红日靶场8这个系列写到第四篇终于要动四层内网了。前几篇从边界Web打点进去一路打到第三层中间经历了弱口令尝试、RCE利用、数据库提权、内网穿透整个过程更像是在解决“进去”和“站稳”的问题。到了四层玩法会变因为这里不再是单纯的漏洞利用而是在一组已经建立信任的内网主机之间利用已有权限和凭据把访问能力一步步推下去。这篇我把四层横向渗透的完整流程从零过一遍同时结合最近大家讨论很多的“内网横向渗透的告警信息”讲讲横向过程中哪些动作会被防守侧看到、哪些事件会被记录以及红队视角下怎么把测试扰动控制在合理范围。内容基于我复现vulnstack红日靶场8的实操记录不同版本环境可能有差异但思路是通用的。1. 四层内网到底多出来了什么拓扑想象与信任边界1.1 四层网络不是四台机器而是四条信任链很多人在前三层打顺手之后觉得四层内网无非是“再往深处走一层”但实际复现红日靶场8时就会发现四层带来的压力不是机器数量而是信任边界数量。前几层网络往往还有共享账号、通用密码、同网段直接可达的便利而四层通常被设计成相对独立的区域比如核心数据库、备份域控、敏感业务台和前面的办公网段在应用层做了隔离。这意味着横向渗透的每一步都必须回答三个问题当前主机到目标的网络路径是否通手上有没有目标主机认可的身份目标主机和当前主机之间是不是真的存在信任关系。我复现的版本里四层网段的核心是一台数据库服务器和一台备份域控它们都和数据主域存在信任关系但办公网端到端的访问被策略挡住了。最直观的感受是前三层我们几乎可以靠“猜密码”和“打漏洞”一路平推到了四层再这样做就很笨因为你会在同一台机器上撞到重复的账号密码组合却发现它们根本不适用于数据库服务器。这里的横向渗透更多是在验证信任关系的可达性而不是寻找一个又一个漏洞。1.2 本系列前文的进展回顾为了保持上下文一致这里简单回顾一下前三篇的成果。红日靶场8在我复现的版本里先是通过边界Web服务的入口点拿到一层Web服务器的权限然后利用弱口令和数据库配置文件里的连接串进入到第二层应用服务器再从应用服务器上翻到了第三层运维主机的本地管理员密码最终在第三层建立了稳定的跳板。到这一步我们已经可以访问192.168.3.0/24这个运维网段内网横向渗透的“中继点”有了。四层要做的是把控制范围从运维网段延伸到核心网段。这一步不是简单扫端口那么轻巧因为网段隔离策略、防火墙、安全软件都会开始介入。如果还停留在“把能扫到的机器都扫一遍”的状态很容易在网络层就被发现。我更愿意把四层当成一个新的小环境去理解先摸清路由方向和信任关系再决定怎么下脚。1.3 横向渗透思路要从“打漏洞”切到“用信任”有一个很关键的心态转变在四层内网里大多数横向入口不是靠零日漏洞而是靠既有的身份和配置缺陷。比如某个运维脚本里写着数据库服务器的管理员账号某个计划任务用了域用户密码某个服务以当前用户身份启动并允许远程调用。这些在所有大内网里几乎都存在红日靶场8只是把它们集中放进了四层。所以后面执行的过程中我先去找凭据再去找可执行通道最后才去看端口和漏洞。顺序不能反否则你会在四层扫到一堆服务却不知道怎么把权限落脚。漏洞永远是备胎不是主力。横向渗透之所以叫“横向”核心在于你已经有一个立足点要从这个立足点利用系统之间的互信关系向旁边走而不是继续往上攻。2. 跨网段之前先把路铺好代理链与可达性确认2.1 判断第三层主机能不能触达四层横向渗透的第一步不是直接开打而是确认网络路径。我复现时是在第三层运维主机上看到一个第二张网卡地址是10.10.10.30才知道这台机器同时连着四层核心网段。这个信息很关键因为它决定了后续工具怎么走。如果第三层主机是单网卡则需要找同一网段里其他双网卡机器或者依靠路由设备转发。在实际环境里判断方式很简单登录到已控主机查看路由表、网卡配置以及ARP缓存确认它和四层目标是否有交集。不要急着用ping扫全段ICMP在很多真实环境里被丢弃但ARP和TCP探测可以绕过这些限制。这里最容易踩的误区是只看“能不能继续走代理”忽略了主机自身有没有到达目标网段的路由入口。没有路由入口后面所有代理链都是空中楼阁。2.2 代理链的搭建与验证一旦确认第三层主机可以到达四层下一步就是把攻击机的流量通过这个中继送进四层。我在测试环境中通常先在第三层主机上运行一个SOCKS代理进程然后在攻击机的proxychains或类似工具里配置这个代理地址。这里有个细节代理进程最好绑定在第三层主机的内网接口上不要直接绑0.0.0.0暴露到不能访问的外部区域。连接建立后用一条最简单的命令验证代理链是否工作。比如通过代理链对目标IP的445端口做一次TCP连接测试能通就说明这条路径的基本网络是好的。这里要注意代理链的稳定性直接影响后面所有横向操作配置不仔细的话后续工具会经常超时。我在靶场里曾经因为代理进程只监听了IPv6地址导致所有IPv4流量全部转发失败排查了很久才发现是监听地址写错了。proxychains4 -q nc -vz 10.10.10.10 4452.3 代理链配置里最容易踩的坑跨四层网络时我遇到最多的问题是代理链套代理链之后DNS解析失败和超时。很多扫描工具在走代理时会优先做本地DNS解析而四层内网的主机名在攻击机的DNS里根本不存在。所以我会在调用工具前手动把目标IP和主机名绑定到hosts文件或者干脆全部用IP操作。另一个坑是部分工具自身不走系统代理需要单独设置比如Impacket套件里的部分脚本不支持标准代理环境这时候要么改用支持多跳的代理工具要么在两段网段之间再架一层端口转发。还有一种情况是代理链里的连接被防火墙Reset表现是某些端口能连、某些端口不能连这不是工具问题而是网络策略问题。遇到这种问题不要马上怀疑工具配置先用nc逐端口测试一遍链路确认可视化可达性后再动手。2.4 从网络可达性角度看告警实际上跨网段的第一步就会在防守侧留下网络层告警线索一个来自第三层运维主机的源IP频繁访问四层网段的多个IP或端口哪怕流量走了加密代理网络设备的会话日志也会记录连接五元组。很多横向渗透告警就是从这种“异常跨网段访问”开始被关联出来的。所以红队在授权测试里要注意扫描频率和端口范围而不是彻底消灭流量痕迹因为后者既不现实也不应该是目标。测试的意义是暴露问题而不是测试谁的免杀技术更强。3. 四层内网横向渗透核心手法哈希传递、令牌窃取与远程执行3.1 第一步永远是收集凭据而不是找漏洞到了四层以后我对自己定的纪律是先凭据后漏洞再扫描。这和我前文提到的思路一致。在第三层运维主机上我们可以从多个位置收集可用凭据内存中的明文密码和哈希、注册表里的自动登录账号、浏览器保存的密码、Windows凭据管理器、PowerShell历史记录、配置文件里的连接串等。红日靶场8这类靶场会把相当一部分“密码”藏在脚本和配置文件里比如数据库备份脚本、内网监控脚本、计划任务配置。用Mimikatz之类的工具抓取内存凭据是常规操作但要注意在真实环境中这类工具往往会触发杀软和EDR告警所以我的建议是先把能通过系统日志、文件内容找到的普通凭据用起来高级抓取工具放到最后。没有凭据横向就是一个空壳。3.2 哈希传递的实际姿势与适用条件哈希传递是四层横向里最常用的手法原因很简单Windows环境里很多协议认证时直接使用NTLM哈希进行网络登录而不需要明文密码。我常用的场景是从三层运维主机抓到了某个域用户的NTLM哈希而这个用户恰好对四层某台服务器有管理权限。这时用哈希直接向目标SMB服务发起认证不需要破解密码。适用条件有三个目标账户没有被禁用目标机器没有启用限制NTLM的相关策略发起来源IP在对方防火墙允许范围内。如果满足用支持PtH的工具连目标IP执行命令基本是流畅的。但也要说明哈希传递并不万能本地管理员密码哈希如果被微软的“本地管理员密码解决方案”管理则每台机器不同需要逐个确认。这里有一个容易被新手忽略的点哈希传递只是认证方式不代表执行通道自动可用你还要决定用SMB、WMI还是计划任务去落地命令。crackmapexec smb 10.10.10.0/24 -u sa-target -H aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0 --exec-method wmiexec -x whoami3.3 票据传递和令牌窃取什么时候用四层内网如果已经拿到域控或高权限域用户还可以考虑Kerberos票据传递也就是把当前会话中的Kerberos票据重放给其他服务。PtH解决的是“这个用户能不能访问目标服务”票据传递解决的则是“这个用户当前已经获得的访问范围能被重放到哪些目标”。不过票据传递的前提是拿到域管或目标服务的票据这在四层环境中往往要往后再走一步。令牌窃取则是另一种思路如果当前进程内有更高权限用户的令牌可以直接复用它的权限去访问目标不需要保存密码。令牌窃取更常用于同机提权和同会话攻击跨机器时会受限。实际测试里我会优先用PtH因为它最直接其次考虑票据和令牌因为它们依赖更多前置条件。四层环境下这些前置条件经常不满足所以不要一股脑把所有手法都试一遍先看当前会话里有什么再选最合适的路径。3.4 横向执行命令的三条常用通道拿到目标机器的访问凭据后还需要一个执行命令的通道。常用的有三条通过SMB创建计划任务或服务通过WMI执行远程命令通过WinRM/PowerShell远程会话。三者各有偏好。SMB通道适合目标开放445且不需要HTTP环境使用计划任务或服务方式执行时会把命令写到目标系统上防御者可以通过事件日志看到服务创建和进程启动。WMI通道则更轻便通常不落地文件直接通过WMI调用进程适合快速执行单条命令但也会产生4624和4688等事件。WinRM则依赖5985/5986端口开放适合建立更完整的PowerShell会话方便后续交互。我的习惯是短命令用WMI持续会话用WinRM只有需要高权限服务时才用SMB服务方式。通道选择直接影响后面的告警表现。在红日靶场8的四层场景里目标服务器开放了445和5985我一开始图方便用了SMB计划任务结果在目标上留下了一个明显的服务名。后来用WinRM建立会话反而更接近管理员日常操作告警特征也更像正常排障。3.5 从四层服务器通往最终目标的最后一跳在红日靶场8的四层网段里通常不会只有一台服务器而是有数据库、备份域控或管理终端等多个目标。拿到第一台四层服务器权限后可以考虑把它作为新的跳板继续向更核心的目标扩展。这时要重复之前的过程收集资料、确认网络路径、建立访问通道。如果目标网段里还有域控最终目标往往就是拿到域管的NTLM哈希或票据然后对整个四层网段的资源进行合法化访问。横向渗透的尽头不是个人的权限越高越好而是能够证明一条在真实攻击者视角下可以完整走通、且层级分明的访问路径。在靶场里这条路径最后落在备份域控上我通过数据库服务器上的域用户哈希横向到备份域控再抓到了域管理员的会话令牌整个过程没有打过一个新的漏洞。4. 横向渗透的告警信息长什么样红队视角的观察记录4.1 登录日志留给防守者的是行动轨迹横向渗透最密集的痕迹是登录日志。Windows事件ID 4624登录成功和4625登录失败是基本功另外还有一个容易被忽略的4648显式凭据登录。我在测试时很少去清日志因为靶场环境的目的是观察行为而不是逃避检查。从防守侧看一次典型的哈希传递通常会在目标机器上留下类型3的网络登录日志源IP是中间跳板的IP登录账户是一个域用户但发起登录的进程主机名却和账户常用主机不一致。这种组合本身就是很强的告警特征。如果横向过程中使用计划任务或服务创建还会伴随7036等服务状态变更事件进一步帮助防守者还原动作。我们在靶场里复现时只要把这些日志时间线串起来基本能还原完整攻击路径。举一个具体的例子四层数据库服务器上的4624日志里登录账户是service-monitor登录类型3源IP是10.10.10.30而service-monitor账户的常用登录机器是192.168.3.20。单看这条日志可能被当作服务访问忽略但如果把前后5分钟内该IP对数据库服务器的445端口连接记录放在一起就是一个很明显的横向渗透信号。4.2 进程创建事件让恶意工具无处遁形4688进程创建事件配合命令行审计能够看到攻击者在目标机器上执行了什么命令。比如通过WMI执行命令时进程树里会看到wmiprvse.exe创建了一堆子进程命令行里可能包含wmic、powershell等常见横向工具特征。SMB服务执行方式则会在服务控制管理器里留下服务名和无中生有的可执行文件路径。这些行为都可以成为告警规则。作为红队我建议在授权测试中不要刻意使用“内存免杀”来消除进程特征因为这类操作的对抗性太强稍有不慎容易越界。合理的方式是选择更贴近目标系统管理习惯的工具和命令比如使用PowerShell原生命令、计划任务、远程桌面等让行为在语义上接近运维动作从而减少对业务的干扰也降低误报概率。在红日靶场8里我曾经用一个名为“BackupSvc”的服务名启动横向命令这个动作在目标机器的服务列表里看起来像正常备份服务但服务路径指向的却是临时目录下的一个PowerShell一行命令。这种伪装的对抗性更强但也更容易被防守侧抓到因为服务名和实际行为不匹配反而是一个异常特征。所以我在后续测试中放弃了这类伪装改用更干净的WinRM会话至少它的进程树看起来像PowerShell远程管理。4.3 网络流量里的横向特征横向渗透的网络侧特征同样关键。SMB横向会有大量445端口会话且会话方向往往是横向连接的发起机器到目标机器而不是常规的客户端服务器流量。WMI远程调用则会在135和随机高位端口上产生连接配合DCOM动态端口流量的目的端口会呈现无规律增长。这些流量特征在靶场复现时非常明显真实环境中如果做了微分段或东西向流量采集基本都能发现异常。这也是为什么我反复强调“不要盲目扫描”因为网络侧告警往往比主机侧更早触发而且扫描行为本身很容易被防火墙和流量审计系统打上标记。一个网段如果平时完全没有主机间通讯某天突然出现大量445连接这件事本身就是高价值告警。4.4 红队怎么控制测试噪声平衡效率和隐蔽性是一门功课。我的个人经验是先做小范围精准探测确认目标端口后再根据端口选择执行通道不要用默认字典跑全网段爆破尽量复用已知凭据横向而不是大量尝试账号。这样做的目标不是“打败”防守系统而是让告警更清晰、更可控。授权测试里红队需要知道自己的每一步会产生什么告警最好能提前和防守方约定测试范围和告警验证方式。反过来对于防守侧后面章节也会讲怎么从这些告警中把攻击链还原出来。我见过不少测试报告里只写了“用哈希传递拿下服务器”却没有记录当时产生了哪些日志和告警这样的结果对防守侧几乎没用。真正好的攻击模拟应该是让防守侧能复现每一步的告警来源。4.5 一个典型横向告警链路的还原我在复现时记录过一条完整的告警链路。三层运维主机在某个瞬间访问了四层数据库服务器的445端口之后数据库服务器日志里出现该运维主机上的某域账户通过类型3网络登录成功的记录紧接着进程创建事件显示该账户在数据库服务器上启动了wmic命令再去查看wmic进程其父进程是wmiprvse.exe。这一串事件嵌套起来防守侧几乎可以完整复现整个横向过程。每一步单独看都可能被误报但合在一起就是确凿的攻击证据。这个例子也说明告警信息从来不是单个事件而是事件序列和时间线。把时间线拉齐攻击路径自然就出来了。我后来在做防守方案时也把这个多事件序列直接做成了关联规则效果比单纯匹配单个工具特征好很多。5. 如果告警推到我面前防守方视角的横向排查5.1 一条告警出现后的第一时间判断现在换个身份从防守侧看。当SOC平台弹出一条“横向渗透”告警时第一件事不是直接封IP而是先确认告警的真实性。把告警里的源IP、目标IP、账户、进程四要素拿出来对照资产管理列表和业务运行基线。如果是某个运维人员常用的跳板机账户访问核心数据库服务器的445端口并且正好有变更窗口那就可能是误报。如果源IP是一台长期不活跃的内部服务器目标又是与业务无关的敏感主机则需要立即冻结该账户并隔离目标主机。横向渗透的紧急程度高因为它通常意味着已经有内网主机被控制不能只当一次登录失败处理。我在应急响应中见过很多次因为“先查误报”而错过最佳处置窗口的案例所以我的建议是优先隔离再研判。即使是误报隔离后重启服务也比被横向扩散到整个域要划算得多。5.2 从事件日志回溯整个攻击链回溯时我会按照“横向移动前-中-后”三个时间段来拉日志。横向移动前看哪些自主机在往目标IP发起异常的端口连接有没有失败的认证尝试横向移动中看目标机器上4624登录的类型和账户、4648显式凭据、以及进程创建事件横向移动后在看目标机器上是否有新建服务、计划任务或新增用户。这样一段段拼接基本能还原攻击者从哪台机器、用什么凭据、通过什么通道过来的。如果条件允许还可以保留目标机器内存镜像用来分析是否有令牌窃取或持久化后门。这个步骤在真实应急响应中效果很好。在复现红日靶场8时我也用同样的方式做了事后回溯发现从三层到四层的完整路径在日志里至少留下了九条关键事件记录防守侧缺少的往往不是数据而是把数据串成时间线的习惯。5.3 容易被忽略的横向线索除了登录事件和进程事件还有一些线索值得防守侧关注比如本应在办公网段的账户突然出现在核心网段的日期一台服务器长时间未更新补丁却在某个时间点出现了全新的服务名某账户的登录时间与休假记录冲突。这些看起来像运维失误但叠加在一起往往就是横向渗透。另外四层内网里的日志集中转发尤其重要如果目标机器日志被本地清理却没有集中收集应急响应会非常被动。所以我的建议是关键服务器的审计日志至少保留180天并开启命令行审计。在红日靶场8这类演练环境里日志保留策略可能没那么严格但在真实生产环境横向渗透的攻击者经常会顺手清掉当前主机的部分日志如果没有集中日志溯源就直接断了。5.4 关于阻断手段的一些思路横向渗透的阻断不是单纯封IP而是破坏攻击链条。可以限制NTLM认证的使用范围开启SMB签名对管理端口做最小权限访问在主机侧开启Windows Defender防火墙控制内部445、135、5985等端口只允许白名单IP访问对高权限账户启用条件访问比如限制只允许从指定跳板机登录。这些措施单独看都有业务影响需要评估。但从红日靶场8这种环境的复现来看只要防守侧把“跨网段的敏感端口访问”和“异常的账户登录顺序”这两个点盯住横向渗透的空间就会大幅压缩。真实环境里还可以结合威胁情报和UEBA把“账户首次在四层网段登录”这类行为提升为高优先级告警。这些不是论文里的理论我在多个环境中实践下来是有效的。6. 这轮四层实战踩过的坑与后续玩法6.1 代理链的几个坑这里集中说一下这轮踩坑。第一个坑是代理链不稳定解决方式是确认中间跳板的网络连接和防火墙。有几次代理目标四层的服务时连接会随机超时后面发现是中间跳板上的防病毒软件在拦截本地代理进程的流量最后把测试端口加入白名单才恢复。第二个坑是工具不支持代理导致横向执行超时解决方法是把需要跨网段的工具直接上传到跳板机上执行而不是每次从攻击机穿透。第三个坑是权限运行问题有几次用服务方式执行命令时没有注意到目标机器上的服务权限受限命令起来了但没落地权限后来改用计划任务以系统身份运行才成功。这些坑看起来小但在长流程里会消耗大量时间特别是当你以为横向已经成功结果命令回显是“access denied”的时候。6.2 凭据收集的两条纪律凭据收集有两个纪律第一不要见什么抓什么要按“目标网段-目标服务”的维度收集否则你会得到大量无用凭据反而干扰判断第二抓到的凭据一定要记录原始来源和环境便于复现和写报告时说明风险路径。我在红日靶场8里曾抓到一个域用户的明文密码但一开始不知道它属于哪个网段、用于什么服务直到做了多次登录验证才定位到四层数据库服务器的管理账号白白绕了一段路。这种浪费在真实攻防里尤其致命因为每多一次登录尝试就多一批告警。好的做法是建立一张简单的凭据清单表格每个凭据后面对应来源主机、抓取时间、验证状态和目标服务宁可多写几行也不要凭记忆做横向。6.3 记录方法过程比结果重要实战流程是很容易做完就忘的所以我强烈建议过程中把每一步操作、命令、输出、时间线完整记录下来。不是写简单的“横向成功”而是记录例如从A主机通过B账户的哈希利用C工具的WMI通道访问D服务器445端口执行了E命令。这种记录不仅是自己的复盘素材也是在做攻防演练时向客户交付的核心证据。红日靶场8系列写到第四篇真正值钱的东西其实不是最终拿到什么权限而是那条可以被反复检验的技术链路。我每次复现完一个靶场都会把Markdown笔记整理成一份时间线报告包含每个环节产生的事件ID和网络连接特征。这样下次做防守侧的检测规则时我能直接把这些特征转换成可测试的规则而不用重新打一遍靶场。6.4 后续扩展这里还可以继续玩什么如果还想继续深入可以考虑给四层网段增加第二个域控或者部署一套真实的日志审计平台把自己前面做的横向动作作为攻击模拟数据源测试现有的告警规则能不能准确覆盖。另一种玩法是把四层主机部署为蜜罐观察横向渗透到达后会触发什么告警进而校准检测策略。这些都是把靶场复现转化为真实防御能力的路。我在做完这一轮四层流程之后最深的体会是横向渗透表面拼的是工具实际上拼的是对信任边界的理解和对痕迹的掌控。靶场里的一次成功如果能在告警日志里留下足够清晰的证据那它本身就是一次很好的攻防训练。下一篇文章如果有机会我会专门拆解这次四层过程中每条告警规则对应的日志查询语句把红队操作和蓝队检测直接对齐。
红日靶场8这个系列写到第四篇终于要动四层内网了。前几篇从边界Web打点进去一路打到第三层中间经历了弱口令尝试、RCE利用、数据库提权、内网穿透整个过程更像是在解决“进去”和“站稳”的问题。到了四层玩法会变因为这里不再是单纯的漏洞利用而是在一组已经建立信任的内网主机之间利用已有权限和凭据把访问能力一步步推下去。这篇我把四层横向渗透的完整流程从零过一遍同时结合最近大家讨论很多的“内网横向渗透的告警信息”讲讲横向过程中哪些动作会被防守侧看到、哪些事件会被记录以及红队视角下怎么把测试扰动控制在合理范围。内容基于我复现vulnstack红日靶场8的实操记录不同版本环境可能有差异但思路是通用的。1. 四层内网到底多出来了什么拓扑想象与信任边界1.1 四层网络不是四台机器而是四条信任链很多人在前三层打顺手之后觉得四层内网无非是“再往深处走一层”但实际复现红日靶场8时就会发现四层带来的压力不是机器数量而是信任边界数量。前几层网络往往还有共享账号、通用密码、同网段直接可达的便利而四层通常被设计成相对独立的区域比如核心数据库、备份域控、敏感业务台和前面的办公网段在应用层做了隔离。这意味着横向渗透的每一步都必须回答三个问题当前主机到目标的网络路径是否通手上有没有目标主机认可的身份目标主机和当前主机之间是不是真的存在信任关系。我复现的版本里四层网段的核心是一台数据库服务器和一台备份域控它们都和数据主域存在信任关系但办公网端到端的访问被策略挡住了。最直观的感受是前三层我们几乎可以靠“猜密码”和“打漏洞”一路平推到了四层再这样做就很笨因为你会在同一台机器上撞到重复的账号密码组合却发现它们根本不适用于数据库服务器。这里的横向渗透更多是在验证信任关系的可达性而不是寻找一个又一个漏洞。1.2 本系列前文的进展回顾为了保持上下文一致这里简单回顾一下前三篇的成果。红日靶场8在我复现的版本里先是通过边界Web服务的入口点拿到一层Web服务器的权限然后利用弱口令和数据库配置文件里的连接串进入到第二层应用服务器再从应用服务器上翻到了第三层运维主机的本地管理员密码最终在第三层建立了稳定的跳板。到这一步我们已经可以访问192.168.3.0/24这个运维网段内网横向渗透的“中继点”有了。四层要做的是把控制范围从运维网段延伸到核心网段。这一步不是简单扫端口那么轻巧因为网段隔离策略、防火墙、安全软件都会开始介入。如果还停留在“把能扫到的机器都扫一遍”的状态很容易在网络层就被发现。我更愿意把四层当成一个新的小环境去理解先摸清路由方向和信任关系再决定怎么下脚。1.3 横向渗透思路要从“打漏洞”切到“用信任”有一个很关键的心态转变在四层内网里大多数横向入口不是靠零日漏洞而是靠既有的身份和配置缺陷。比如某个运维脚本里写着数据库服务器的管理员账号某个计划任务用了域用户密码某个服务以当前用户身份启动并允许远程调用。这些在所有大内网里几乎都存在红日靶场8只是把它们集中放进了四层。所以后面执行的过程中我先去找凭据再去找可执行通道最后才去看端口和漏洞。顺序不能反否则你会在四层扫到一堆服务却不知道怎么把权限落脚。漏洞永远是备胎不是主力。横向渗透之所以叫“横向”核心在于你已经有一个立足点要从这个立足点利用系统之间的互信关系向旁边走而不是继续往上攻。2. 跨网段之前先把路铺好代理链与可达性确认2.1 判断第三层主机能不能触达四层横向渗透的第一步不是直接开打而是确认网络路径。我复现时是在第三层运维主机上看到一个第二张网卡地址是10.10.10.30才知道这台机器同时连着四层核心网段。这个信息很关键因为它决定了后续工具怎么走。如果第三层主机是单网卡则需要找同一网段里其他双网卡机器或者依靠路由设备转发。在实际环境里判断方式很简单登录到已控主机查看路由表、网卡配置以及ARP缓存确认它和四层目标是否有交集。不要急着用ping扫全段ICMP在很多真实环境里被丢弃但ARP和TCP探测可以绕过这些限制。这里最容易踩的误区是只看“能不能继续走代理”忽略了主机自身有没有到达目标网段的路由入口。没有路由入口后面所有代理链都是空中楼阁。2.2 代理链的搭建与验证一旦确认第三层主机可以到达四层下一步就是把攻击机的流量通过这个中继送进四层。我在测试环境中通常先在第三层主机上运行一个SOCKS代理进程然后在攻击机的proxychains或类似工具里配置这个代理地址。这里有个细节代理进程最好绑定在第三层主机的内网接口上不要直接绑0.0.0.0暴露到不能访问的外部区域。连接建立后用一条最简单的命令验证代理链是否工作。比如通过代理链对目标IP的445端口做一次TCP连接测试能通就说明这条路径的基本网络是好的。这里要注意代理链的稳定性直接影响后面所有横向操作配置不仔细的话后续工具会经常超时。我在靶场里曾经因为代理进程只监听了IPv6地址导致所有IPv4流量全部转发失败排查了很久才发现是监听地址写错了。proxychains4 -q nc -vz 10.10.10.10 4452.3 代理链配置里最容易踩的坑跨四层网络时我遇到最多的问题是代理链套代理链之后DNS解析失败和超时。很多扫描工具在走代理时会优先做本地DNS解析而四层内网的主机名在攻击机的DNS里根本不存在。所以我会在调用工具前手动把目标IP和主机名绑定到hosts文件或者干脆全部用IP操作。另一个坑是部分工具自身不走系统代理需要单独设置比如Impacket套件里的部分脚本不支持标准代理环境这时候要么改用支持多跳的代理工具要么在两段网段之间再架一层端口转发。还有一种情况是代理链里的连接被防火墙Reset表现是某些端口能连、某些端口不能连这不是工具问题而是网络策略问题。遇到这种问题不要马上怀疑工具配置先用nc逐端口测试一遍链路确认可视化可达性后再动手。2.4 从网络可达性角度看告警实际上跨网段的第一步就会在防守侧留下网络层告警线索一个来自第三层运维主机的源IP频繁访问四层网段的多个IP或端口哪怕流量走了加密代理网络设备的会话日志也会记录连接五元组。很多横向渗透告警就是从这种“异常跨网段访问”开始被关联出来的。所以红队在授权测试里要注意扫描频率和端口范围而不是彻底消灭流量痕迹因为后者既不现实也不应该是目标。测试的意义是暴露问题而不是测试谁的免杀技术更强。3. 四层内网横向渗透核心手法哈希传递、令牌窃取与远程执行3.1 第一步永远是收集凭据而不是找漏洞到了四层以后我对自己定的纪律是先凭据后漏洞再扫描。这和我前文提到的思路一致。在第三层运维主机上我们可以从多个位置收集可用凭据内存中的明文密码和哈希、注册表里的自动登录账号、浏览器保存的密码、Windows凭据管理器、PowerShell历史记录、配置文件里的连接串等。红日靶场8这类靶场会把相当一部分“密码”藏在脚本和配置文件里比如数据库备份脚本、内网监控脚本、计划任务配置。用Mimikatz之类的工具抓取内存凭据是常规操作但要注意在真实环境中这类工具往往会触发杀软和EDR告警所以我的建议是先把能通过系统日志、文件内容找到的普通凭据用起来高级抓取工具放到最后。没有凭据横向就是一个空壳。3.2 哈希传递的实际姿势与适用条件哈希传递是四层横向里最常用的手法原因很简单Windows环境里很多协议认证时直接使用NTLM哈希进行网络登录而不需要明文密码。我常用的场景是从三层运维主机抓到了某个域用户的NTLM哈希而这个用户恰好对四层某台服务器有管理权限。这时用哈希直接向目标SMB服务发起认证不需要破解密码。适用条件有三个目标账户没有被禁用目标机器没有启用限制NTLM的相关策略发起来源IP在对方防火墙允许范围内。如果满足用支持PtH的工具连目标IP执行命令基本是流畅的。但也要说明哈希传递并不万能本地管理员密码哈希如果被微软的“本地管理员密码解决方案”管理则每台机器不同需要逐个确认。这里有一个容易被新手忽略的点哈希传递只是认证方式不代表执行通道自动可用你还要决定用SMB、WMI还是计划任务去落地命令。crackmapexec smb 10.10.10.0/24 -u sa-target -H aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0 --exec-method wmiexec -x whoami3.3 票据传递和令牌窃取什么时候用四层内网如果已经拿到域控或高权限域用户还可以考虑Kerberos票据传递也就是把当前会话中的Kerberos票据重放给其他服务。PtH解决的是“这个用户能不能访问目标服务”票据传递解决的则是“这个用户当前已经获得的访问范围能被重放到哪些目标”。不过票据传递的前提是拿到域管或目标服务的票据这在四层环境中往往要往后再走一步。令牌窃取则是另一种思路如果当前进程内有更高权限用户的令牌可以直接复用它的权限去访问目标不需要保存密码。令牌窃取更常用于同机提权和同会话攻击跨机器时会受限。实际测试里我会优先用PtH因为它最直接其次考虑票据和令牌因为它们依赖更多前置条件。四层环境下这些前置条件经常不满足所以不要一股脑把所有手法都试一遍先看当前会话里有什么再选最合适的路径。3.4 横向执行命令的三条常用通道拿到目标机器的访问凭据后还需要一个执行命令的通道。常用的有三条通过SMB创建计划任务或服务通过WMI执行远程命令通过WinRM/PowerShell远程会话。三者各有偏好。SMB通道适合目标开放445且不需要HTTP环境使用计划任务或服务方式执行时会把命令写到目标系统上防御者可以通过事件日志看到服务创建和进程启动。WMI通道则更轻便通常不落地文件直接通过WMI调用进程适合快速执行单条命令但也会产生4624和4688等事件。WinRM则依赖5985/5986端口开放适合建立更完整的PowerShell会话方便后续交互。我的习惯是短命令用WMI持续会话用WinRM只有需要高权限服务时才用SMB服务方式。通道选择直接影响后面的告警表现。在红日靶场8的四层场景里目标服务器开放了445和5985我一开始图方便用了SMB计划任务结果在目标上留下了一个明显的服务名。后来用WinRM建立会话反而更接近管理员日常操作告警特征也更像正常排障。3.5 从四层服务器通往最终目标的最后一跳在红日靶场8的四层网段里通常不会只有一台服务器而是有数据库、备份域控或管理终端等多个目标。拿到第一台四层服务器权限后可以考虑把它作为新的跳板继续向更核心的目标扩展。这时要重复之前的过程收集资料、确认网络路径、建立访问通道。如果目标网段里还有域控最终目标往往就是拿到域管的NTLM哈希或票据然后对整个四层网段的资源进行合法化访问。横向渗透的尽头不是个人的权限越高越好而是能够证明一条在真实攻击者视角下可以完整走通、且层级分明的访问路径。在靶场里这条路径最后落在备份域控上我通过数据库服务器上的域用户哈希横向到备份域控再抓到了域管理员的会话令牌整个过程没有打过一个新的漏洞。4. 横向渗透的告警信息长什么样红队视角的观察记录4.1 登录日志留给防守者的是行动轨迹横向渗透最密集的痕迹是登录日志。Windows事件ID 4624登录成功和4625登录失败是基本功另外还有一个容易被忽略的4648显式凭据登录。我在测试时很少去清日志因为靶场环境的目的是观察行为而不是逃避检查。从防守侧看一次典型的哈希传递通常会在目标机器上留下类型3的网络登录日志源IP是中间跳板的IP登录账户是一个域用户但发起登录的进程主机名却和账户常用主机不一致。这种组合本身就是很强的告警特征。如果横向过程中使用计划任务或服务创建还会伴随7036等服务状态变更事件进一步帮助防守者还原动作。我们在靶场里复现时只要把这些日志时间线串起来基本能还原完整攻击路径。举一个具体的例子四层数据库服务器上的4624日志里登录账户是service-monitor登录类型3源IP是10.10.10.30而service-monitor账户的常用登录机器是192.168.3.20。单看这条日志可能被当作服务访问忽略但如果把前后5分钟内该IP对数据库服务器的445端口连接记录放在一起就是一个很明显的横向渗透信号。4.2 进程创建事件让恶意工具无处遁形4688进程创建事件配合命令行审计能够看到攻击者在目标机器上执行了什么命令。比如通过WMI执行命令时进程树里会看到wmiprvse.exe创建了一堆子进程命令行里可能包含wmic、powershell等常见横向工具特征。SMB服务执行方式则会在服务控制管理器里留下服务名和无中生有的可执行文件路径。这些行为都可以成为告警规则。作为红队我建议在授权测试中不要刻意使用“内存免杀”来消除进程特征因为这类操作的对抗性太强稍有不慎容易越界。合理的方式是选择更贴近目标系统管理习惯的工具和命令比如使用PowerShell原生命令、计划任务、远程桌面等让行为在语义上接近运维动作从而减少对业务的干扰也降低误报概率。在红日靶场8里我曾经用一个名为“BackupSvc”的服务名启动横向命令这个动作在目标机器的服务列表里看起来像正常备份服务但服务路径指向的却是临时目录下的一个PowerShell一行命令。这种伪装的对抗性更强但也更容易被防守侧抓到因为服务名和实际行为不匹配反而是一个异常特征。所以我在后续测试中放弃了这类伪装改用更干净的WinRM会话至少它的进程树看起来像PowerShell远程管理。4.3 网络流量里的横向特征横向渗透的网络侧特征同样关键。SMB横向会有大量445端口会话且会话方向往往是横向连接的发起机器到目标机器而不是常规的客户端服务器流量。WMI远程调用则会在135和随机高位端口上产生连接配合DCOM动态端口流量的目的端口会呈现无规律增长。这些流量特征在靶场复现时非常明显真实环境中如果做了微分段或东西向流量采集基本都能发现异常。这也是为什么我反复强调“不要盲目扫描”因为网络侧告警往往比主机侧更早触发而且扫描行为本身很容易被防火墙和流量审计系统打上标记。一个网段如果平时完全没有主机间通讯某天突然出现大量445连接这件事本身就是高价值告警。4.4 红队怎么控制测试噪声平衡效率和隐蔽性是一门功课。我的个人经验是先做小范围精准探测确认目标端口后再根据端口选择执行通道不要用默认字典跑全网段爆破尽量复用已知凭据横向而不是大量尝试账号。这样做的目标不是“打败”防守系统而是让告警更清晰、更可控。授权测试里红队需要知道自己的每一步会产生什么告警最好能提前和防守方约定测试范围和告警验证方式。反过来对于防守侧后面章节也会讲怎么从这些告警中把攻击链还原出来。我见过不少测试报告里只写了“用哈希传递拿下服务器”却没有记录当时产生了哪些日志和告警这样的结果对防守侧几乎没用。真正好的攻击模拟应该是让防守侧能复现每一步的告警来源。4.5 一个典型横向告警链路的还原我在复现时记录过一条完整的告警链路。三层运维主机在某个瞬间访问了四层数据库服务器的445端口之后数据库服务器日志里出现该运维主机上的某域账户通过类型3网络登录成功的记录紧接着进程创建事件显示该账户在数据库服务器上启动了wmic命令再去查看wmic进程其父进程是wmiprvse.exe。这一串事件嵌套起来防守侧几乎可以完整复现整个横向过程。每一步单独看都可能被误报但合在一起就是确凿的攻击证据。这个例子也说明告警信息从来不是单个事件而是事件序列和时间线。把时间线拉齐攻击路径自然就出来了。我后来在做防守方案时也把这个多事件序列直接做成了关联规则效果比单纯匹配单个工具特征好很多。5. 如果告警推到我面前防守方视角的横向排查5.1 一条告警出现后的第一时间判断现在换个身份从防守侧看。当SOC平台弹出一条“横向渗透”告警时第一件事不是直接封IP而是先确认告警的真实性。把告警里的源IP、目标IP、账户、进程四要素拿出来对照资产管理列表和业务运行基线。如果是某个运维人员常用的跳板机账户访问核心数据库服务器的445端口并且正好有变更窗口那就可能是误报。如果源IP是一台长期不活跃的内部服务器目标又是与业务无关的敏感主机则需要立即冻结该账户并隔离目标主机。横向渗透的紧急程度高因为它通常意味着已经有内网主机被控制不能只当一次登录失败处理。我在应急响应中见过很多次因为“先查误报”而错过最佳处置窗口的案例所以我的建议是优先隔离再研判。即使是误报隔离后重启服务也比被横向扩散到整个域要划算得多。5.2 从事件日志回溯整个攻击链回溯时我会按照“横向移动前-中-后”三个时间段来拉日志。横向移动前看哪些自主机在往目标IP发起异常的端口连接有没有失败的认证尝试横向移动中看目标机器上4624登录的类型和账户、4648显式凭据、以及进程创建事件横向移动后在看目标机器上是否有新建服务、计划任务或新增用户。这样一段段拼接基本能还原攻击者从哪台机器、用什么凭据、通过什么通道过来的。如果条件允许还可以保留目标机器内存镜像用来分析是否有令牌窃取或持久化后门。这个步骤在真实应急响应中效果很好。在复现红日靶场8时我也用同样的方式做了事后回溯发现从三层到四层的完整路径在日志里至少留下了九条关键事件记录防守侧缺少的往往不是数据而是把数据串成时间线的习惯。5.3 容易被忽略的横向线索除了登录事件和进程事件还有一些线索值得防守侧关注比如本应在办公网段的账户突然出现在核心网段的日期一台服务器长时间未更新补丁却在某个时间点出现了全新的服务名某账户的登录时间与休假记录冲突。这些看起来像运维失误但叠加在一起往往就是横向渗透。另外四层内网里的日志集中转发尤其重要如果目标机器日志被本地清理却没有集中收集应急响应会非常被动。所以我的建议是关键服务器的审计日志至少保留180天并开启命令行审计。在红日靶场8这类演练环境里日志保留策略可能没那么严格但在真实生产环境横向渗透的攻击者经常会顺手清掉当前主机的部分日志如果没有集中日志溯源就直接断了。5.4 关于阻断手段的一些思路横向渗透的阻断不是单纯封IP而是破坏攻击链条。可以限制NTLM认证的使用范围开启SMB签名对管理端口做最小权限访问在主机侧开启Windows Defender防火墙控制内部445、135、5985等端口只允许白名单IP访问对高权限账户启用条件访问比如限制只允许从指定跳板机登录。这些措施单独看都有业务影响需要评估。但从红日靶场8这种环境的复现来看只要防守侧把“跨网段的敏感端口访问”和“异常的账户登录顺序”这两个点盯住横向渗透的空间就会大幅压缩。真实环境里还可以结合威胁情报和UEBA把“账户首次在四层网段登录”这类行为提升为高优先级告警。这些不是论文里的理论我在多个环境中实践下来是有效的。6. 这轮四层实战踩过的坑与后续玩法6.1 代理链的几个坑这里集中说一下这轮踩坑。第一个坑是代理链不稳定解决方式是确认中间跳板的网络连接和防火墙。有几次代理目标四层的服务时连接会随机超时后面发现是中间跳板上的防病毒软件在拦截本地代理进程的流量最后把测试端口加入白名单才恢复。第二个坑是工具不支持代理导致横向执行超时解决方法是把需要跨网段的工具直接上传到跳板机上执行而不是每次从攻击机穿透。第三个坑是权限运行问题有几次用服务方式执行命令时没有注意到目标机器上的服务权限受限命令起来了但没落地权限后来改用计划任务以系统身份运行才成功。这些坑看起来小但在长流程里会消耗大量时间特别是当你以为横向已经成功结果命令回显是“access denied”的时候。6.2 凭据收集的两条纪律凭据收集有两个纪律第一不要见什么抓什么要按“目标网段-目标服务”的维度收集否则你会得到大量无用凭据反而干扰判断第二抓到的凭据一定要记录原始来源和环境便于复现和写报告时说明风险路径。我在红日靶场8里曾抓到一个域用户的明文密码但一开始不知道它属于哪个网段、用于什么服务直到做了多次登录验证才定位到四层数据库服务器的管理账号白白绕了一段路。这种浪费在真实攻防里尤其致命因为每多一次登录尝试就多一批告警。好的做法是建立一张简单的凭据清单表格每个凭据后面对应来源主机、抓取时间、验证状态和目标服务宁可多写几行也不要凭记忆做横向。6.3 记录方法过程比结果重要实战流程是很容易做完就忘的所以我强烈建议过程中把每一步操作、命令、输出、时间线完整记录下来。不是写简单的“横向成功”而是记录例如从A主机通过B账户的哈希利用C工具的WMI通道访问D服务器445端口执行了E命令。这种记录不仅是自己的复盘素材也是在做攻防演练时向客户交付的核心证据。红日靶场8系列写到第四篇真正值钱的东西其实不是最终拿到什么权限而是那条可以被反复检验的技术链路。我每次复现完一个靶场都会把Markdown笔记整理成一份时间线报告包含每个环节产生的事件ID和网络连接特征。这样下次做防守侧的检测规则时我能直接把这些特征转换成可测试的规则而不用重新打一遍靶场。6.4 后续扩展这里还可以继续玩什么如果还想继续深入可以考虑给四层网段增加第二个域控或者部署一套真实的日志审计平台把自己前面做的横向动作作为攻击模拟数据源测试现有的告警规则能不能准确覆盖。另一种玩法是把四层主机部署为蜜罐观察横向渗透到达后会触发什么告警进而校准检测策略。这些都是把靶场复现转化为真实防御能力的路。我在做完这一轮四层流程之后最深的体会是横向渗透表面拼的是工具实际上拼的是对信任边界的理解和对痕迹的掌控。靶场里的一次成功如果能在告警日志里留下足够清晰的证据那它本身就是一次很好的攻防训练。下一篇文章如果有机会我会专门拆解这次四层过程中每条告警规则对应的日志查询语句把红队操作和蓝队检测直接对齐。
