# 内网信息收集方法论（仅用于**获得书面授权**的内部安全评估/红队演练，严禁无授权扫描探测） > 核心思想：**由点到面，分层采集；优先被动，再主动探测；先凭据，后资产；持续沉淀内网画像** > 整体链路：**主机本地信息采集 → 网段/拓扑发现 → 服务与账号收集 → 域/身份信息采集 → 业务与敏感资产梳理** ## 一\(、C\)前置原则 1. 最小探测：优先**被动收集**（读取本机本地信息\(、C\)日志\(、C\)配置），减少主动发包，降低被SIEM/NIDS发现概率 2. 留存证据：所有收集操作记录命令\(、C\)输出\(、C\)时间，符合授权范围 3. 边界约束：只扫描授权IP范围，禁止越界探测 4. 区分：信息收集目标 = 摸清网段\(、C\)存活主机\(、C\)开放端口\(、C\)账号\(、C\)域结构\(、C\)数据库\(、C\)共享\(、C\)运维入口\(、C\)业务系统 ## 二\(、C\)阶段1：单点主机本地信息收集（拿下第一台跳板机，第一步） > 不需要向外发包，最隐蔽，优先执行 ### Windows ```powershell # 基础网络信息 ipconfig /all route print arp -a netstat -ano # 域/工作组信息 systeminfo whoami /all wmic computersystem get domain # 用户\(、C\)本地组\(、C\)管理员 net user net localgroup administrators # 共享资源 net share # 进程\(、C\)已安装软件\(、C\)计划任务\(、C\)服务 ps aux tasklist /v schtasks /query /fo table wmic service get name,startname,state # 历史网络连接\(、C\)保存凭据\(、C\)RDP记录 cmdkey /list ``` 重点提取：本机IP\(、C\)网关\(、C\)DNS\(、C\)是否入域\(、C\)当前账号权限\(、C\)域名称\(、C\)本地管理员\(、C\)共享盘\(、C\)保存的凭据\(、C\)已访问过的内网IP。 ### Linux ```bash ip a ip route arp -n netstat -antulnp cat /etc/os-release id cat /etc/passwd cat /etc/group crontab -l env ``` 重点：网卡多网段\(、C\)路由\(、C\)DNS\(、C\)账号\(、C\)sudo权限\(、C\)环境变量里的密钥。 ## 三\(、C\)阶段2：网段发现 & 存活主机探测（主动探测） > 拿到跳板后，从本机路由获取网段列表，扫描内网存活主机 ### 信息来源 1. 路由表\(、C\)arp缓存（被动，优先） 2. DNS解析记录\(、C\)hosts文件 3. 扫描：ICMP ping\(、C\)TCP端口探测（慎用高频扫描，容易触发告警） 常用手段： - ARP扫描（内网最可靠，不受防火墙禁ping影响） - 端口扫描：22\(、C\)3389\(、C\)445\(、C\)135\(、C\)5985\(、C\)1433\(、C\)3306等管理/数据库端口 > 蓝队视角：大量ARP风暴\(、C\)短时间大量ICMP请求，属于内网扫描告警特征。 输出清单：存活IP列表 + 操作系统初步判断 + 开放端口清单 ## 四\(、C\)阶段3：服务\(、C\)共享与敏感入口收集 对存活主机探测端口，识别服务： - 445/SMB：文件共享\(、C\)ADMIN$\(、C\)C$，横向移动重点 - 135/5985：WMI/WinRM - 3389：RDP - 22：SSH - 1433/3306：数据库 - 80/443：Web管理后台 收集项： 1. SMB共享，可访问目录，是否允许读写 2. Web站点标题\(、C\)路径\(、C\)后台入口\(、C\)版本信息 3. 数据库版本，是否存在弱口令 4. 运维工具：宝塔\(、C\)phpmyadmin\(、C\)vcenter\(、C\)堡垒机 ## 五\(、C\)阶段4：身份 & 域信息收集（AD域环境核心） 域信息是内网评估重中之重 ```powershell # 查看域控 nslookup set type=srv _ldap._tcp.dc._msdcs.域名 net view # 查询域用户\(、C\)域组\(、C\)域管理员组 Get-ADUser / Get-ADGroupMember ``` 收集内容： 1. 域控IP\(、C\)域名称\(、C\)林信息 2. 域用户列表\(、C\)域管理员组成员（高价值账号） 3. 域组策略GPO（可提取密码\(、C\)脚本\(、C\)配置） 4. 计算机对象：所有加入域的服务器\(、C\)工作站 5. SPN服务主体名称（Kerberos，用于Kerberoast） > 被动收集：读取本机域环境变量\(、C\)LDAP查询；主动LDAP查询可批量拉域内资产。 ## 六\(、C\)阶段5：业务敏感资产梳理 - 数据库：业务库\(、C\)用户账号库\(、C\)日志库 - 存储\(、C\)NAS\(、C\)共享文件夹（文档\(、C\)配置文件\(、C\)源码\(、C\)备份） - 备份文件：`.bak`\(、C\)`.sql`\(、C\)`vhd`\(、C\)旧配置（经常存放明文账号密码） - 源码仓库\(、C\)CI/CD\(、C\)堡垒机\(、C\)监控平台\(、C\)运维管理后台 ## 七\(、C\)信息整理：内网资产画像（输出文档） 1. 网段拓扑：子网\(、C\)VLAN\(、C\)安全域划分 2. 资产清单：IP\(、C\)主机名\(、C\)OS\(、C\)开放端口\(、C\)服务版本\(、C\)角色（域控/DB/Web） 3. 账号清单：本地账号\(、C\)域账号\(、C\)管理员清单 4. 敏感资源：共享目录\(、C\)数据库\(、C\)Web后台\(、C\)备份文件 5. 信任关系：域信任\(、C\)跨域\(、C\)数据库信任\(、C\)服务器之间的信任凭据 ## 八\(、C\)收集策略分类（红队常用） 1. **被动信息收集（低告警，首选）** 读取本机内存\(、C\)本地文件\(、C\)注册表\(、C\)arp缓存\(、C\)本地历史连接\(、C\)环境变量，**不发包** 2. **半主动**：利用现有会话做LDAP查询\(、C\)SMB信息列举，使用当前已有凭据访问资源 3. **主动探测**：端口扫描\(、C\)ping扫描，发包行为，容易触发边界/主机告警，放在后期 > 最佳实践：**先被动，后半主动，最后少量主动扫描** ## 九\(、C\)蓝队对应的检测点（配套，方便写检测规则） 1. 单台主机短时间大量ARP请求\(、C\)ICMP ping sweep 2. 一台内网主机短时间访问大量IP的445\(、C\)135\(、C\)3389端口 3. LDAP批量查询域用户\(、C\)域计算机对象 4. 大量SMB列举共享操作 ## 十\(、C\)避坑要点 1. ❌ 无授权直接扫描：违法，必须有书面授权 2. ❌ 上来直接全网段大力度端口扫描：极易被捕获，触发应急 3. ❌ 只扫IP，忽略域账号\(、C\)SPN\(、C\)GPO这类高价值信息 4. ❌ 不做资产整理，信息零散，无法后续横向评估 ## 十一\(、C\)极简执行顺序速记 本地信息 → 路由/ARP存活发现 → 端口&服务识别 → SMB/共享枚举 → LDAP域信息采集 → 敏感业务资产梳理