内网安全攻防：渗透测试实战指南

凌晨两点，内网某金融公司的安全安全团队发现核心数据库服务器出现异常外连。日志显示，攻防攻击者早在三天前就通过钓鱼邮件获取了办公网一台普通员工电脑的渗透实战权限——没有触发任何警报。这就是测试内网渗透的可怕之处：它不依赖高深漏洞，而是指南利用信任链的每一个薄弱环节，像蚂蚁啃食堤坝一样，内网慢慢瓦解整个内网防线。安全

真正的攻防内网渗透测试，第一步永远是渗透实战信息收集。别急着扫描，测试先翻翻DNS服务器里的指南区域传送记录，查查DHCP服务器的内网租约列表，甚至翻翻公司内部的安全共享文件夹——我见过太多企业把密码表命名为“123.xlsx”放在公共盘上。用BloodHound这类工具把Active Directory的攻防信任关系可视化，你会发现管理员组里躺着几个三年没登录过的僵尸账号，它们的权限可一点都没过期。

横向移动是门技术活，也是门艺术。拿到一台机器后，别急着提权，先看看当前用户的Token能访问哪些SMB共享。经典的Pass-the-Hash到现在依然有效，很多人以为打了补丁就安全了，但Windows 10之前的系统默认允许NTLMv1响应，抓个哈希就能横行内网。WMI和PowerShell远程执行是更隐蔽的选择——它们产生的日志量比PsExec少一个数量级，杀软通常不会拦。

域控是所有人的终极目标。但聪明的攻击者不会直接打域控，而是盯着域管理员的会话——只要某个管理员登录过你的跳板机，他的Kerberos票据就躺在内存里等你去摘。用Mimikatz导出票据时，记得先备份系统状态，否则蓝屏了没人帮你收拾残局。更优雅的做法是伪造黄金票据，只要拿到krbtgt的哈希，整个域就都是你的沙盘。

防守方也不是吃素的。现在稍微正规点的企业都部署了EDR，但EDR的盲区往往在Linux服务器和网络设备上。我做过一次测试，绕过所有Windows防护后，在一台老旧的CentOS邮件服务器上留了后门——安全团队盯了三天Windows日志，完全没发现异样。真正的内网安全需要覆盖所有资产，包括那些“没人管”的打印机和摄像头。

最后说点实在的。渗透测试报告别写成流水账，要告诉客户：你的域管账号用了弱密码，你的HR系统跟财务系统在同一个网段，你的备份账号权限比CEO还大。修复优先级排序比技术细节更重要——先解决能被互联网直接访问的漏洞，再处理内部权限过宽的问题，最后才是日志留存优化。安全不是一次性买卖，每个季度做一次模拟攻击，才能让内网防线保持肌肉记忆。

内网攻防的本质是信息差的博弈。防守方要做的不是造一座完美堡垒，而是让攻击者每一步都付出代价——记录、阻断、溯源，哪怕只能拖延十分钟，也足够让SOC团队做出响应。毕竟，真正的高手从不正面硬刚，他们只找那扇没上锁的后门。