局域网横向渗透

凌晨两点，局域办公室的网横灯还亮着。攻击者早已离开，向渗但痕迹留在那台财务电脑的局域进程列表里——一个伪装成svchost.exe的进程，正悄悄向隔壁服务器的网横445端口发送探测包。这不是向渗电影，是局域某次真实安全演练的切片。横向渗透的网横本质，就是向渗攻击者拿下第一台主机后，把它当跳板，局域像螃蟹一样在内部网络横着爬，网横寻找更值钱的向渗目标。

第一台机器往往是局域最薄弱的。可能是网横前台小姐姐的电脑，装了破解版Office，向渗或者某个离职员工的账号还没注销。攻击者拿到这点权限后，并不会急着翻文件，而是先跑一条命令：net view /domain。就这么简单，整个内网的主机列表像菜单一样摊开。紧接着是arp -a，看谁在跟这台机器频繁通信——通信多的，八成是文件服务器或者域控。

真正让我后背发凉的，是攻击者利用Pass-the-Hash的那一步。他不需要知道明文密码，只要从内存里dump出哈希值，就能直接冒充合法用户。Windows的NTLM认证有个老毛病——它信任哈希本身。这意味着，哪怕密码复杂到没人记得住，只要哈希泄露，横向移动就跟拿钥匙开自己家门一样顺畅。我见过一个案例，攻击者用域管的哈希，在十分钟内从一台普通工作站跳到了域控制器，全程没触发任何告警。

内网里的服务端口更是重灾区。运维图省事，给所有服务器开了同样的本地管理员密码——行话叫“萝卜白菜，各有所爱”。攻击者扫到一台开了3389的机器，用已知密码试一下，中了。然后他顺手用wmic /node:192.168.1.20 process list查看远程进程，发现那台机器上跑着ERP系统。接下来就是经典的PsExec远程执行，一条命令落地，后门就种下了。整个过程不到五分钟，日志里只留下几条看起来正常的远程管理记录。

更隐蔽的手法藏在DNS和SMB里。攻击者会修改本机hosts文件，或者用net use映射一个看似无害的网络驱动器。当你看到某台机器频繁访问一个名字像“print-server”的地址时，别急着忽略——那可能是个伪造的SMB服务器，正等着截获其他机器传来的凭证。我有个同事做过实验，在内网放一个假共享文件夹，三天内捕获了二十多个明文密码，全是同事手滑输入的。

防御方不是没招，但总有漏网之鱼。分段网络能挡住一部分，可一旦攻击者拿到VPN权限，内网就像剥了壳的鸡蛋。日志审计有用，但多数企业根本没开审核策略，连谁登录了域控都不清楚。真正有效的做法是限制本地管理员权限，定期轮换机器账号密码，还要盯着异常的服务创建事件——事件ID 7045，每次看到都该警觉。

那次演练结束后，我们给客户提了三条硬性建议：关掉不用的RDP端口，强制使用LAPS管理本地管理员密码，还有，监控内网里的net view和tasklist命令——这些看似无害的查询，往往是横向渗透的第一声脚步。攻击者不怕你网络大，就怕你每条路都亮着灯。