后渗透手法和横向渗透

攻击者拿到第一台服务器的后渗横权限，往往只是透手开始。真正危险的法和动作发生在之后——他们像幽灵一样在内网里游走，从一台机器跳到另一台，渗透直到摸到域控或数据库核心。后渗横这个过程，透手业内叫“横向渗透”，法和而后渗透则是渗透围绕它展开的一系列生存与提权技巧。说白了，后渗横前期的透手漏洞利用是敲门，后渗透才是法和进屋翻箱倒柜。

我见过一次真实的渗透红队演练，攻击者通过一个钓鱼邮件打进了财务部的后渗横老式Windows 7。那台机器几乎没打补丁，透手Mimikatz一把梭，法和明文密码直接躺在内存里。但有意思的是，他们没急着动数据库，反而先蹲了三天，记录财务人员每天登录的系统和时间。第四天凌晨，用抓到的哈希去撞运维区的跳板机，居然成功了——因为那位运维大哥在财务机器上也用了同一个密码。这哪是技术漏洞，分明是人性漏洞。

横向渗透的核心，说白了就三件事：凭证窃取、权限滥用、协议信任。凭证窃取最常见的是抓哈希和票据，Mimikatz和Rubeus是标配。但别只盯着lsass.exe进程，有些管理员会把密码明文写在脚本里、桌面txt文件里，甚至贴在显示器边上的便利贴上。你在后渗透阶段翻文件比跑工具更高效。权限滥用则靠SMB共享、计划任务、WMI远程调用这些Windows自带功能——它们本身是合法管理手段，却被用来传递恶意载荷。比如用wmicexec在远程主机上执行命令，日志里只会留下一条正常的管理记录，蓝队不仔细看根本发现不了。

协议信任这块，最典型的坑是Kerberos委派。有些开发为了省事，把服务账号设成“不受约束的委派”，意味着攻击者只要控制了这台服务，就能冒充任意用户访问其他服务。我见过一个案例，攻击者先打下一台打印服务器，利用其委派权限直接伪造了域管理员的票据，全程没碰域控一根手指头。这就像你偷了前台的门禁卡，结果发现这张卡能开整个公司的门。

后渗透里还有个容易被忽略的环节——持久化。攻击者不会只满足于临时控制，他们会给自己留后门。常见手法包括注册表自启动、计划任务、WMI事件订阅，甚至把恶意DLL注入到系统进程里。更阴的是，有些攻击者会替换合法服务的二进制文件，比如把SSH服务的可执行文件换掉，下次重启后门就自动激活。蓝队要发现这些，得靠行为基线监控，而不是单纯扫病毒库。

横向渗透的路径选择也很有讲究。多数攻击者会先找域控的IP段，然后顺着网络拓扑图一路试探。但高明的攻击者反而不急，他们会先摸清哪些机器是运维的“管理跳板”，因为跳板机通常拥有最高权限。有个朋友跟我分享过，他们攻击队在某银行内网里，先拿下一台运维监控服务器，然后蹲守管理员远程登录，用键盘记录器捕获了域管密码。整个过程没触发任何告警，因为管理员的操作看起来完全正常。

说到防御，别迷信隔离网段。内网里总有人为了图方便，把办公区和服务器区打通，或者用同一个账号在多个系统间切换。攻击者一旦拿到一个密码，就能像开挂一样横扫所有系统。真正的防御思路应该是“假设已被突破”——每台机器都视为不信任，每次登录都要二次验证，敏感操作要实时审计。但这在现实里很难做到，毕竟业务连续性优先，安全往往要让路。

最后说点个人观察。后渗透手法的演进，越来越向“利用合法功能”靠拢。攻击者不再执着于0day漏洞，而是研究如何用PowerShell、WMI、WinRM这些系统自带工具完成攻击。这让检测变得极难，因为日志看起来全是正常管理行为。蓝队得学会区分“正常的自动化任务”和“可疑的异常调用”，比如半夜三点用WMI执行PowerShell命令，这肯定不对劲，但很多企业根本没监控到这个层面。

横向渗透的本质，其实是攻击者对网络信任模型的利用。每台机器的信任关系、每个账号的权限范围、每个协议的默认行为，都是攻击者的地图。防守方要做的，就是打破这种信任——最小权限原则、及时清理过期账号、监控敏感操作。但说句实话，很多企业连资产清单都理不清，更别提做精细化的权限管控了。所以，安全这事，与其追求完美方案，不如先堵住最明显的几个窟窿。