用途：在获得初始访问后，从一台主机向其他系统扩展权限，利用已收集的凭据、令牌或协议滥用，最终到达域控、数据库、文件共享等高价值目标，同时尽量降低被检测的概率。前提是已在当前主机上持有至少一个有效凭据或会话令牌，且仅限授权测试。
主要能力：凭据型移动，包括 pass-the-hash、pass-the-ticket 与 overpass-the-hash，可用 mimikatz 导出 LSASS、SAM、ntds.dit 中的哈希与票据；NTLM 中继，配合 responder、PetitPotam、DFSCoerce 等强制认证；远程执行，覆盖 WMI、WinRM、PsExec、smbexec、atexec、dcomexec、DCOM；RDP 会话劫持，借助 SYSTEM 上下文用 tscon 接管已断开会话；隧道与代理，含 SSH 本地/动态/远程转发、chisel、ligolo-ng 及多跳串联。
使用方式：先枚举可达主机与端口（445、5985、5986、3389、22、135），再收集凭据、测试凭据复用、按可用服务选择技术、建立持久化、必要时搭隧道，并记录每次横向跳转。常用命令包括 crackmapexec/nxc、impacket-psexec、impacket-wmiexec、evil-winrm、ssh -D、chisel server --reverse、ligolo-proxy 等。
适用场景：授权红队评估、内网渗透演练与防御者视角的检测验证。
限制：SMB 签名、Credential Guard、LAPS、分层管理与网络分段会明显削弱或阻断上述技术；PsExec 会创建服务，中继与强制认证噪声较大，相关事件日志（4624、4768、4769、7045、4778、4779 等）与 Sysmon 均可能暴露行为。资料未提供具体授权流程、计费或平台支持信息。