# 内网渗透全景：从外网入口到域控的过程拆解｜红蓝对抗演练完整版 > 整体链路：**外网打点（初始访问）→ 拿下第一台立足点主机 → 本机提权 & 凭据抓取 → 内网资产测绘 & 横向移动 → 域信息收集 → 域内权限提升 → 域控拿下 → 域持久化 → 痕迹清理** > 对应MITRE ATT&CK完整杀伤链，演练标准红队全流程，每一步附带蓝队检测点。 ## 阶段1：外网打点，获取初始访问（边界突破） 目标：在外网找到突破口，拿到内网**第一台机器（立足点）** 常见入口（演练高频排序）： 1. 弱口令：VPN、OA后台、Web管理、SSH/RDP公网暴露 2. Web框架漏洞：Shiro、Struts2、ThinkPHP、Spring漏洞RCE 3. 中间件漏洞：WebLogic、Tomcat、Nginx漏洞 4. 钓鱼邮件（鱼叉钓鱼），员工执行恶意后门，主机上线C2 5. 数据库未授权访问：Redis、ES公网暴露 ✅ 阶段成果：拿到一台机器的Webshell / C2 Beacon会话，一般是员工工作站或者外网DMZ区服务器。 > 注意：DMZ服务器很多**不在域内**，需要从DMZ向内网（内网网段）进行二层突破。 🔵蓝队关注点：边界WAF、邮件网关、外网资产漏洞扫描、高危端口收敛。 ## 阶段2：立足点主机本地提权 + 凭据窃取 拿到普通用户shell，**本机提升权限，抓取凭证，为横向做准备** 1. 信息收集：查看系统版本、网卡、网段、进程、用户、域环境判断（`systeminfo`、`whoami /all`、查看DNS、域环境变量） 2. 本地提权： - Linux：sudo滥用、SUID、Crontab、内核漏洞、Docker组 - Windows：服务漏洞、计划任务、AlwaysInstallElevated、内核漏洞 3. 提权到管理员权限后，抓取凭据： - dump lsass内存，获取域账号NT Hash、Kerberos票据（mimikatz、procdump） - 读取本地SAM、注册表凭证、浏览器保存密码、配置文件明文账号 ✅阶段成果：获取域账号哈希/明文，确认当前环境是域环境，得到内网网段信息。 🔵蓝队检测：lsass转储行为、异常提权命令、进程审计4688。 ## 阶段3：内网资产测绘、网段探测 在立足点主机对内网进行扫描，摸清内网拓扑 1. 网段探测：查看本机网卡、路由、ARP缓存，识别多个内网子网 2. 存活主机探测：arp扫描、ping扫描、端口扫描（CrackMapExec、nmap） 3. 服务识别：SMB(445)、RDP(3389)、WinRM(5985)、数据库、Web服务 4. 域信息收集：查询域控名称、域控IP、域用户列表、域组、GPO、SYSVOL（域共享） > 重点：SYSVOL共享经常存在脚本，里面存放明文账号密码，经典域信息泄露点。 ✅阶段成果：拿到内网主机清单、域用户清单、找到潜在高价值目标（管理员工作站、文件服务器、域控） 🔵蓝队检测：内网大量ICMP、端口扫描行为、内网异常横向探测流量。 ## 阶段4：内网横向移动（凭据复用，扩散立足点） 利用上一步抓取的账号/哈希/票据，在内网横向跳转，**向高价值主机靠近** 主流横向手段： 1. PtH哈希传递：NTLM哈希，SMB/WinRM横向登录主机 2. 密码喷洒：尝试弱口令，批量测试域账号 3. PtT票据传递：复用Kerberos内存票据 4. 凭证明文直接登录RDP、SMB、WinRM > 优先横向目标：**域管理员日常登录的员工工作站**（域管登录过的机器内存会留下域管凭据） ✅阶段成果：拿下更多内网主机，尝试抓到**域管理员账号凭据**。 🔵蓝队检测：异常跨主机SMB登录（EventID4624，登录类型3），同一账号多主机同时登录。 ## 阶段5：域内权限提升，获取域管理员权限 拿到普通域用户账号 → 提升到域管理员，两条路线： 路线A：抓到域管理员凭据（最常见） 域管理员登录普通工作站，红队dump该主机lsass，拿到域管理员NT Hash，直接使用PtH。 路线B：域内漏洞/配置缺陷提权 1. GPO漏洞、组策略配置错误 2. 域内服务账号权限滥用 3. DCSync攻击（拿到域账号复制目录权限，直接从域控拉取全部域账号哈希） > DCSync：不需要登录域控主机，只要账号拥有目录复制权限，远程向域控请求全部账号哈希，演练高频。 ✅阶段成果：拿到域管理员权限 / 拥有DCSync权限账号。 ## 阶段6：拿下域控，完全控制整个域 两种方式： 1. 域管理员凭据PtH横向登录域控主机，直接登陆域控 2. DCSync远程导出域内所有账号哈希，无需登陆域控主机，间接接管域 > 一旦拿到域控权限：可以读取全部域账号、修改域策略、创建后门账号、抓取全部用户凭据。 ## 阶段7：域持久化（维持域控制权） 红队防止管理员重置账号、查杀后门导致丢失权限，建立长期后门： 1. 黄金票据Golden Ticket（krbtgt哈希伪造TGT） 2. 影子账号、SID历史注入，隐藏高权限账号 3. 组策略后门、ScheduledTask计划任务持久化 4. DSRM域控还原模式账号后门 5. 后门服务、注册表持久化 ## 阶段8：痕迹对抗（可选） 清理本地日志、删除命令历史； > 局限性：无法清除远端SIEM、流量镜像、WAF、防火墙独立日志。 ## 完整链路一句话串联 外网打点拿到第一台机器 → 本机提权dump凭据 → 内网扫描测绘 → PtH/票据横向扩散，寻找域管理员凭据 → 获取域管权限/DCSync → 拿下域控，部署域持久化后门。 ## 蓝队全局防御思路（全链路防守） 1. 边界收敛：减少外网暴露资产，高危端口禁止公网开放，MFA加固VPN、外网后台 2. 最小权限：**域管理员账号禁止登录普通员工工作站**（最核心防护，阻断凭据被dump） 3. 终端防护：LSA保护，EDR拦截lsass转储、监控异常进程创建 4. 日志集中：所有系统日志、安全日志远端SIEM存储，审计登录行为 5. 域安全：定期轮换krbtgt密码、审计GPO、监控DCSync、异常Kerberos票据告警 6. 常态化自查：定期内网弱口令扫描、资产测绘、漏洞巡检 ## 演练高频易错点 1. DMZ区服务器**不一定加入域**，拿到DMZ机器不等于进入内网域环境，还需要跨网段横向 2. 拿到普通域用户≠域管理员，很多人误以为进域就可以直接打域控 3. DCSync**不需要登录域控主机**，仅需要账号拥有目录复制权限 4. 黄金票据需要krbtgt哈希，属于域级别持久化，不是主机后门 --- 你想要我把这套全流程压缩成**红队演练汇报PPT版简短摘要**，还是整理对应的**蓝队检测告警清单**？