监控画面里，渗透试视我盯着那个红点已经快四十分钟了。操考它躲在目标服务器的渗透试视443端口后面，像一只假装冬眠的操考刺猬。汗水顺着防滑手套的渗透试视边沿渗进指缝，我不得不停下来，操考把右手在裤腿上蹭了蹭。渗透试视

这是操考渗透二级实操考试的最后一关，内网横向移动。渗透试视前面三关我用了两个半小时，操考比预估快了些，渗透试视但恰恰是操考这份快，让我在第三关结束时犯了个低级错误——把反弹shell的渗透试视监听端口设成了8080，结果被靶场的操考安全设备直接拦了。考官在玻璃窗外头咳嗽了一声，渗透试视我听见笔尖在评分表上划过的声音。

考场里空调开得很足，但键盘还是被我的汗浸得发粘。第四关的目标是拿下一台域控服务器，我手里只有一台普通员工主机的权限，而且这台主机刚被我用烂了三个提权exp，日志里全是失败记录。得换思路。

我把目光从终端移开，重新翻看前几关收集的信息。第三关那台web服务器上，我顺手翻过它的hosts文件，里面有个不起眼的内网域名：fileserver.internal。当时没在意，现在回想起来，这个域名对应的IP地址段，和域控所在段只有两个网段之隔。我试着从当前主机ping了一下，通了。

速度要快，但手不能抖。我决定用SMB共享的方式把探测工具传过去，先看看fileserver上有没有域管的登录脚本。很多运维图省事，会把域管密码写在批处理里。运气不错，fileserver的共享目录对当前用户开放读权限，我在一个名为“备份”的文件夹里找到了一份名为“sync.bat”的文件。

打开一看，里面赫然写着`net use Z: \\dc01\c$ /user:admin /password:Passw0rd!2024`。那一刻我差点笑出声，但随即又紧张起来——这密码太规整了，像是故意留的陷阱。可考试时间只剩四十分钟，我赌一把。用这组凭据尝试连接域控的C盘共享，竟然成功了。

接下来的操作必须像手术刀一样精准。我没有直接去拿flag，而是先查看域控的计划任务，果然有一个名为“Maintenance”的任务，以SYSTEM权限运行，每五分钟触发一次。我修改了它的执行命令，指向我上传的一个伪造的dll文件，然后静静等待下一次触发。

三分钟后，任务执行，反弹shell如期而至。屏幕上跳出`NT AUTHORITY\SYSTEM`的提示符时，我长出了一口气。flag文件就放在桌面上，文件名是“flag.txt”。我把它拷贝出来，校验哈希，提交答案——用时3小时47分钟，离考试结束还有13分钟。

考官进来的时候，我正靠在椅背上揉眼睛。他没说话，只是看了眼屏幕上的哈希值，然后在评分表上勾了几笔。走出考场时我才发现，后背的T恤已经湿透了，空调风吹过来，凉得人直打激灵。

后来复盘这次考试，最关键的转折点其实是那个hosts文件。很多人在第一关拿到权限后就急着往深处打，忘了回头翻翻那些看似无关的配置信息。渗透测试这事儿，有时候不是看你攻得有多猛，而是看你收集的信息有多细。那些藏在角落里的域名、共享路径、甚至一个不显眼的计划任务名称，都可能成为撬动整个内网的支点。

当然，运气也占了份量。要是那个sync.bat文件不存在，或者密码是假的，我可能就得在最后半小时里重新想办法。但考试就是这样，它考验的不只是技术储备，还有在压力下快速判断取舍的能力。你永远不知道下一秒会不会遇到一个故意设置的蜜罐，但你知道，时间一直在走。

(责任编辑：休闲)