横向渗透和内网优势在渗透行动中，目标往往是获得整个内网的控制权，从而发动 APT（高级持续性威胁）攻击。但在更多时候，我们的起点只是一两台通过 0day / 1day 漏洞攻陷的机器。什么是横向渗透横向渗透，就是在已经攻占部分内网主机的前提下，利用既有的资源尝试获取更多的凭据、更高的权限，进而达到控制整个内网、拥有最高权限、发动 APT 的目的在横向渗透中，

横向渗透和内网优势

在渗透行动中，目标往往是获得整个内网的控制权，从而发动 APT（高级持续性威胁）攻击。但在更多时候，我们的起点只是一两台通过 0day / 1day 漏洞攻陷的机器。

什么是横向渗透

横向渗透，就是在已经攻占部分内网主机的前提下，利用既有的资源尝试获取更多的凭据、更高的权限，进而达到控制整个内网、拥有最高权限、发动 APT 的目的

在横向渗透中，最先得到的主机，以及之后新得到的主机，会成为突破口、跳板。如同一个不断扩大的圆形，获得的主机越多，圆能触及之处越大，让其周遭的「横向」部分由未知成为已知。

内网的优势

在发动横向渗透时，你已经拿到了目标内网中至少一台机子，即已经进入对方的内网环境。在内网网络环境，你至少会有以下优势：

更小的防火墙阻力：内网之间的访问不需要经过 ISP 防火墙、出口网关防火墙的审查，往往对敏感端口（如445）的访问更加容易，流量也更不容易被检测到。
同一子网的特殊特性：在内网中，同一子网之间的主机通信通过 MAC 地址进行，因而更容易发动 ARP 相关的攻击（前提为主机与网关未进行 ARP 锁定等）。
与管理员同行：你和管理员在同一个网络环境乃至同一台机器上操作，这让你更容易监测管理员的行为。

内网的注意之处

在内网行动时，同样需要蹑手蹑脚，小心行动，否则难免翻车。尤其是在初期，掌握资源不牢的时候，翻车很容易全盘出局。以下是一些需要时刻牢记的警惕之处：

内网防火墙与杀毒软件：内网一样能有防火墙、流量监控，而杀毒软件更是很多服务器的标配（360也算）。在进行攻击时，不能全然忽略这些安全措施，否则很容易触发警报。
与管理员同行：对，与管理员同行既是机遇，也是风险。最常见的剧情是手抖把管理员的远程桌面连接踢了，或者渗透工具还在打开状态，远程桌面会话被管理员抢了。这狗血剧情我多次遇到，管理员后来改了密码，所幸留了后门重获权限，而且还掌握了新的密码（算是收获吧）。
蜜罐类：蜜罐不一定非要套出你的东西，只需要感知你的存在，便能够治你了。不过经验有限，没有遇到过。

横向渗透的常用招数

横向渗透需要在保证自己安全的前提下将已攻占的主机最大化地利用。

常用姿势根据我自己对利用方式的分类，可以分为数据挖掘类、后门类、攻击类三大类，其危险性逐级递增。

数据挖掘类

这一类姿势注重的是主机上已保存的凭据等信息。在其中可能发现：

其他主机的凭据
更高权限的凭据
能够利用的凭据
有用的资料、文档

保存的密码

大家都爱勾选「保存密码」这个框框，对吧？管理员也有这个冲动。他可能在这个服务器上连了另一个服务器、登了某个管理后台，然后图方便勾了「保存密码」——你就有福了。

常见保存的密码：

浏览器保存的密码
远程桌面客户端保存的密码
VNC 客户端保存的密码
数据库客户端保存的密码
VPN 连接保存的密码

利用方式：
使用各种保存的密码对应的提取工具（有的甚至不需要提取工具，直接在配置文件里明文储存的），得到更多的凭据。

Windows 缓存的凭据

Windows 10、Windows Server 2016 以前，任何已登录的账户都会在内存里缓存明文密码，据说是为了向下兼容性。而只要你有机子的管理员权限，就能够把它们从内存里面扯出来。

这样，如果你看到系统已经登录了其他用户，或者你当前是 0day 拿到的 SYSTEM 权限不知道管理员密码而管理员帐户在线，就可以用工具把他们的密码拖出来，充实密码库。

利用方式：
使用 mimikatz 提取内存中缓存的明文密码，得到更多凭据。对于虚拟机，可以 dump 其内存并用相关工具提取。

备注：

最新的系统（Windows 10、Windows Server 2016）中，明文密码缓存默认关闭，但仍然可以通过修改注册表相应配置开启，详情请 Google。

备注2：

即使不能导出明文密码，获得的 hash 在域环境中依然可以作为凭据使用。

Hash Dump

有时候你能够以某个管理员帐户登录 Windows 系统，但是其他管理员账户并不在线，那就不能直接提取明文密码了。但是依然可以使用工具，虽然得不到明文，但是可以得到密码的 hash。

破解 Windows 的密码 hash 难度差异很大。对于Windows Server 2008 以前的系统，储存密码加密算法较弱，一个密码同时以 NTLM 与 LM 两种形式储存。以现有的彩虹表水平，14位（可能有误）以内的 NTLM 与 LM 哈希对可以秒破，无论其复杂度。但是对于之后的系统，默认只有 NTLM 哈希，只有简单的能破解。

利用方式：

使用哈希导出工具，导出系统所有用户的密码哈希，使用彩虹表、暴力方式或在线服务破解。

备注：
新的系统也可以通过修改系统配置致使密码由 LM 弱加密储存，但只在下次修改密码时生效。

历史记录与 Cookies

与「保存密码」一样，「自动登录」也是一个具有诱惑力的框框。看看网管浏览器的历史记录，能不能发现一些奇怪的网址？

利用方式：
可以直接提取 cookies 并分析，但建议以浏览记录为导向。

数据库凭据

数据库凭据，除了第一个中在数据库管理工具中偷懒保存的凭据，还有一些实在是不得不保存的：比如的确需要连接到一个数据库。

而拿到数据库凭据，不光可以充实密码库、拖库和删库跑路，如果是远程数据库，还可能拿下另一台主机。

利用方式：
寻找各种软件的配置文件、网站的配置文件，挖掘其中的数据库凭据。

备注：
很多情况下，拿到数据库的管理员账户，可以得到机子的管理员权限。更多请参见日数据库的旁门姿势，和Google 特定数据库远程执行 shell 的方法。

Linux 的 bash 日志

Linux 的 bash 也会出卖你的……你看看你主目录下有啥？看不到？给 ls 加上 -a 参数再看看。一个名叫 .bash_history 的文件记录了你所有在 bash 里的输入。

所以在拿到 shell 的情况下，就能很容易看到当前用户执行过的命令。要是里面有密码，那就爽歪歪了。

利用方式：
cat 一下用户目录下的命令历史记录。

备注：
有的其他软件也会记录命令，用 ls -la 看看吧，反正不吃亏。

密码本

对，就是把密码写在上面的小本本。对，它真的存在，我遇到过。

利用方式：
全盘寻找奇怪的小本子，运气好能捡到一堆凭据。

资料文档

资料文档往往不包含凭据，但是能提供更多网络架构之类的线索，为 APT 提供方便。

利用方式：
全盘寻找资料文档，常常与服务安装包或服务程序长在一起。

临时文件

下载目录、QQ 下载文件里面都可能藏着有趣的东西。对我说的就是 QQ，你会遇到装 QQ 的服务器的。

利用方式：
找呗。

后门类

这里的姿势主要是在已攻占的主机上安装一些自己的程序，从而达到保有-扩展的目的。

保活后门

最烦人的事之一，就是锅里的鸭子飞了，拿到手的服务器跑了。曾经拥有却不曾珍惜，直到失去才后悔莫及。多个主机多条路，保持已有的权限是很重要的。

方法其实不少，主要是不要懒得去搞。各种高精尖的后门暂且不提，有一个好用又简单的方法：关闭 Windows 远程桌面的强制网络级别的身份认证（对于 Windows 2008 及以后的系统），然后把辅助工具里的放大镜或者屏幕键盘什么的程序换成后门程序，乃至直接换成 cmd.exe，这样就能够在用不支持 NLA 的客户端时进入登录界面，打开辅助工具，得到一个 SYSTEM 权限的 shell。