内网实战：拿下边界主机后，横向到域控的方法论（脱敏）

原创

写代码的老兵
写代码的老兵

船山信安

2026年11月1日 15:22
湖南

去阅读

安全复盘 · REDTEAM

内网实战：拿下边界主机后，横向到域控的方法论（脱敏）

拿到第一个 shell 只是开始。这一篇讲授权内网演练里，从边界主机到域控的横向方法论。

全程脱敏、授权框架，只讲「每一步为什么这样走」，不涉及任何未修复利用链。

本文为授权内网攻防演练的方法论整理，所有技术概念均公开可查；不涉及针对未修复系统的完整利用，仅作防守视角对照。

0101 本机信息收集：先看清自己站在哪

拿到 shell 第一件事不是横冲，是把本机摸清楚：是谁、在哪个段、有什么凭据、连了谁。

基础信息（Windows 示例）

whoami /priv

ipconfig /all

net view /domain

nltest /dclist:domain

这一步的输出决定了下一步的候选目标：有没有域、自己是不是在特权组、能解析到哪些机器。

0202 凭据与权限：横向的燃料

内网横向本质是「用拿到的凭据去够下一段」。授权演练里，凭据收集要在书面范围内、用合规手段做，并严格记录。

1本机凭据存储：浏览器、配置文件、内存中的明文（需授权工具）。

2票据与令牌：理解 Kerberos 票据、令牌的概念与风险点。

3原则：只收集演练需要的，不扩大、不留存敏感数据。

0303 横向：从一台到一片

横向的核心是「用已知凭据去试已知服务」。pth / ptt 这类概念描述的是「拿着哈希 / 票据直接认证」的思路，但能否成立取决于目标配置——这正是防守侧要堵的点。

每一步都要确认：这段在授权内吗？影响可控吗？有没有更温和的验证方式？能只读就不写，能验证就不深入。

举个授权内的例子：拿到一台主机的本地管理员凭据后，先只用它去读相邻主机的「能否连通、是不是同域、跑了什么服务」，而不是直接去执行任何动作。把「能连通」当证据，把「能控制」留到必要且授权的一步。这种克制，既保护目标，也保护演练本身的可信度。

0404 域控：为什么它是焦点

域控掌握全网的身份，所以它是内网演练的「制高点」。但真正该讲的是：域控之所以能被碰，往往是因为前面每一层（补丁、委派、凭据管理）的薄弱累积。

内网安全不是「域控够硬就行」，而是「每一台主机都不该成为那块最短的木板」。横向路径越长，说明薄弱点越多。

0505 防守侧该堵的口子

0606 演练的价值在报告，不在过程

授权内网演练的产出不是「打到了域控」，而是「这条路径上每一层薄弱点在哪、怎么补」。报告要写清：路径、每步前提、影响、修复建议、复测方法。

把演练结果转成防守侧可执行的清单，才是它真正的意义——否则只是又一次「红队很厉害」的演示。

参考来源

MITRE ATT&CK — Lateral Movement (TA0008) / Discovery (TA0007)

Microsoft — Active Directory 安全最佳实践

OWASP — Threat Modeling for Enterprise

本文为授权内网攻防演练的方法论与防守对照。所有概念公开可查，不涉及针对未修复系统的完整利用链。