内网信息收集

凌晨两点，内网某企业安全工程师盯着终端上一条横向移动的信息告警，溯源时发现攻击者早在三天前就摸清了内网所有域管理员的收集登录习惯——从门禁系统到VPN日志，从共享文件夹到打印机缓存。内网这提醒我们：内网信息收集的信息深度，往往决定攻防对抗的收集胜负。

攻击者进入内网后，内网第一件事不是信息提权，而是收集“看”。他们像房产中介一样，内网先摸清整个楼层的信息户型图。IP段扫描只是收集开胃菜，真正有价值的内网是那些被运维人员遗忘的角落——测试环境的数据库备份、离职员工的信息域账号、挂在旧服务器上的收集运维脚本。我曾见过一次攻防演练，红队通过某台打印机的Web管理界面，直接读取了域内所有共享文件的访问记录，那台打印机居然连着域控的DNS缓存。

收集的层次有讲究。底层是网络拓扑，用ARP扫描和路由追踪就能拼出大致结构，但别忽略VLAN间ACL的盲区。中层是主机信息，Windows系统要翻注册表里的RecentDocs和UserAssist，Linux则要查bash_history和/var/log/wtmp——这些文件里藏着运维人员的操作痕迹。最上层是身份与信任关系，用BloodHound拉出域对象间的ACL路径，比手动查组策略高效得多。但工具不是万能，某次实战中，我靠翻某位离职员工的Outlook缓存，找到了他转发给私人邮箱的域管理员密码重置流程文档。

有个常被忽视的入口是内网文档管理系统。多数企业把知识库权限设得过于宽松，员工习惯把账号密码贴进wiki页面。我用爬虫抓取公司内部Confluence所有页面，再配合OCR识别截图里的敏感信息，半小时就拼出了VPN拨号账号和WiFi的WPA2密钥。另一个冷门渠道是Windows错误报告(WER)缓存，崩溃转储文件往往包含内存中的明文凭据——虽然提权工具也能抓，但WER文件能留存数周，适合长期潜伏。

日志文件是金矿，但挖矿前得先分清“含金量”。安全设备日志太吵，域控日志又太敏感，反而DHCP服务器的租约记录能还原整个内网的设备指纹——哪台机器在什么时间段上线，连着哪个交换机端口，配合MAC地址厂商信息，能拼出一张动态资产图。我甚至试过从打印服务器的任务队列里，推断某部门最近在赶什么项目——这算情报收集的“软维度”了。

别忘了物理侧的信息泄露。内网机房的电磁辐射、墙面网口旁的便利贴、会议室白板上没擦干净的拓扑图——这些不是段子，我在一次授权评估中，真从某公司前台电脑的回收站里恢复了内网DNS服务器的配置文件。数字世界和物理世界的边界，在信息收集阶段其实是模糊的。

收尾时得注意痕迹清理。改过的时间戳要还原，清掉的日志要补上假记录，别让蓝队从你访问过的文件上反推路径。但更关键的是，把收集到的信息交叉验证——ARP表、DNS缓存、域控事件ID 4624的登录记录，三者对不上时，可能意味着有另一支攻击队也在活动，或者蓝队已经布了蜜罐。内网收集的终点不是数据量，而是建立一张相互验证的信息网，让每一次横向尝试都有据可依。

说到底，内网信息收集是门手艺活，工具能加速，但决定成败的是对业务逻辑的理解。你摸清了财务系统的审批流，自然知道哪个节点的账号权限最肥；你看懂了运维的交接班记录，就能推测出哪台服务器今晚会重启。这种“读心术”式的收集，比单纯扫端口有用得多——毕竟，最坚固的防线，往往是从内部信息的裂缝里被撕开的。