波动遇到导入失败时不妨检查版本匹配。Cobalt Strike从工具到流程的跨越当单条命令已经满足不了需求Cobalt StrikeCS这类C2框架的价值就凸显出来了。它把载荷生成、钓鱼投递、会话管理、横向移动、权限维持整合进一个平台更适合模拟真实APT攻击链。CS的基本使用流程创建ListenerBeacon HTTP/HTTPS是最常用的回连方式配置好Team Server的IP和端口。生成Payload根据目标场景选择Executable、PowerShell、VBA等格式。投递执行外网机上线后通过spawn迁移到更稳定的进程再用jump psexec或jump wmi做横向移动。CS的SMB Beacon在内网渗透中特别好用它通过命名管道与父Beacon通信不直接对外连接能大幅降低被流量检测发现的概率。配置时先让外网机作为中转内网机通过SMB Beacon回连整个拓扑就变成了“外网机-Team Server”一条出网通道其余流量全在内部消化。不过CS的门槛也在这里——它不只是工具的堆砌而是攻击流程的工程化。什么时候用Stageless载荷、什么时候做进程注入、怎么设计Sleep时间躲避EDR这些决策比单条命令重要得多。Web渗透 vs 内网渗透思维转换的关键聊到这里可以总结下两种渗透形态的核心差异维度Web渗透内网渗透攻击面面向公网的单点应用内部网络的多主机、多服务、多信任关系核心资产漏洞利用链身份凭证与权限路径信息形态HTTP请求/响应、参数、接口网段拓扑、域结构、ACL、会话令牌典型工具Burp Suite、SQLMapMimikatz、BloodHound、Impacket、CS隐蔽性要求相对较低重在高并发测试极高需考虑日志、EDR、流量检测Web渗透更像“解谜”目标是找到那条精确的利用链内网渗透则是“导航”在复杂的信任迷宫中找到最高效的路径。前者考验对协议和代码的理解后者考验对系统架构和权限模型的把控。常见坑点与避坑建议最后说几个实战中反复遇到的坑环境隔离不到位。靶场里的域控如果和物理机共用网段Responder的欺骗可能误伤真实网络Mimikatz抓到的也可能是自己主机的凭证。务必确保虚拟网络完全隔离。过度依赖单一路径。BloodHound显示的最短路径可能因为补丁、防火墙或权限变更而走不通准备2-3条备选方案是基本素养。忽视日志与痕迹。内网渗透不是拿到域控就结束测试过程中的认证日志、服务创建记录、文件访问痕迹都需要清理否则蓝队复盘时一目了然。把工具当黑箱。Impacket能成功执行PtH背后是NTLM认证协议的完整交互BloodHound能画出路径背后是LDAP查询和域对象解析。不懂原理遇到报错就只能抓瞎。从Web到内网本质上是从“应用层”向“系统层”的纵深。这条路没有速成但每多搭一次靶场、多走一遍横向移动的闭环对真实企业网络的理解就会深一层。而理解正是攻防两端共同的护城河。
