内容摘要：一台没打补丁的Windows Server 2008，开着3389端口，密码是Admin123。从外网扫描到拿下域控，整个过程不到四个小时。这不是电影情节，是2019年我帮一家物流公司做内部演练时的真

一台没打补丁的网络Windows Server 2008，开着3389端口，渗透密码是技术Admin123。从外网扫描到拿下域控，网络整个过程不到四个小时。渗透这不是技术电影情节，是网络2019年我帮一家物流公司做内部演练时的真实记录。网络渗透的渗透核心从来不是炫技，而是技术找薄弱点——就像小偷不撬保险柜，只找没关严的网络窗户。

信息收集阶段最枯燥，渗透也最致命。技术很多人一上来就掏Nmap扫端口，网络其实先该翻的渗透是公开信息。目标公司官网的技术“联系我们”页面，HR在招聘网站挂的JD里写了“熟悉Struts2框架”——好，这等于告诉你他们可能有未修复的S2漏洞。我习惯用Whois查域名注册邮箱，拿邮箱去社工库碰运气，有时候能直接撞出VPN账号。别小看这些边角料，去年某次测试，我就是靠目标员工在GitHub上泄露的测试环境API密钥，直接摸进了内网。

漏洞利用环节，工具的选择取决于目标环境。Metasploit确实方便，但动静太大。面对有EDR的现代系统，我更喜欢手工构造Payload。比如Log4j2那个核弹级漏洞，用JNDI注入打LDAP回连，比现成的EXP更隐蔽。有次遇到个目标，WAF把常见攻击特征全拦了，我换成DNS外带数据——把命令执行结果编码成子域名请求，绕过所有HTTP层检测。这招是从老外那学的，叫“DNS exfiltration”，实战里出奇好用。

权限维持比拿Shell更考验耐心。Windows上我偏爱注册表自启动加计划任务双保险，Linux就塞SSH公钥进authorized_keys，再改个文件时间戳。但别贪心，见过太多人留了五六个后门，结果被管理员日常巡检时发现异常进程。最稳妥的是利用合法服务——比如把WebShell伪装成正常业务接口，或者劫持DLL让系统自己加载恶意代码。某次内网渗透，我直接替换了目标OA系统的某个JAR包，重启后照样跑，管理员三个月都没察觉。

横向移动得看协议。SMB中继、WMI远程执行、PsExec，这些老方法在域环境里依然有效，前提是你得先拿到域管哈希。Kerberoasting是个好东西，普通域用户就能请求服务票据，离线爆破出服务账号密码。去年打一个金融客户，就是靠Kerberoasting拿到MSSQL服务账号，再通过数据库的xp_cmdshell提权到系统。整个过程没触发任何告警，因为所有操作都披着合法协议的外衣。

清理痕迹这事，别迷信工具。Windows事件日志用wevtutil清，Linux的bash_history直接删，但更关键的是时间线对抗。我会把恶意文件的创建时间改成和系统文件一致，用SetMace这类工具篡改NTFS的$STANDARD_INFORMATION属性。有次蓝队朋友告诉我，他们查入侵就靠对比$FILE_NAME和$STANDARD_INFORMATION的时间差——这招现在也失效了，因为攻击者开始同步修改两个属性。

渗透测试的终点不是拿到域管，是写报告。我见过太多人把Shell截图一贴就交差，客户根本看不懂。好的报告得说清楚：这个漏洞能让攻击者做什么，业务影响是什么，修复优先级怎么排。比如“SMB签名未启用”这种配置问题，要解释成“攻击者可在内网嗅探并中继管理员凭据，建议在所有域成员上强制启用SMB签名”。客户要的是解决方案，不是技术炫耀。

最后说句实在的，这行干久了会发现，最坚固的防线往往不是防火墙，是运维人员的安全意识。我见过把数据库备份放在Web目录的，也见过用生日当密码的。技术再牛，也架不住人犯懒。所以每次测试完，我都会跟客户的技术团队聊半小时，讲讲怎么从日常操作里堵住这些坑。渗透的终极目标，是让系统变得无洞可挖——虽然这理想状态永远达不到。