用途
内网渗透测试模拟已经获得内网访问权限的攻击者或恶意内部人员。测试者从“假定失陷”位置（通常是标准域工作站或网络接口）出发，尝试横向移动、权限提升、凭据收集和数据外泄，以确定被攻陷端点的影响范围（blast radius）。
适用时机
- 开展涉及内网渗透测试的安全评估时
- 遵循相关安全事件的事件响应流程时
- 执行计划内的安全测试或审计活动时
- 通过动手测试验证安全控制措施时
前置条件
- 已签署的、明确内网范围的测试授权书（Rules of Engagement）
- 网络访问：物理以太网接口或连接内网 VLAN 的 VPN
- 标准域用户凭据（假定失陷模型）或未认证访问
- 装有 Kali Linux、Impacket、Responder、BloodHound 的测试笔记本
- 与 IT/SOC 协调监控及应急联系人
法律声明：本技能仅用于获得授权的安全测试和教育目的。未经授权对不拥有或未获书面许可的系统使用属于违法行为，可能违反计算机欺诈相关法律。
主要能力与阶段
阶段一：网络发现与枚举
初始网络侦察：使用 ip addr、ip route、/etc/resolv.conf 确认自身网络位置；用 arp-scan 扫描本地子网存活主机；用 nmap -sn 对内网网段（如 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）进行主机发现并提取存活主机；对存活主机进行 TCP 端口扫描（-sS -sV -T4）及针对 445、3389、22、数据库端口（1433、3306、5432、1521、27017）的服务专项扫描。
Active Directory 枚举：使用 NetExec（CrackMapExec）枚举 SMB 共享、用户、组；使用 ldapsearch 进行 LDAP 枚举；枚举组策略对象（GPP 密码、LSA）；使用 bloodhound-python 收集数据并导入 BloodHound GUI 进行攻击路径分析；使用 enum4linux-ng 进行传统枚举。
网络服务枚举：SMB 共享枚举（smbclient、smbmap）、SNMP 枚举（snmpwalk）、DNS 区域传送尝试（dig axfr）、NFS 枚举（showmount）、MSSQL 枚举（impacket-mssqlclient）。
阶段二：凭据攻击
网络凭据捕获：使用 Responder 进行 LLMNR/NBT-NS/mDNS 投毒并捕获 NTLMv2 哈希；使用 mitm6 进行 IPv6 DNS 接管；使用 ntlmrelayx 中继捕获的凭据；使用 PetitPotam 强制 NTLM 认证。
密码攻击：使用 hashcat 破解捕获的 NTLMv2 哈希（-m 5600）；进行密码喷洒（注意锁定策略，使用 --no-bruteforce）；Kerberoasting 针对服务账户（GetUserSPNs，hashcat -m 13100）；AS-REP Roasting 针对未启用预认证的账户（GetNPUsers，hashcat -m 18200）。
阶段三：漏洞利用与横向移动
横向移动技术：Pass-the-Hash（impacket-psexec）、WMI 执行（impacket-wmiexec）、Evil-WinRM 进行 PowerShell 远程管理、SMBExec、RDP 访问（xfreerdp）、SSH 跳板（ssh -D 配合 proxychains）。
权限提升：Windows 下使用 getsystem、local_exploit_suggester、PowerUp 检查、未加引号服务路径检查；Linux 下使用 linpeas.sh、sudo -l、SUID 文件查找、crontab 检查。
域提升：DCSync 攻击（impacket-secretsdump -just-dc，需复制权限）、黄金票据、白银票据（impacket-ticketer）、ADCS 利用（Certipy 查找与请求，覆盖 Certifried、ESC1-ESC8）。
阶段四：数据访问与影响演示
访问敏感文件共享（smbclient）、数据库访问（impacket-mssqlclient）、提取访问证明（不导出真实数据，仅写入证明文件）、记录访问链（初始访问 → Responder → NTLMv2 破解 → 横向到 WS01 → 本地管理员 → Mimikatz → DA 凭据 → DCSync → 全域失陷）。
阶段五：报告
攻击路径文档：按步骤记录攻击链，标注 MITRE ATT&CK 技术编号与影响。
发现严重性矩阵：列出发现项、CVSS 评分、MITRE ATT&CK 编号与修复建议，例如 LLMNR/NBT-NS 投毒（8.1，T1557.001，通过 GPO 禁用）、可 Kerberoast 的服务账户（7.5，T1558.003，使用 gMSA 和 25+ 字符密码）、本地管理员密码复用（8.4，T1078，部署 LAPS）、弱域密码（7.2，T1110，强制 14+ 字符并黑名单常见密码）、不受限的 DCSync（9.8，T1003.006，审计复制权限并实施分层管理模式）。
工具参考
- Responder：LLMNR/NBT-NS/mDNS 投毒
- Impacket：AD 攻击套件（secretsdump、psexec、wmiexec 等）
- BloodHound：AD 攻击路径可视化
- NetExec（CrackMapExec）：网络服务枚举与密码喷洒
- Evil-WinRM：PowerShell 远程管理客户端
- Certipy：AD 证书服务利用
- Mimikatz：Windows 凭据提取
- Hashcat：密码哈希破解
- Nmap：网络扫描与枚举
- LinPEAS/WinPEAS：权限提升枚举
限制
本技能仅限获得授权的安全测试与教育用途。未经授权对不拥有或未获书面许可的系统使用属于违法行为。测试需与 IT/SOC 协调监控和应急联系人，并注意密码喷洒可能触发账户锁定策略。