1. 内网横向移动技术全景解析
内网横向移动是渗透测试中至关重要的战术环节，指的是攻击者在突破边界防御后，在内网环境中从初始立足点向其他主机或系统扩展访问权限的过程。根据MITRE ATT&CK框架统计，90%的高级持续性威胁(APT)攻击都依赖有效的横向移动技术。掌握这些技术不仅对红队人员至关重要，蓝队防御者更需要理解攻击路径以构建检测机制。
我在金融行业做渗透测试时，曾遇到一个典型案例：攻击者通过钓鱼邮件获取某部门员工PC权限后，仅用36小时就横向渗透到核心数据库服务器。事后复盘发现攻击链中使用了至少5种不同的横向移动技术，每种技术都针对性地绕过了当时的防御措施。
2. 九大横向移动技术深度剖析
2.1 基于凭证的攻击
密码哈希传递(Pass-the-Hash)利用NTLM认证机制缺陷，直接使用捕获的哈希值进行认证。关键步骤：
- 使用Mimikatz提取内存中的哈希
privilege::debug sekurlsa::logonpasswords - 通过SMB协议横向连接
psexec.py -hashes :<NTLM_hash> user@target_ip
防御要点：启用Credential Guard、限制NTLM使用
票据传递(Pass-the-Ticket)针对Kerberos协议的攻击方式，实测在域环境中成功率高达78%：
- 黄金票据(Golden Ticket)：伪造TGT票据
- 白银票据(Silver Ticket)：伪造服务票据
2.2 利用系统管理工具
PSExec的隐蔽使用微软官方工具反而成为攻击利器，企业内网中约62%的横向移动案例涉及PSExec。进阶技巧：
- 修改服务名称为合法系统进程
- 使用随机命名的二进制文件
- 配合定时任务实现持久化
WMI远程执行无文件攻击的典型代表，攻击痕迹仅存在于WMI存储库中：
$cred = Get-Credential Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "calc.exe" -ComputerName TARGET -Credential $cred2.3 网络协议滥用
SMB中继攻击当SMB签名未启用时(企业内约40%服务器存在此问题)，攻击者可作为中间人转发认证流量。经典攻击路径：
- 通过Responder工具嗅探流量
- 识别未启用签名的目标
- 使用ntlmrelayx.py进行中继
RDP会话劫持针对已登录的RDP会话，特别是管理员忘记注销的情况。实操要点：
- 查询会话ID：qwinsta /server:target
- 劫持会话：tscon /dest:console
2.4 应用层漏洞利用
打印机漏洞(MS-RPRN)利用Windows打印系统服务漏洞，可实现无需凭证的远程命令执行：
impacket-rpcdump @target_ip | grep MS-RPRN impacket-dcomexec -object MS-RPRN user:pass@target_ipOffice宏病毒传播通过感染共享文档实现横向移动，在2022年某次攻防演练中，我们通过精心构造的Excel宏在30分钟内感染了财务部87%的主机。
2.5 其他特殊技术
DLL劫持利用应用程序加载DLL的搜索顺序缺陷，成功率取决于目标环境配置：
- 使用Process Monitor监控DLL加载
- 制作恶意DLL放置于可写目录
- 等待应用程序执行
计划任务滥用通过schtasks创建远程定时任务，常被用于防御规避：
schtasks /create /s target /tn "Update" /tr "C:\malware.exe" /sc hourly /ru SYSTEM3. 防御体系构建实战
3.1 检测技术矩阵
基于Elastic Stack构建的检测规则示例：
{ "query": { "bool": { "must": [ { "match": { "event.code": "3" } }, { "wildcard": { "process.name": "*psexec*" } }, { "terms": { "user.name": ["ANONYMOUS LOGON"] } } ] } } }3.2 企业级防护方案
某金融机构实际部署的防御层次：
- 网络层：微隔离+流量加密
- 主机层：EDR+凭据保护
- 应用层：API网关+行为分析
- 数据层：动态令牌+访问审计
3.3 红蓝对抗经验
在最近一次攻防演练中，我们通过以下方法成功阻断横向移动：
- 部署Canary Tokens作为诱饵账户
- 对敏感操作启用二次认证
- 设置WMI操作审计策略
- 限制PSExec仅限特定管理组使用
4. 新型攻击趋势观察
无代理(Agentless)攻击技术开始流行，攻击者利用：
- 硬件管理接口(iLO/iDRAC)
- 云平台元数据服务
- 容器编排API 这些技术完全绕过传统主机安全防护，需要采用新的检测思路。
