内网渗透编程

拿到一台不出网的内网内网主机，你手里只有一条SMB命中的渗透shell，权限还是编程IIS的。这时候别急着提权，内网先看它能不能通内网其他段。渗透去年有个项目，编程客户内网做了严格的内网东西向隔离，但运维图省事，渗透在DMZ的编程Web服务器上开了到办公网的RDP白名单。我们就是内网靠这个口子，用frp把流量从DMZ跳进了办公网，渗透最后摸到了域控。编程

内网渗透编程的内网核心不是写多复杂的工具，而是渗透把协议摸透，用代码去填手工操作的编程坑。比如横向移动时，你不可能每次都用mimikatz去抓密码再psexec。写个Python脚本，把impacket的SMBExec和WMIExec包一层，批量扫C段，遇到能通的直接丢命令过去，效率比手工高十倍。代码不长，关键是要处理异常——目标关机、防火墙拦截、凭据失效，这些都得在try里接住，不然脚本跑一半就崩。

再说隧道。很多人一上来就上frp、nps，其实没必要。如果只是临时传个文件，用Python的socket写个端口转发，二十行代码搞定。我习惯在目标机上跑一个反向shell，再用socat做多级跳板。有一次客户内网禁了ICMP，但DNS出站没管，我们就把C2流量封装成DNS查询，用dnscat2硬生生把数据传了出来。编程的意义就在这：协议是死的，人是活的。

权限维持这块，别老盯着注册表Run键。写个计划任务，触发条件设成“用户空闲时”，比啥都隐蔽。或者用WMI事件订阅，把恶意代码绑在系统启动后60秒执行。这些操作都能用PowerShell或C#写成脚本，编译成exe丢过去，比手工点鼠标稳。但要注意，代码里别留明显的字符串特征，比如“mimikatz”“beacon”这种，杀软一抓一个准。我习惯把关键字符串拆开，运行时再拼接。

信息收集是编程最能省事的地方。写个脚本扫内网，把开放445、3389、5985的机器全列出来，再拿收集到的凭据去撞。撞的时候别用单线程，开50个协程，但记得加延时，不然交换机直接给你端口shutdown。有一次我扫太快，客户网管打电话问“你们是不是在搞压力测试”，尴尬。

最后说个坑。内网渗透编程最怕的就是“想当然”。你以为目标开了WinRM，结果5985端口不通；你以为凭据能复用，结果域管改了密码。所以代码里一定要有回退逻辑——SMB不通就试WMI，WMI不行就试DCOM，总有一条路能走。写工具的人得比手工渗透的更懂协议细节，不然脚本跑不起来，你还得回去翻RFC文档。

说白了，内网渗透编程就是把手动操作里那些重复、易错、耗时的环节自动化。但别为了编程而编程，能一条命令搞定的，别写一百行脚本。工具是拿来用的，不是拿来炫的。