从外网打点到域控突破：内网渗透实战链路解析

当你已经熟练掌握了 SQL 注入、XSS 等 Web 漏洞挖掘技巧，并成功拿到了一台外网服务器的 Shell 时，真正的挑战才刚刚开始。对于很多安全从业者而言，从“单点突破”到“内网横向移动”，再到最终拿下域控制器（Domain Controller），是技术进阶的分水岭。内网渗透不仅仅是工具的堆砌，更是对活动目录（AD）架构、认证协议以及攻防博弈逻辑的深度理解。本文将基于一个典型的多机内网靶场环境，梳理从信息收集到域控突破的完整攻击链，并兼顾蓝队视角的防御思考。

内网信息收集与存活主机探测

进入内网后的第一步绝非盲目扫描，而是精准的信息收集。在获取初始权限后，首先要明确当前主机在网络中的位置、所在网段以及信任关系。在 Linux 环境下，可以通过 ip addr 或 ifconfig 查看网卡信息；若是 Windows 主机，ipconfig /all 能提供更详细的 DNS 和域信息。

确定网段后，需要进行存活主机扫描。传统的 nmap -sn 虽然经典，但在面对开启了防火墙的内网主机时容易失效。此时，结合 ICMP、TCP SYN 以及 ARP 请求的综合扫描策略更为有效。在实际操作中，我们常利用已控主机作为跳板，使用 fscan 或 masscan 对内网网段进行快速探测，识别出开放了 135、139、445 等关键端口的主机。这些端口往往意味着 SMB 服务正在运行，是后续横向移动的重要入口。同时，通过 net view 或查询 LDAP 服务，可以快速勾勒出域内的计算机列表和用户组结构，为后续攻击绘制初步的“作战地图”。

凭证窃取与 Mimikatz 核心原理

在内网中，权限的提升往往依赖于高价值凭证的获取。Windows 系统的 LSASS（Local Security Authority Subsystem Service）进程负责处理用户登录和安全策略，用户的明文密码、NTLM Hash 以及 Kerberos Ticket 都可能驻留在这个进程的内存中。

Mimikatz 是这一领域的标志性工具，其核心原理是直接读取 LSASS 进程的内存空间。当管理员或其他高权限用户登录过该机器时，Mimikatz 可以通过 sekurlsa::logonpasswords 命令提取出明文密码或 Hash 值。值得注意的是，随着 Windows 10/11 及 Server 版本的安全加固，默认启用了 Credential Guard，这使得直接转储变得困难。因此，在实际操作中，可能需要先通过关闭保护机制、利用驱动漏洞或使用无文件攻击技术（如反射式 DLL 注入）来绕过防御。一旦获取到域管理员的 Hash，内网的大门便实质上已被打开。

哈希传递攻击与横向移动

拿到 Hash 后，无需费力破解明文，可以直接利用“哈希传递”（Pass the Hash, PtH）技术进行横向移动。PtH 利用了 NTLM 认证协议的缺陷：服务端只验证客户端提供的 Hash 值是否正确，而不关心是否拥有对应的明文密码。

在实战中，我们可以使用 Impacket 工具集中的 psexec.py 或 wmiexec.py，配合获取到的 Administrator Hash，直接远程执行命令或建立会话。例如，通过 wmiexec.py administrator@<目标 IP> -hashes <LM>:<NTLM> 即可在不输入明文密码的情况下获得目标主机的 System 权限。这种方式的隐蔽性较强，因为它复用了合法的管理员账户行为，产生的日志特征与普通远程管理操作高度相似，给蓝队的检测带来了极大挑战。

域环境分析与 Cobalt Strike 联动

当控制了多台内网主机后，需要理清复杂的域信任关系。此时，BloodHound 成为了不可或缺的分析利器。通过在受控主机上运行 SharpHound 收集器，可以抓取域内的用户、计算机、组、会话以及本地管理员权限等关系数据，并导入 Neo4j 数据库进行可视化分析。BloodHound 能够自动计算出最短攻击路径，比如指出哪台非关键服务器存在到域控的间接管理权限，从而指导攻击者以最小代价直达核心。

在战术执行层面，Cobalt Strike（CS）提供了强大的协同作战能力。将 CS Beacon 植入内网主机后，可以利用其内置的 Token 窃取、端口转发以及 PsExec 模块，结合 BloodHound 分析出的路径，快速在域内扩散。CS 的 Malleable C2 配置文件还能模拟正常的 HTTPS 流量，有效规避流量审计。通过 CS 的图形化界面，攻击者可以直观地管理多个会话，实现“一点突破，全网掌控”。

蓝队视角：日志分析与应急响应

攻防本是一体两面。在红队演练的同时，蓝队必须具备敏锐的威胁感知能力。针对上述攻击链，关键的检测点在于异常的身份验证行为和进程活动。

首先，LSASS 进程的异常访问是高危信号。任何非系统核心组件对 LSASS 的内存读取操作都应触发告警，尤其是来自未知进程或非标准系统路径的访问。其次，横向移动产生的日志特征也值得关注。虽然 PtH 攻击难以通过密码错误日志发现，但同一账户在短时间内从不同 IP 发起的 4624（登录成功）事件，特别是类型为 Network 或 ClearText 的登录，往往暗示着横向移动的发生。此外，BloodHound 收集器运行时会产生大量的 LDAP 查询流量，监控域控上的异常 LDAP 搜索请求（如枚举所有计算机对象）是发现侦察行为的有效手段。

在应急响应阶段，一旦确认失陷，应立即隔离受控主机，重置域内所有高权限账户密码，并清除潜在的持久化后门（如计划任务、注册表启动项、WMI 订阅等）。通过对内存镜像的分析，可以还原攻击者使用的具体工具和命令参数，为后续的溯源和加固提供依据。

内网渗透是一场关于信息不对称的博弈。从最初的信息收集到最终的域控突破，每一步都需要对系统底层机制的深刻理解。而对于防御者而言，构建完善的日志审计体系、实施最小权限原则以及定期进行红蓝对抗演练，则是筑牢内网安全防线的关键所在。只有在不断的实战复盘中打磨技术，才能真正掌握网络安全的主动权。