内网渗透实战

拿下域控的内网那天晚上，我盯着屏幕上的渗透实战Mimikatz输出发了十分钟呆。倒不是内网多激动，是渗透实战没想到这么顺利——从外网打点到拿下整个内网，满打满算不到七十二小时。内网问题出在一台没人管的渗透实战打印机上。

那台HP LaserJet的内网网络配置页面还留着出厂密码，admin/admin。渗透实战我登进去翻了翻，内网发现它居然支持LDAP查询。渗透实战更离谱的内网是，它缓存了最近打印任务的渗透实战元数据，包括提交任务的内网域账号。打印机的渗透实战Web界面里有个隐藏的调试接口，能直接读内存转储。内网我拿到一个叫"svc_backup"的服务账号哈希，NTLM的。这玩意儿拿去做PTH，十分钟后我就坐在文件服务器上了。

内网渗透最怕的是心态崩。有人一进来就急着扫全网，Nmap全端口一开，IDS直接报警。我习惯先做被动信息收集——看ARP表，翻DNS缓存，读共享目录里的快捷方式。Windows网络里到处都是"面包屑"：登录脚本、组策略首选项、甚至用户桌面上的VPN配置文件。这些东西比漏洞扫描器管用多了。

横向移动有个原则：能用WinRM就别用PsExec，能用WMI就别用SMB。PsExec会在目标机器上留服务，事件日志里一抓一个准。WinRM走5985端口，流量混在正常管理里，隐蔽性好得多。我常用一个叫"SharpWSUS"的工具，利用WSUS推送恶意更新。这招狠在哪儿？域内所有机器都会主动来找你，根本不用你去连它们。

权限维持我吃过亏。有次用黄金票据，结果域控改了KRBTGT密码，票据全废。后来学乖了，Skeleton Key和DSRM双管齐下。Skeleton Key往LSASS里注入万能密码，DSRM改域控本地管理员哈希。两个都活不过重启，但重启域控？运维得先写事故报告。还有个更阴的：在AD FS服务器上偷token签名证书，这玩意儿能伪造任意用户的SAML令牌，微软自己都承认没法检测。

日志清理是个伪命题。真到那一步说明你已经暴露了。我见过有人用wevtutil清日志，结果触发SIEM告警——正常运维谁天天清安全日志？不如混进去。把恶意进程命名成"svchost.exe"，端口监听伪装成RPC动态端口，计划任务起名"MicrosoftWindowsUpdateTask"。蓝队看日志看到这种名字，眼皮都不抬一下。

最后说个反直觉的：别碰域控。很多新手拿到域管权限就手痒，登录域控看看。这一登，域控的登录日志里就多了一条来自非管理跳板机的4624事件。高级蓝队会监控所有域控的交互式登录，你前脚登，后脚就被定位。正确做法是DCSync——用域管权限从域控拉哈希，全程不登录。或者更绝的，直接改域控的ACL，给自己加个"复制目录更改"权限，以后随时DCSync，连域管密码都不用知道。

内网渗透的本质是信息差。你比防守方多知道一个共享目录，多读到一个配置文件，多连上一台没人管的打印机——这些碎片拼起来就是整个域的钥匙。工具会过时，漏洞会修补，但人对网络的疏忽永远存在。那台打印机到现在可能还在用admin/admin，谁知道呢。