内网渗透什么意思

内网渗透说白了就一句话：攻击者已经拿到你内网里某台机器的内网控制权，然后以这台机器为跳板，渗透什意思继续往里打，内网直到摸到最核心的渗透什意思资产。注意，内网前提是渗透什意思"已经进来了"。很多人把内网渗透和外网打点混为一谈，内网其实完全是渗透什意思两个阶段的事。外网打点是内网你从公网找一个口子撬进来，内网渗透是渗透什意思你进来之后怎么从"一间房"走到"整栋楼"。

我见过太多人把精力全花在外网漏洞上，内网觉得拿下一个webshell就万事大吉。渗透什意思真实的内网攻防里，webshell只是渗透什意思入场券。你拿下的内网那台机器大概率在DMZ区，或者是一台对外提供服务的边缘业务机。它可能连域都没加，上面跑着一个老旧的Tomcat，权限还是www-data。离核心数据库、域控、财务系统还隔着好几层网络分区和防火墙策略。

那内网渗透具体在做什么？拆开看，大致是这么几件事。

第一件事是信息收集，但在内网里做信息收集跟外网完全不是一个路数。外网你扫端口、查指纹、翻旁站。内网里你更关心的是：这台机器在哪个网段、能不能通其他段、有没有域环境、当前用户是谁、有没有保存的凭据。一条ipconfig /all加上net view，有时候比扫一百个端口管用。我之前看一个案例，攻击者拿下入口机之后啥也没干，就先翻了翻浏览器的保存密码，直接捞到一个运维的域账号。后面的事就顺了。

拿到凭据之后就是横向移动。这是内网渗透里最核心的环节。你手上有一个普通域用户的口令，怎么变成域管的权限？路径有很多条。Kerberoasting、AS-REP Roasting、委派攻击、ADCS滥用、NTLM Relay……这些名词背后都是具体的协议缺陷和配置失误。比如Kerberoasting，本质就是域里任何用户都能请求任意注册了SPN的服务账号的TGS票据，而这张票据是用服务账号的NTLM hash加密的。你把它拿回来离线爆破，弱口令一碰就碎。

横向移动的手段也在变。早些年大家用PsExec、WMI、SMB共享传文件。现在EDR和流量检测越来越细，这些老手法很容易触发告警。所以有了"无文件落地"的思路，比如用WinRM执行命令、用DCOM远程调用、甚至直接活在内存里。工具也在迭代，Cobalt Strike的beacon、Impacket套件、Rubeus，各有各的适用场景。

还有一条线是权限维持。你打进内网了，但对方可能随时发现异常、改密码、封端口。所以攻击者会留后门。常见的有金票据、银票据、Skeleton Key、DSRM后门、SSP注入。金票据特别狠——你拿到krbtgt的hash之后，可以伪造任意用户的TGT，有效期最长十年。就算域管把密码全改了，只要krbtgt没重置两次，这个后门就一直在。

说到防御，内网渗透能成功，根子上往往不是某个漏洞多严重，而是网络架构本身给了太多"默认信任"。域环境里，普通用户能查询大量信息，服务账号密码常年不换，同一套本地管理员密码铺满所有机器。攻击者只要找到一台机器上的本地管理员hash，就能撞开一大片。微软的LAPS就是为了解决这个问题，但很多企业没部署，或者部署了没管好。

我个人的判断是，内网渗透的难度在下降，不是因为攻击技术变强了，而是因为企业内网的复杂度在上升。云、容器、混合办公、BYOD，边界越来越模糊。以前你守住防火墙就行，现在员工在家里连VPN进来，那台笔记本可能早就中了木马。攻击面从"一面墙"变成了"一张网"，每个节点都可能是入口。

所以别把内网渗透当成一个孤立的技术环节。它是一整套从 foothold 到 domain dominance 的操作链条，涉及信息收集、凭据窃取、横向移动、权限提升、持久化。每一步都有成熟的工具和手法，也有对应的检测和防御思路。理解它，不是为了去攻击谁，而是为了知道自己网络里哪些地方经不起推敲。