拿到一台不出网的内网Windows Server 2012，没有公网IP，渗透没有域管权限，工具只有一个普通域用户。内网我用Mimikatz抓了本地明文密码，渗透发现这台机器上还登录过一个运维账号——他的工具凭据在LSASS里躺着。这就是内网内网渗透最真实的起点：你永远不知道哪个不起眼的凭证能撬开整张网。

很多人对内网渗透工具的渗透理解停留在"扫端口、打漏洞"的工具层面。其实真正干活的内网时候，信息收集和横向移动才是渗透消耗时间最多的环节。BloodHound是工具我最常用的工具之一，它把AD域里的内网用户、组、渗透计算机、工具GPO之间的关系画成一张图。你不需要手动去猜"这个用户对那台机器有没有管理权限"，BloodHound直接告诉你最短攻击路径。有一次我对着一个两百多台机器的域跑了一遍，发现从普通域用户到域管只需要三步：控制一个Helpdesk组成员，利用他对某台文件服务器的本地管理员权限，再从那台服务器上抓到域管的会话令牌。整条链路在BloodHound里是亮红色的。

凭证收集方面，Mimikatz依然是绕不开的存在。它的sekurlsa::logonpasswords能直接从内存里读出明文密码和NTLM哈希。但现在的杀软对Mimikatz的特征检测很成熟，直接上传exe基本等于自曝。我的做法是用Procdump先把lsass进程dump下来，再把dmp文件拖回本地用Mimikatz离线解析。Procdump是微软签名的工具，落地时不会触发告警。这个组合用了好几年，稳。

横向移动的工具有很多选择。PsExec经典但动静大，会在目标机器上创建服务。WMI更隐蔽一些，执行完命令不留文件。我偏爱Impacket套件里的wmiexec.py，Python写的，跨平台，支持哈希传递。命令格式很直接：wmiexec.py -hashes :NTLMHASH domain/user@target。拿到一个shell之后，先whoami /priv看权限，再net group "Domain Admins" /domain确认目标。别急着扫全网，先把手头这台机器的信息榨干。

隧道和代理是内网渗透的血管。不出网的环境里，我通常用frp或者Stowaway做 socks5 代理，把流量从内网一层层转发出来。Stowaway的好处是支持多级级联，A连B，B连C，最终从C出网。配置的时候注意加密和心跳间隔，默认参数在某些IDS面前跟裸奔没区别。还有一点，代理链路越长越不稳定，能直连就别绕路。

说到具体案例，去年有个项目，目标内网用了LAPS（本地管理员密码解决方案），每台机器的本地admin密码都不同且定期轮换。常规的哈希传递打不动。后来发现他们有一台跳板机没有部署LAPS，而且跳板机的本地admin密码和域内某服务账号密码相同。从那个服务账号的SPN入手，用Kerberoasting拿到哈希，离线破解出明文，再登录跳板机，最后从跳板机的内存里抓到了域管的凭据。整个过程没有任何漏洞利用，全是配置疏忽和密码复用。工具只是放大器，真正决定成败的是你对目标环境的理解。

内网渗透工具的选择没有标准答案。Cobalt Strike功能全但贵且特征明显，Metasploit模块多但笨重，Sliver和Havoc这些新兴C2在隐蔽性上做了不少改进。我的建议是：手上至少熟练两套C2，一套用于常规操作，一套备用。别把所有鸡蛋放在一个篮子里，也别迷信某个工具的"免杀"能力——今天免杀不代表明天免杀。真正靠谱的是你对协议、认证机制和系统行为的理解，工具只是把这些理解变成可执行的动作。