内网渗透基础：域环境、横向移动与权限提升全解析

内网渗透基础这个话题，我在安全这个圈子里聊过很多次。每次都有新人把它想得太玄，觉得必须掌握一堆“神器”才能碰，也有人把它想得太窄，以为就是拿到一台机器之后乱点一通。实际做过授权渗透测试的人都知道，内网渗透与其说是技术对抗，不如说是一场信息梳理和逻辑推演的较量。这篇文章的目标很简单：把内网渗透基础从头到尾拆开，讲清楚它依赖的网络架构、身份认证机制、信息收集思路、横向移动原理以及防守方的检测重点，让零基础的人有一条清晰的学习路径，也让有一定经验的人能查漏补缺。

需要先声明一条铁律：下面所有内容只适用于自己搭的靶场、实验环境，以及获得书面授权的安全测试。没有授权，任何技术都是非法行为。这不是客套话，而是这行最基本的生存底线。

1. 内网渗透到底是什么：先搞懂边界与目标

1.1 它和安全评估是什么关系

很多刚入行的人会把“内网渗透”和“黑客攻击”画等号，这是第一个误区。正规的内网渗透，是安全评估项目中的一个环节。甲方想要知道自己内网到底能不能被打穿、哪里会被突破，于是委托安全团队在授权范围内模拟一次真实的攻击路径。整个过程是有项目边界、有时间窗口、有操作规范的。

换句话说，内网渗透的本质是“用攻击者的视角检验防御体系的成色”。它不是为了搞破坏，而是为了在真正的攻击者动手之前，把薄弱点找出来并修掉。所以业内常说：好的渗透测试报告，是防守方最需要的体检报告。这个定位决定了你学习时的态度——你关注的不只是“能不能打进去”，还要关心“为什么能打进去”“日志里有没有留下痕迹”“防守方能不能及时发现”。

理解了这一点，你就知道为什么后面每一个阶段都要强调记录、复现和报告。那不仅是流程要求，更是你区别于单纯“脚本小子”的核心能力。

1.2 常见名词和角色关系

初学内网渗透基础，最常见的困惑是名词太多。我先把高频词梳理一遍，后面还会反复用到。

• 内网（LAN/Intranet）：一个组织内部网络的统称，与公网隔离，内部设备可以互相通信。
• 工作组（Workgroup）：一种对等网络模式，各机器自己管理账号，没有统一认证中心，适合小型环境。
• 域（Domain）：由一台域控制器统一管理账号和策略的网络模式，Windows内网的主力形态。
• 域控制器（DC, Domain Controller）：域内的核心服务器，负责身份认证、策略下发。
• 活动目录（AD, Active Directory）：域环境中的目录服务，存储用户、组、计算机、策略等信息。
• 权限提升（Privilege Escalation）：从低权限账号获得更高权限的过程。
• 横向移动（Lateral Movement）：从一个已控节点扩展到内网其他节点的过程。

这些词背后是一条清晰的逻辑链：内网里设备一多，就必须有统一的“身份管理体系”，否则每个人动不动就要在一百台机器上建账号，管理成本直接爆炸。于是有了域，有了活动目录。而内网渗透的绝大多数核心操作，都是围绕这套身份体系展开的。所以，真正理解Windows认证机制，比会背几个利用工具重要得多。

1.3 授权、靶场与安全红线

学内网渗透基础，第一步不是学技术，而是学会判断“能不能做这件事”。我把安全红线总结成三条，你记牢：

• 没授权的目标一律不碰，哪怕是“随便试试”也不行。
• 授权范围要写清楚：哪些IP段、哪些系统、哪段时间、允许做到什么程度。
• 测试数据要保密，截图、日志、凭据都不能外传。

想练手也很简单，现在有很多自建靶场项目和虚拟化环境，在VMware或VirtualBox里自己搭域控、加机器，完全够你折腾。自己搭环境还有一个额外好处：你能边打边看日志，知道每类操作在系统里留下什么痕迹，这对后期走防守方向是巨大的优势。

2. 从零开始的内网知识底盘：网络架构与身份认证

2.1 工作组与域：两种“管人”的模式

Windows内网里最常见的两种组织模式是工作组和域。理解它们的区别，基本就理解了内网渗透一半的上下文。

工作组是一个“散装”模式。每台机器都是自己的主人，本地账号密码各自维护。A机器上有个用户叫admin，B机器上也能有个用户叫admin，两个互不相干。你在一台机器上创建的账号，去不了另一台。适合什么场景呢？家里三五台电脑，或者小办公室十来个人的环境。缺点是管理混乱，审计无从谈起。

域则是一个“集中管理”模式。域里有一台域控制器，所有账号、密码策略、安全策略都归它管。你只要在域里登录一次，域控制器就给你发一张“通行证”，之后访问域内其他资源时，系统会拿这张通行证去验证身份，不需要反复输入密码。企业环境、学校机房、政务网络，基本都是域模式。

从渗透测试的角度说，工作组的防守通常很弱，因为每台机器独立，你不小心拿到一台的本地管理员密码，最多管一台。而域不一样，一旦你拿到域控制器的权限，等于拿到了整个内网的“钥匙库”。所以业内有个很直观的说法：打工作组是点对点，打域是点对面。这也是为什么内网渗透的重点几乎都围绕域环境展开。

2.2 活动目录（AD）为什么是核心目标

活动目录是域环境里的目录服务，你可以把它理解成一本巨大的组织通讯录。里面记录了域内所有的用户账号、密码策略、组关系、计算机条目、共享文件夹、组策略对象等信息。管理员日常做的大部分工作——加人、调岗、改密码、下发域策略——都是在AD上操作。

攻击者盯着AD，是因为它有几个特点：第一，AD里存着所有账号的信息，包括口令哈希；第二，AD的权限模型复杂，配置稍微不当就会出现“低权限用户能改高权限组”之类的逻辑漏洞；第三，只要域控失守，攻击者通常就能拿到域内最高权限，进而控制所有加入域的机器。

防守方也正因为知道AD的重要性，会在域控上重点部署日志监控和入侵检测设备。所以，学习内网渗透，本质上是在学习一套“以AD为中心”的身份攻防体系。我建议你把微软官方关于AD的概念文档读三遍以上，读到能给别人讲清楚“什么叫OU、什么叫GPO、什么叫DSRM”为止。基础越扎实，后面看攻击链越轻松。

2.3 认证协议：Kerberos 与 NTLM 的基本原理

Windows域环境里有两套核心认证体系，几乎所有与身份相关的攻击手法都绕不开它们。第一套是Kerberos，现代域环境的主力；第二套是NTLM，老协议但至今仍在大量场景中使用。

Kerberos的运行逻辑很像去食堂吃饭。你第一次去食堂，先到窗口办卡（向认证服务器AS申请TGT票据）。拿到卡之后，你去打菜窗口，不用再掏钱，直接刷卡（用TGT向票据授予服务器TGS申请具体服务的票据），窗口认票不认人。这套机制里，TGT（Ticket Granting Ticket）是最关键的东西，谁拿到你的TGT，谁就能在域里冒充你访问各种服务。所以内网安全里有一大类攻击就是围绕“票据”做文章，比如伪造票据、窃取票据、让票据过期时间无限延长等。理解这个食堂比喻，后面再看各种票据攻击名词，就不容易晕了。

NTLM则是一个挑战/响应机制。大概过程是：客户端向服务器发起认证，服务器返回一个随机数（挑战），客户端用密码哈希加密这个随机数得到响应，服务器再验证响应是否正确。这中间传输的不是明文密码，而是密码哈希参与运算的结果。问题在于，有些工具可以不破解哈希，直接拿着哈希去冒充用户完成认证，这就是常说的“哈希传递”原理。

你不需要背下协议规范里的每一个字节流，但一定要清楚票据与哈希分别是什么、在哪一步会被获取、为什么它们是攻击者最爱。这两条主线贯穿内网渗透的整个学习周期。

2.4 常见的内网网络区域划分

除了认证体系，你还要对网络拓扑有概念。一个典型的企业内网通常有办公区、服务器区、运维管理区、开发测试区等。不同区域之间往往有防火墙或ACL规则，能访问的范围不一样。

攻击者从外网突破进来后，通常先落在一台“边缘机器”上，比如Web服务器、邮件服务器。这台机器所在的网段往往是“隔离区”，与核心业务网之间还有一层防护。接下来能不能走到核心数据区，看得就是内网路由、ACL策略、现有凭据的适用范围。

学习时，我建议你画拓扑图。不需要多精美，但要把“我控制的机器在哪一段、它能访问哪些网段、哪里是域控、哪里有高权限账号”标出来。我在实际项目里见过太多测试人员，打下一台机器就顺着网线乱扫，结果引发全网警报。真正高效的做法永远是先摸清地图，再规划路径。

3. 信息收集阶段：真正决定成败的第一步

3.1 为什么说“信息收集决定渗透上限”

很多零基础的朋友上手就喜欢找各种“一键检测”工具，觉得扫描越猛越厉害。但实际项目里，信息收集做得细不细，往往决定了你能走多远。你掌握的信息越全，后续的攻击路径就越清晰，踩坑概率也越低。

信息收集的目标可以概括成四个词：谁在这、有什么、连向哪、信任谁。也就是：内网里有哪些机器和账号；每台机器开放了什么服务；机器与机器之间有什么连接关系；哪些账号在哪些机器上有权限。这四个问题一旦搞清楚，攻击路径基本就摆在明面上了。

3.2 本机信息收集：先弄清楚自己站在哪

当你拿到一台机器的权限，第一步不是急着扫全网，而是先搞清楚“这台机器是什么角色”。通过系统自带命令就能收集到大量信息：

• 当前用户名、所属组、SID（判断是否有域账号权限）。
• 本机IP、网关、DNS服务器（推断网段划分）。
• 当前登录会话、最近连接的共享资源。
• 安装的软件、补丁版本、启动项与服务。
• 本地账号列表，尤其是管理员组里面有没有陌生账号。
• 网络连接状态，看这台机器和哪些内网机器保持着通信。

这些操作听起来很基础，但信息量极大。比如你发现这台机器同时连着数据库服务器的1433端口和文件服务器的445端口，说明它很可能是一个业务中转节点，后续横向方向就优先朝这两个目标走。再比如你发现当前用户是“域管理员组”成员，那权限提升阶段几乎不用费劲。

我给你的建议是建立一张信息收集清单，每次拿到新机器都按固定顺序过一遍，避免漏项。真正老练的测试人员，评估一台机器通常不超过十分钟，靠的就是这种标准化习惯。

3.3 域内信息收集：把内网画成一张图

本机信息只是起点，域内信息才是大头。你可以通过对应查询命令获取以下数据：

• 当前域的名称、域控地址、域功能级别。
• 域内所有用户、组、计算机列表。
• 哪些用户是域管理员、企业管理员等高权限组成员。
• 组策略对象的内容，尤其是密码策略、登录脚本。
• 域内共享文件夹和打印机资源。
• 域控制器上运行的服务、DNS区域记录。

这些信息收集出来后，你会发现域内体系的脆弱点往往藏得很深，比如：

• 一个“普通用户”账号竟然加入了高权限组。
• 域内存在很多长期不用的“僵尸账号”，密码策略又很宽松。
• 共享文件夹里放着运维脚本，脚本里又写着服务器密码。
• DNS记录暴露出很多未公开的内部系统名称。

做域内信息收集，最忌讳拿到列表就收工。你要做的不是“看一眼”，而是把数据交叉比对：哪个用户在多台机器上有登录会话？哪个组里有不应该出现的人？哪台服务器的DNS记录跟实际用途对不上？这些问题才是指引后续动作的关键。

3.4 网络与端口信息收集：找横向移动的入口

有了账号清单，接下来要回答“连向哪”。对内网网段做存活性扫描、端口开放情况摸排，属于常规动作。但切记要收敛，不要从一台机器上对全内网所有网段发起高强度全端口扫描。原因有两个：一是动静太大，极易触发防守方的流量告警；二是效率低，完全没有必要。

更聪明的思路是“顺着数据流扫”：先看当前机器最近访问了哪些IP和端口，从这些连接里挑选重点目标；再结合端口语义判断服务类型，比如22是远程登录，445是文件共享，3389是远程桌面，1433/3306是数据库。你真正需要关心的不是“所有开放的端口”，而是“能提供认证入口或文件访问能力的端口”。

端口信息收集结束时，你应该能画出一张新的图：从当前机器出发，可以触达哪些目标，每个目标可能是什么角色（Web服务器、文件服务器、数据库、域控）。这张图就是你下一步横向移动的行动地图。

3.5 信息整理：用笔记和表格替代“脑记”

我见过太多人信息收集只存在脑子里，结果隔一天就忘记哪台机器有什么端口、哪个账号在哪有权限。信息收集一定要落到文档里。可以建一个简单的表格，记录机器名、IP、操作系统、开放服务、账号情况、与域的关系、备注等信息。

整理信息时，常用思路是以“网段-机器-服务-账号”为层级。比如：

• 网段192.168.10.0/24是办公区，存在多台文件服务器。
• 用户A在某台机器上有管理员权限，但这个账号还同时是域用户。
• 某台数据库服务器只对特定应用服务器开放端口。

这些记录既服务于当前测试，也是最终报告的重要素材。记住：你在测试期间一切操作都可能被要求在项目结束后复盘，一个干净、完整的信息台账会让你省去无数麻烦。

4. 横向移动与权限提升：攻击路径背后的原理

4.1 权限提升：为什么低权限是常态

外网突破进来的机器，通常只拿到一个低权限账号，比如IIS进程账号、普通域用户。低权限能干的事极其受限：不能安装服务、不能读取敏感配置、不能访问其他用户的文件。所以下一步就是想办法获得更高权限，这个过程叫权限提升。

权限提升的原理可以分成几大类：

• 系统层面的漏洞利用：操作系统或软件存在已知漏洞时，利用程序获取SYSTEM权限。
• 服务与计划任务的不安全配置：某些服务以高权限运行但可以被低权限用户修改执行路径。
• 密码与凭据的再利用：从内存、配置文件、数据库里翻出管理员密码，直接切换身份。
• 内核对象、令牌、会话劫持：利用Windows令牌机制合法获取另一用户的权限。

需要注意的是，现在主流系统打补丁都很勤快，单纯等漏洞不如多花时间找配置缺陷。很多问题是历史原因造成的：一个部署了三年的系统，安装时用了管理员账号，后来没人清理；一个内部软件默认以服务方式运行，权限是最高档。这些“人祸”远比漏洞稳定、好利用。

4.2 横向移动的本质：拿着手里的牌找能进的房间

横向移动，通俗讲就是“从这台机器去到那台机器”。它不是一种单一技术，而是一类思路的集合。核心共性只有一个：利用你已获得的凭据或权限，去访问内网其他机器上的合法管理接口。

常见的方式包括：

• 哈希传递（Pass-the-Hash）：不破解密码哈希，直接用哈希完成NTLM认证，登录目标机器。
• 票据传递（Pass-the-Ticket）：把窃取到的Kerberos票据注入当前会话，冒充用户访问服务。
• 远程服务调用：通过Windows自带管理接口在远程机器上执行命令。
• 计划任务、服务创建、WMI调用：利用系统管理通道在目标机器上执行操作。

这些方式本身都是“合法”的管理手段，系统默认允许管理员远程操作。所以防守方很难用“封禁漏洞利用工具”的思路一劳永逸，必须通过行为分析来判断“这个管理员操作像不像攻击者”。

学习横向移动时，我建议你抓住一条主线：每个横向动作都需要满足两个条件——知道目标的地址，拥有目标的凭据。缺了任何一环，再花哨的技术都寸步难行。所以横向移动的成功率，几乎完全取决于信息收集和凭据获取阶段的质量。

4.3 凭据获取：为什么密码哈希和票据是重点目标

横向移动绕不开“凭据”二字。Windows系统为了用户体验，设计了很多自动保存凭据的机制，而这些机制恰恰成了攻击者的目标。常见的凭据来源包括：

• 内存中的登录会话：用户登录后，系统内存中会缓存其凭据信息。
• 注册表与配置文件：某些软件会把口令以明文或弱加密形式存在配置文件中。
• 本地安全账户管理器（SAM）数据库：本机用户的密码哈希所在。
• 域控数据库（NTDS.dit）：域内所有用户的哈希都在这。
• 回收站、临时文件、错误日志：经常能翻出意外惊喜。

我可以再多说一句：很多攻击者拿到一台域控之后，并不会急着“破坏”，而是把哈希导出后慢慢离线分析。因为只要拥有域内高权限账号的哈希，整个域就相当于在自己手里。防守方要做的，就是让这些存储凭据的位置变得更难访问，同时让凭据一旦泄露也能快速检测。

4.4 从防守视角看攻击链

把权限提升和横向移动看成一条完整的链，你会发现防守机会其实不少：

• 权限提升发生前：系统补丁完善、服务账号最小化，可以让第一步就很难走。
• 横向移动发生时：日志里会出现大量远程登录、计划任务创建、服务创建记录。
• 凭据窃取发生时：内存读取类操作会触发系统或EDR的敏感API告警。
• 攻击完成后：新账号、新计划任务、异常登录时间都能成为追踪线索。

我们在做测试时，经常用“假设防守方已经知道我们进来了，他们能发现多少”来倒逼自己收敛操作。这种思维方式的训练，对将来走红队或蓝队都有很大帮助。

5. 内网通信与流量转发：通道是如何建立的

5.1 为什么要建“通道”

从外网打进来的机器往往处于隔离区，能出网但无法直接访问核心业务网段。而你想访问目标机器上的某个服务，就必须想办法让流量“借道”穿越网络隔离。这个动作业内叫建立通道，本质是在不同网络区域之间铺设一条可控的信息通路。

通道的价值在于，它把“不可达”变成“可达”。比如当前机器能访问某台数据库，但你自己的电脑访问不了，那就在当前机器上做一个流量转发，让你先连到当前机器，再由它帮你转去数据库。这种方式在很多合法运维场景中也很常见，比如远程办公时通过跳板机访问内部系统。区别只在于是否获得授权。

建立通道需要同时考虑连通性、隐蔽性、稳定性。连通性是基础；隐蔽性决定防守方能不能看到；稳定性决定你的后续操作能不能顺利完成。很多新手只关注连通性，结果一通操作把自身来源暴露得干干净净。

5.2 端口转发与中转

最简单的通道形式是端口转发。思路很朴素：在网关或跳板机上开放一个端口，把收到的数据原样转给另一个目标。如果需要访问的流量不止一种，也可以部署多级转发。

操作上，你可以在本机或中转机器上执行类似“将本机某个端口收到的连接转发到目标IP的某个端口”的命令。这类命令在Windows和Linux下都有原生支持，也是很多安全工具的基础能力。但要注意，端口转发会在当前机器上留下监听端口，防守方扫描或检查Netstat时很容易发现。

更隐蔽一点的做法是让流量伪装成常见协议的样子，比如封装成HTTP请求或DNS查询，再在另一端还原。这些技术各有适用场景，也需要配合不同网络环境选择。我给你的建议是：先老老实实理解正向连接和反向连接的区别，再研究如何把数据“藏”进已有协议里。

5.3 常见隧道技术的内网原理

这里说的隧道，不涉及任何违规定义，只指内网安全攻防中用于建立通信链路的技术类别。常见的思路有以下几种：

• HTTP/HTTPS隧道：把所有通信伪装成网页访问流量，与正常的浏览行为混在一起。
• DNS隧道：利用DNS查询与响应传输数据。很多内网对DNS的过滤最宽松，但这也意味着防守方可以通过DNS日志还原你的通信内容。
• ICMP隧道：利用ping命令的数据部分传递信息。优点是好用，缺点是现在很多安全设备会检查ICMP包大小与频率。

这些隧道的共同点是“借用”现有协议的数据通道，把额外的数据塞进去。掌握原理对防守更有价值：当你能理解DNS隧道为什么能把一段二进制数据拆成查询记录，你也就知道该在DNS日志里查什么。

5.4 防守方如何发现异常通道

通道不是完全隐形的。无论多么隐蔽的隧道，都会在流量特征、时间规律、数据包大小上留下痕迹。

• 流量特征：突然出现长时间、高频的小包通信，或访问某个域名的记录异常密集。
• 时间规律：某台机器在凌晨三点持续对外发送请求，明显不符合业务规律。
• 连接关系：一台Web服务器长期向一台数据库服务器发起大量非业务端口的连接。
• 数据包大小：ICMP隧道经常会发出比正常ping大得多的数据包，DNS查询记录的文本内容也常有异常编码。

从防守角度看，建立“访问关系基线”比堆砌安全产品更有效。先知道每台机器平时在跟谁通信、用什么协议、流量大小如何，异常通道就容易在偏离基线时被揪出来。我在多次演练中发现，流量分析人员对“业务正常模样”的熟悉程度，比他们掌握的检测技巧更重要。

6. 一次完整的授权渗透演练长什么样

6.1 模拟环境想定

与其空谈理论，我带你走一遍典型的授权演练流程。假设某企业委托你对其内网进行安全评估，授权范围明确写好了几个网段。你没有内网账号，第一步是从外网开始。

目标网络入口是一台对外提供Web服务的机器。通过前期的公网信息收集，你确认这台机器使用的中间件版本存在已知高危漏洞，并且可以用公开验证代码完成初始突破。这一步在很多真实项目中往往是“历史遗留问题”造成的：系统上线后从未升级过组件、默认后台没有改密码、日志里已经有大量陌生IP扫描记录。

拿到这台Web服务器权限之后，你发现它是一个域成员机器，当前进程账号是IIS的应用池账号，权限很低。于是你开始进入内网信息收集阶段：查看网络配置、域信息、当前登录会话、本地账号组、开放端口。这些操作全部基于系统原生命令，没有引入任何第三方工具，所以防御设备产生的告警极少。

6.2 从边缘机器到域控的路径

在你整理信息的过程中，注意到这台Web服务器的管理员组里有一个名为“svc_backup”的账号。进一步查域内信息，发现它不但是本地管理员，还是域内“Backup Operators”组成员。这个组在域里有一个特殊能力：可以备份域控上的所有数据，包括账号哈希数据库。这个账号之所以存在，多半是因为当年给备份软件做集成时留下的“后门账户”。

于是你调整了策略：不再尝试打系统漏洞，而是想办法获取“svc_backup”的明文密码或哈希。最终，你在Web服务器的一个备份配置文件中找到了该账号以明文存储的口令——这个是典型的开发/运维事故：凭据被写进了普通用户可读的脚本里。利用这个账号，你通过合法的备份接口读取了域控数据库，获得所有域账号的哈希。到这里，域控已经名存实亡。

我特别想强调这个过程的代表性：整条攻击链里，没有一个环节是0day，全部是配置不当、凭据管理和人员运维习惯的问题。这也是为什么我一直建议新手多关注基础原理，少追漏洞热点——配置问题永远存在，且重复率极高。

6.3 过程留痕与报告思路

演练结束后，你需要把所有步骤和发现整理成报告。一份合格的报告至少要包含：

• 攻击路径图：从入口到域控的每一步以图形化方式呈现。
• 关键操作的证据：命令执行结果、文件内容、时间戳。
• 漏洞等级与修复建议：按严重程度排序，每条建议对应到具体位置。
• 重复步骤和可复现性说明：让防守方能够验证。

写报告有一条重要经验：不要在报告里只写“发现一个高危漏洞”，而要写“因为A机器上存在明文备份凭据，导致B账号被获取，进而通过备份接口读取域控哈希”。对策也要落到具体操作：清除明文凭据、禁用不用的高权限账号、配置登录告警、限制备份接口来源IP。报告的价值永远在于“能指导修复”，而不是“演示攻击多酷”。

6.4 演练后的复盘习惯

每次演练结束，我建议花至少半小时做个人复盘。问自己几个问题：

• 攻击路径是哪一步开始的？之前有没有迹象？
• 防守方日志里能不能看到我的每一步操作？
• 如果防守方在我推进到一半时介入，我能全身而退吗？
• 这个过程中有没有过度扫描或噪音操作？

这些复盘问题看起来偏向红队，但对防守方同样有效——你在一次演练中积累的“攻击者视角”，会直接影响你在监控大屏上捕捉异常线索的敏锐度。换句话说，内网渗透基础学到最后，最大的受益人是防守者自己。

7. 防守视角：如何发现和阻断内网渗透行为

7.1 内网渗透行为在日志里长什么样

前面讲了这么多攻击思路，现在换成防守视角，看看这些行为在日志中的表现。这里盘点是防守方优先关注的几类日志：

• 登录日志：重点关注同一账号短时间内从多台机器登录、非工作时间登录、登录失败后突然成功。
• 远程连接日志：包括远程桌面、远程管理工具、计划任务创建等事件。
• 服务器日志：尤其是域控、文件服务器、数据库服务器上的登录与访问记录。
• 进程创建日志：关注常见的下载器、压缩工具、系统工具被异常调用的行为。
• PowerShell日志：很多内网操作会在PowerShell中留下执行记录。

日志记录的意义不是“事后追责”，而是提供完整链路用于快速判定事件性质。我见过不少安全团队堆了大量日志但没人看、没法看，出了问题只能现场翻文件。真正有效的做法是提前定义“关键事件ID和可疑组合”，让告警能落到具体行为上。

7.2 基于攻击链的检测规则

设计检测规则时，不要追求一条规则抓尽所有攻击，而是沿着攻击链的每一步埋点。下面是一个简化的检测思路表：

每条规则都需要调优。最直接的调优方式是拿真实攻击模拟和正常业务流量做对比，把误报压到可接受范围。我建议防守团队把内网渗透演练本身作为“规则训练场”，每打一轮就核对一遍告警，看哪些攻击步骤没被发现，哪些正常操作又频繁误报。

7.3 关键系统的加固措施

除了检测，更重要的是加固。加固不必贪多，把优先级最高的几件事做好，就能显著提高内网渗透的门槛：

• 关闭高危端口和不必要的服务：文件共享、远程管理端口只对管理网段开放。
• 强制实施最小权限：域管理员账号只用于管理域控，不能在普通机器上日常登录。
• 安装补丁，尤其是面向公网的服务组件。
• 对敏感账号开启登录告警，异常地点或异常时间直接通知。
• 清理本地管理员组和域内高权限组成员，删除长期不用的“僵尸账号”。
• 对配置文件和脚本做访问控制，禁止普通用户读取敏感信息。

很多组织总想着上各种设备，却连“域管理员账号平均每人都有”这种基础问题都没解决。基础问题不解决，再强的设备也拦不住凭据泄露。

7.4 事件响应和内网隔离思路

当检测到疑似内网渗透时，响应速度至关重要。发现异常的第一个动作不是急着拔网线，而是先做证据保全与影响评估。建议的响应流程是：

• 记录当前时间、告警内容、涉及机器和账号。
• 保留相关主机内存镜像、日志快照、网络抓包。
• 对受影响账号做临时禁用，限制其网络访问。
• 判断影响范围：这台机器是否接触过域控、是否已出现横向行为。
• 根据影响范围决定隔离策略，避免业务中断扩大化。
• 最后再修复漏洞、清理异常账号和持久化项，并恢复系统。

这个过程里，我最想提醒的是“先保证据后断网”。很多团队一发现告警就急急忙忙断网，结果攻击者留下的临时工具被安全软件自动清理，关键上下文全部丢失，后续溯源无从谈起。

7.5 红蓝配合：把攻防经验变成常态机制

成熟的安全团队会把内网渗透演练当作常规机制，而不是一年一次的运动式行动。红队发现问题，蓝队修复并验证，然后过一段时间红队再测同一类问题，形成闭环。这种做法不需要很复杂的平台，一个共享缺陷跟踪表、每季度一次攻防复盘会，就能让团队整体水平逐步提升。

具体来说，每次演练结束后，把红队的路径图和蓝队的检测日志放到一起对比，产出一份“检测差距清单”。哪些步骤看得见，哪些步骤完全隐形，一目了然。下一次演练优先围绕这些差距设计场景，直到检测覆盖率达到团队预期的九成左右。

8. 学习路线：从零基础到能上手的实操路径

8.1 分阶段学习建议

内网渗透基础覆盖的知识面很宽，但路径可以很清晰。我按顺序给你一个可执行的学习路线：

• 阶段一：网络基础与Windows系统管理。先熟悉IP、路由、DNS、端口、防火墙等概念，再学会Windows账号管理、组策略、服务配置。这个阶段不需要任何“黑客工具”。
• 阶段二：AD与域环境搭建。自己动手在虚拟化环境里搭建一台域控，加两台工作机，练习账号管理、域策略下发、常见认证流程。
• 阶段三：日志与流量分析。学会查看Windows事件日志、PowerShell日志和网络抓包，理解每个认证过程的log长什么样。
• 阶段四：在靶场内演练信息收集与权限提升。用自己搭好的环境模拟从低权限到高权限的过程，注意每次动作后检查日志。
• 阶段五：横向移动与域渗透。在靶场里模拟多网段、多机器环境，练习凭据传递、远程执行、通道建立等技术。
• 阶段六：检测与响应。刻意用自己的攻击步骤做蓝队告警设计，反过来理解防守方的工作。

这个顺序最核心的思路是：先理解系统本身，再理解安全攻防。很多人一上来就找漏洞利用，结果对Windows基本管理都一知半解，最后只能停留在“会点工具但不懂原理”的层面。

8.2 自建靶场的硬件与软件选型

练内网渗透，靶场不求配置多高，但拓扑要合理。你只需要一台性能合格的电脑，用虚拟化软件跑三台以上虚拟机即可。经典角色划分如下：

别忘了给整个环境设置快照。演练过程中出现误操作或环境损坏，随时回滚能节省大量时间。内存不够时，优先减少办公机的数量，而不是砍域控配置。

8.3 一些更实用的建议

给你几条踩坑换来的经验：

第一，建一个“操作日志”文档，每次在靶场里执行的命令都记录在案。过两周复盘时你会发现，很多当时看不懂的报错和日志，在你多走几遍流程后都迎刃而解。第二，不要沉迷工具界面，多研究工具背后的参数与原理。比如一个扫描结果为什么有些端口扫不到，可能是因为半连接状态、防火墙丢包、源地址路由等问题。第三，尝试用原生命令完成一次完整攻击。这样做的好处是，你对系统行为的敏感度会大幅提升，将来分析日志时能更快识别异常。

最后再分享一个心得：学习内网渗透，本质上是在学习“身份、信任与边界”。你理解了域控为什么是核心目标，就理解了为什么账号权限要最小化；你理解了哈希传递为什么能成功，就理解了为什么网络隔离这么重要。把这些问题想透了，无论将来做红队还是蓝队，你都能走得更远。

我个人在实战里最大的体会是：内网渗透的基础打得牢不牢，最终拼的不是你记得多少工具，而是你能不能在一个复杂、混乱的真实网络里，快速回答出“我是谁、我能去哪、谁信任我”这三个问题。希望这篇内网渗透基础分享能帮你把根扎稳，后面的路越走越宽。