内网渗透踩坑实录域环境下高频攻击手段与防御排查全梳理摘要内网域环境是绝大多数中大型企业真实网络架构也是护网行动、红队评估的主战场。很多渗透测试人员 Web 漏洞打得很熟练但进入域环境之后频频踩坑横向移动失败、票据攻击无效、拿不到域控权限同时防守方面对域被入侵不知道从哪里下手排查、清除后门、修复风险。本文站在红队实战踩坑 蓝队应急排查双视角梳理域环境高频攻击链路、各类经典域攻击原理、实战踩坑点、日志排查方法、持久化后门检测、加固防御方案帮助攻防双方完整吃透 Active Directory 域环境安全。免责声明本文全部技术内容仅限授权渗透测试、靶场学习、企业内部安全加固使用。未经企业书面授权禁止对任何企业内网、域环境实施扫描、渗透、票据伪造等攻击行为违规操作带来全部法律责任由行为人自行承担。前言做 Web 渗透的时候很多人觉得拿到 WebShell 就是胜利。但真实企业环境中Web 服务器往往只是内网的一个入口节点真正的核心资产、业务数据库、域控服务器全部藏在内网域环境当中。在我多次护网、授权红队实战当中见过大量真实现象不少新人靶场域环境玩得很溜到真实企业域哈希传递失败、黄金票据无法使用各种攻击手段全部失效拿到一台域内普通主机权限就直接尝试攻击域控忽略信息收集耗费大量时间毫无进展红队拿下域控之后留下持久化后门蓝队仅仅修改管理员密码攻击者依旧维持域管理员权限企业安全运维人员发生域入侵事件只会查杀病毒完全看不懂 Kerberos 票据、DCSync、各种权限维持手段无法彻底清除入侵痕迹。域渗透不是简单把靶场命令复制粘贴。真实企业域存在大量安全策略、组策略、SMB 签名、Credential Guard、LAPS、防火墙、杀毒 EDR很多靶场畅通无阻的攻击实战环境直接被拦截。本篇文章一方面复盘红队实战中频繁踩过的各类坑拆解域环境高频攻击手段讲清楚每一种攻击的利用条件、为什么会失败另一方面站在蓝队视角给出完整排查清单日志看什么、怎么发现票据攻击、如何检测持久化后门、事件 ID 对应什么威胁、被攻陷之后完整处置流程、长期加固方案。适合人群渗透测试工程师、网络安全自学人员、安全运维、蓝队应急响应人员、准备参加护网行动的同学。阅读提示阅读本文最好具备基础域概念域控 DC、域成员主机、域用户、组策略 GPO、Kerberos 认证基础。第一章域渗透前期信息收集90% 新手踩坑的起点很多人拿到域内一台主机 Shell 之后跳过信息收集直接上 Mimikatz 抓哈希、尝试横向移动这是域渗透第一大坑。靶场域信息全部摆在明面上现实企业域规模庞大成百上千台主机几十上百个服务账号盲目的横向移动只会触发大量告警还很难找到突破口。1.1 本机基础信息收集拿到 Shell 之后第一件事获取本机信息判断当前主机角色、当前用户权限、是否域内机器。重点收集内容判断主机是否加入域systeminfo查看域字段区分工作组机器和域成员机器当前登录用户是否登录域账号本地管理员权限还是普通域用户权限网卡信息内网网段是否多网卡是否可以访问其他网段域控机器名、域 DNS 服务器地址域内用户列表、域管理员组、高权限账号本机缓存凭证是否存在其他用户登录过本机留下凭证。实战踩坑点 1当前只是普通域用户权限没有本地管理员权限直接运行 Mimikatz 抓取内存凭证什么都拿不到。很多新手不判断权限上来就执行抓哈希命令报错之后一脸茫然。关键点抓取内存密码、NTLM 哈希必须本地管理员权限普通域用户权限无法导出其他用户内存凭据。实战踩坑点 2拿到一台域成员机器本机没有域管理员登录缓存本机抓不到域管理员哈希依旧强行 Pass‑the‑Hash 横向全部失败。域管理员不一定会登录每一台成员主机。1.2 域内大范围信息收集BloodHound 猎犬工具BloodHound猎犬是域环境信息收集神器通过 LDAP 协议读取域内全部对象关系画出攻击路径哪些用户登录哪些主机哪些账号属于高权限组哪些账号存在危险的 ACL 权限存在哪些可以被利用的约束委托、基于资源的约束委托。使用 SharpHound 采集数据导入 BloodHound 分析图谱。实战踩坑点汇总普通域用户默认就可以执行 LDAP 查询收集大量域信息不需要管理员权限。很多同学误以为必须域管才能跑 BloodHound部分企业配置 LDAP 签名强制直接导致 SharpHound 采集失败大规模采集 LDAP 数据会产生大量 4662 事件日志EDR、MDI 会直接告警护网红队不能毫无节制高频采集不要完全迷信 BloodHound 输出攻击路径部分路径仅仅是理论可行受组策略、防火墙、SMB 签名限制实战无法利用。1.3 域内存活主机、端口、服务账号 SPN 信息收集存活主机探测探测内网网段存活 Windows 主机开放 SMB 445、RDP3389、WinRM5985/5986 端口。踩坑很多企业内网主机开启防火墙445 端口域内主机之间并不互通靶场全部机器 445 开放现实经常不通哈希传递直接失效。SPN 服务账号枚举Kerberoasting 攻击前置条件SPN 即服务主体名称运行服务的域账号会注册 SPN。普通域用户就可以向域控请求服务票据 TGS票据使用该服务账号的 NTLM 哈希加密可以拿回来本地 hashcat 离线爆破。踩坑点不是所有账号都有 SPN普通员工账号没有 SPN只有 MSSQL、IIS、应用中间件这类服务账号才会注册 SPN。很多新人随便拿一个普通域账号尝试 Kerberoasting没有任何结果。1.4 本阶段蓝队防御排查视角监控普通域账号大量 LDAP 查询行为对应 BloodHound 探测监控域内大量 SPN 查询请求审计哪些普通账号具备读取 LDAP 大量数据的权限定期梳理域内 SPN 账号清单服务账号必须设置高强度密码定期修改。第二章域环境高频横向移动攻击手段原理、利用条件、实战踩坑拿到域内一台主机权限之后红队目标就是横向移动扩大控制范围最终向域控靠拢。横向移动是域渗透核心也是坑最多的环节。靶场几乎全部横向都能成功真实环境大量防御机制会拦截攻击。2.1 Pass‑the‑Hash 哈希传递PtH攻击原理拿到目标用户 NTLM 哈希不需要明文密码直接使用哈希进行 NTLM 认证访问远程主机 SMB、WinRM 等服务完成登录不需要知道明文密码Microsoft …。利用条件目标机器未开启 Credential Guard目标主机 445 端口开放网络可达该账号在目标主机拥有访问权限本地管理员权限最佳没有强制 SMB 签名。红队实战高频踩坑现代 Windows10 1709 以上版本默认限制本地管理员哈希传递UAC 远程限制即使拿到本地管理员哈希PtH 访问报错拒绝访问。很多靶场环境关闭了该保护实战踩坑。目标机器开启 Credential Guard内存不会存放 NTLM 哈希抓取不到完整哈希哈希传递完全失效。目标主机开启 SMB 强制签名哈希传递直接失败。很多新人拿着靶场成功的哈希实战反复失败不知道 SMB 签名的影响。拿到普通域用户哈希妄想横向登录域控该账号本身没有登录域控权限无论哈希是否正确全部访问拒绝。哈希只是认证材料账号本身权限决定能否登录目标机器。蓝队检测与防御检测安全日志事件 ID 4624 登录登录类型 3登录没有明文密码凭据出现异常账号跨多台主机登录行为。防御手段部署 Credential Guard阻止导出 NTLM 哈希开启 SMB 强制签名LAPS 方案每台主机本地管理员密码随机独立杜绝同一本地管理员哈希全内网通用网络分段限制域主机之间 445 端口互通。2.2 Pass‑the‑Ticket 票据传递PtT拿到内存当中 Kerberos 票据TGT/TGS导出票据在另一台主机导入票据使用票据完成 Kerberos 认证不需要密码和哈希。踩坑点票据存在有效期过期票据导入也无法使用票据和原主机会话、账号存在绑定关系部分环境导入票据直接失效只拿到 TGS 服务票据不能拿来申请其他服务只有 TGT 票据才可以向 KDC 申请新 TGS。2.3 Over‑pass‑the‑hash 票据重写OPtH白银票据变种使用 NTLM 哈希向域控 KDC 申请合法 TGT 票据不是伪造票据是向域控正常申请票据。区别于黄金票据不与域控通信。踩坑OPtH 必须网络连通域控能够和 KDC 通信。内网隔离无法访问 DC 的时候OPtH 无法执行黄金票据不需要和域控通信。2.4 Kerberoasting 攻击TGS 票据离线爆破攻击流程普通域用户向域控请求带有 SPN 账号的 TGS 服务票据TGS 票据使用服务账号 NTLM 哈希加密攻击者拿到票据回到本地hashcat 离线爆破破解得到服务账号明文密码。利用条件账号注册 SPN密码强度弱。普通域用户权限即可发起攻击不需要管理员。红队踩坑实录账号没有 SPN请求票据直接失败服务账号密码复杂度很高离线爆破几个月跑不出来很多企业服务账号几年不修改密码但密码很长Kerberoasting 无效如果域使用 AES‑256 加密算法爆破难度指数级上升NTLM 加密的票据更容易爆破。蓝队排查加固事件 ID4769大量 TGS 请求同一个账号短时间请求大量 SPN 票据所有 SPN 服务账号使用高强度长密码定期轮换优先使用 AES 加密模式降低爆破可行性。2.5 AS‑REP Roasting 攻击账号属性开启 “不需要 Kerberos 预身份验证”攻击者无需任何凭据就可以向 KDC 获取该账号 AS‑REP 响应数据包数据包用账号密码哈希加密本地离线爆破获取密码。踩坑企业中绝大多数账号默认开启预认证只有老旧业务兼容才会关闭预认证该攻击场景现实没有 Kerberoasting 出现频率高。防御审计域账号属性除非业务强需求禁止关闭 Kerberos 预认证。2.6 SMB Relay 中继攻击中间人攻击接收 NTLM 认证请求中继转发到另一台机器实现身份冒用。踩坑点目标机器没有开启 SMB 签名一旦开启强制 SMB 签名SMB‑Relay 直接作废。现在新版域控默认开启 SMB 签名很难中继域控本身经常针对成员主机。2.7 域内权限 ACL 滥用攻击很多企业配置不当普通域用户被授予高权限 ACL可以改写另一个用户属性、重置账号密码、添加用户到域管理员组、修改 SPN。BloodHound 经常会标记这类高危 ACL 路径。踩坑很多新手看到 BloodHound 标记可写 ACL 就直接操作但是受到组策略、对象权限继承、EDR 监控修改行为直接告警。第三章域控攻陷攻击黄金票据、白银票据、DCSync 深度拆解与实战踩坑当红队目标拿下域控权限最经典三类攻击黄金票据、白银票据、DCSync。这三块也是很多学习者混淆最严重的部分。3.1 黄金票据 Golden Ticket攻击原理攻击者拿到域 krbtgt 账号 NTLM 哈希不跟域控做任何交互本地伪造 TGT 票据。伪造 TGT 可以填写任意用户不管用户是否真实存在赋予任意域权限域管理员票据有效期可以人为设置好几年实现域内持久化控制。krbtgt 账号是域 KDC 服务账号每个域唯一。实战红队踩坑高频伪造黄金票据主机必须 DNS 可以解析域名Kerberos 依赖 DNSDNS 解析失败导入黄金票据之后访问全部报错。很多靶场虚拟机 DNS 配置完整实战拿到一台机器 DNS 异常黄金票据完全用不了很多人找不到问题根源。krbtgt 哈希拿错子域环境混淆父域 krbtgt票据生成直接无效黄金票据本身不经过域控校验但是访问资源的时候目标服务器会校验 PAC 签名部分新版 Windows 会强化 PAC 校验老旧 Mimikatz 生成黄金票据 PAC 不合格访问被拒绝很多人以为生成黄金票据就直接等于完全拿下域控黄金票据只是一个 TGT 票据可以访问域内资源并不代表你已经登录域控主机桌面 / RDP需要后续继续横向。应急处置最大的坑企业被植入黄金票据之后仅仅修改域管理员密码不修改 krbtgt 账号密码黄金票据依旧生效攻击者继续拥有域管理员权限。修复黄金票据必须连续修改 krbtgt 密码两次等待域复制完成旧票据全部失效MITRE ATT…。3.2 白银票据 Silver Ticket白银票据伪造 TGS 服务票据针对单个服务CIFS、LDAP、HTTP使用目标服务账号哈希生成。比如伪造 CIFS 服务票据访问 DC 的文件服务。黄金票据krbtgt 哈希伪造 TGT全部服务通用不与 KDC 通信。白银票据目标服务账号哈希伪造 TGS只针对某一项服务不需要 KDC 交互。踩坑白银票据只针对指定服务生成 CIFS 票据不能用来访问 LDAP 服务。很多新手生成一张白银票据想干所有事情访问其他服务直接失败。3.3 DCSync 攻击DCSync 是 Mimikatz 当中 lsadump::dcsync 模块。利用域控制器 DRS 远程复制协议模拟域复制向域控请求导出域内所有账号哈希包括 krbtgt、域管理员哈希不需要登录域控主机只要账号拥有域复制权限域管理员、企业管理员、域控制器账号默认具备该权限。重大实战踩坑DCSync 不需要本机在域控一台普通域成员主机只要当前账号拥有域复制权限就可以远程导出全部域账号哈希。很多运维以为只有登录 DC 才能够导出 NTDS.dit这是巨大认知误区。部分企业错误给服务账号授予域复制权限该账号一旦沦陷直接完整导出全域哈希。蓝队检测 DCSync监控域控事件 ID 4662带有复制对象操作非域控主机发起大量 DRS 复制请求属于高危告警。3.4 NTDS.dit 本地导出如果已经获取域控本机管理员权限可以直接导出 ntds.dit 数据库文件该文件存放全部域账号哈希配合 system 注册表文件解密得到全部账号 NTLM 哈希。踩坑域控运行时 ntds.dit 被占用不能直接复制文件需要使用卷影拷贝工具导出。第四章域环境持久化后门技术攻陷之后如何留后门蓝队如何排查清除攻击者拿到域权限之后一定会部署持久化后门即使管理员修改全部用户密码攻击者依旧维持权限。很多企业应急只修改密码后门没有清除反复沦陷。下面梳理域环境常见持久化手段以及排查方法。4.1 票据类持久化黄金票据前面讲过拿到 krbtgt 哈希随时本地生成黄金票据。即使所有域用户密码重置krbtgt 不改后门一直有效。✅清除处置修改 krbtgt 账号密码两次等待域复制完成旧黄金票据全部作废。4.2 影子管理员账号攻击者新建普通域账号表面上账号属于普通域用户组通过修改 ACL 权限赋予账号重置域管理员密码、读取域内全部对象权限。账号不在域管理员组但是实际拥有域管理员能力。常规用户组查看无法发现BloodHound 可以检测异常 ACL 权限。排查审计全部域对象 ACL 权限查找异常账号被赋予高权限。4.3 DSRM 域控目录恢复模式账号后门每一台域控都有本地 DSRM 管理员账号平时不启用。攻击者拿到 DC 权限之后修改注册表键值允许 DSRM 账号正常登录域控。即使域域账号全部重置DSRM 账号独立依旧可以登录域控主机。排查检查 DC 注册表HKLM\System\CurrentControlSet\Control\LsaDSRMAdministrator 项。清除修改全部域控 DSRM 账号密码恢复注册表键值。4.4 GPO 组策略后门修改现有组策略增加登录脚本、启动脚本。域内所有主机应用组策略之后执行恶意脚本。一旦组策略被篡改域内成百上千台主机全部植入后门。排查审计组策略修改事件事件 ID5136监控 GPO 对象变更。4.5 基于资源的约束委托 RBCD 持久化给被攻陷机器设置 RBCD 权限任意域账号可以委派访问该主机。攻击者可以构造票据访问主机作为持久化入口。BloodHound 可检测异常 RBCD 配置。4.6 普通系统层面持久化域成员主机 域控主机通用除了域特有后门攻击者还会使用 Windows 通用持久化技术新建隐藏本地管理员账号计划任务 schtasks注册表 Run 启动项服务创建恶意服务植入 WebShell日志清除wevtutil 清除安全日志事件 ID104 代表日志被清空。蓝队踩坑很多应急人员只关注域层面后门忽略域控本机 Windows 系统后门。域控本身也是一台 Windows Server 服务器系统层面后门同样存在。第五章域入侵蓝队完整排查流程、关键事件 ID、应急处置步骤当企业确认域环境已经被入侵很多运维无从下手不知道日志看哪些处置顺序搞错导致清除不干净。本章完整梳理排查思路。5.1 域控优先收集日志位置域控服务器 Windows 日志 —— 安全日志 Security是最重要数据源。开启必要审计策略账户管理审计、登录审计、目录服务变更审计。如果没有开启审计大量攻击行为不会留下日志。重点关注关键安全事件 ID 清单4624账号成功登录甄别异常登录来源主机、登录账号4625登录失败暴力爆破行为4720新建域用户4728账号被添加到高权限组域管理员组4662目录对象操作DCSync 域复制行为重点看这个事件4768请求 TGT 票据4769请求 TGS 票据Kerberoasting 攻击大量产生该事件104日志被清空攻击者清理痕迹高危告警5136目录对象属性修改ACL 篡改、GPO 修改。踩坑日志保存在本地域控如果攻击者已经清除本地日志一定要调取 SIEM、日志服务器上的远程备份日志。只看本机日志会丢失全部证据。5.2 分步排查清单域被攻陷之后执行第一步隔离被攻陷主机将已经确认沦陷的域成员主机网络隔离防止继续横向扩散域控不要直接关机优先留存取证镜像。第二步排查域内异常账号查看所有域管理员组成员确认没有陌生账号使用 BloodHound 审查全部 ACL 权限查找影子账号检查账号属性是否存在关闭 Kerberos 预认证的账号检查 SPN 服务账号清单确认是否有陌生 SPN。第三步检查域特有持久化后门检查所有域控 DSRM 注册表配置与密码检查 GPO 组策略变更记录查看是否存在异常启动脚本检测 RBCD 基于资源约束委托异常配置如果怀疑黄金票据后门修改 krbtgt 账号密码两次等待 AD 复制完成。第四步域控本机系统层面排查域控本身是 Windows 服务器检查计划任务、服务、启动项、陌生进程、可疑文件、注册表启动项查杀恶意程序。第五步密码重置策略非常多企业踩大坑❌错误操作仅仅修改域管理员密码。攻击者如果拿到 krbtgt 哈希、留有影子账号、DSRM 后门修改域管理员密码完全无效。✅正确顺序清除全部域和系统层面持久化后门修改 krbtgt 账号密码两次重置所有高权限域账号密码域管理员、企业管理员、各类 SPN 服务账号普通域用户按需重置。第六步溯源攻击入口回溯日志寻找最开始入侵点是 Web 服务器 Shell 打进内网钓鱼主机沦陷弱口令爆破还是外部服务器账号泄露进入内网。找不到入口修复之后攻击者会再次从相同路径入侵。第六章实战踩坑复盘红队与蓝队高频误区汇总6.1 红队渗透测试高频误区完全照搬靶场命令不理解攻击前置条件靶场环境全部防护关闭SMB 全开没有 Credential Guard没有 SMB 签名。真实环境每一种攻击都有前提条件条件不满足工具再强也无法利用。PtH、Kerberoasting、黄金票据全部有利用前提。跳过信息收集上来就抓哈希、打域控不跑 BloodHound不梳理 SPN不判断账号权限盲目横向移动只会大量触发安全告警很难拿到成果。DNS 问题忽视黄金票据、Kerberos 攻击大量失败Kerberos 高度依赖 DNS 解析很多人忽略这个关键点。Shell 主机 DNS 异常票据类攻击全部报错。拿到 DCSync 权限直接导出全部域哈希不考虑告警DCSync 行为特征极其明显护网红队大规模 DCSync 几乎瞬间被蓝队捕获。混淆 TGT 票据与 TGS 票据票据传递乱用TGT 可以申请任意服务TGS 只能访问对应单一服务很多学习者二者分不清。忽视权限维持痕迹红队授权测试完成之后必须清除自己留下的所有后门、计划任务、异常账号、票据修改 krbtgt 一定要还原不然会给企业留下真实安全隐患。6.2 蓝队运维应急高频误区域被入侵只改域管理员密码不去处理 krbtgt 账号黄金票据后门依旧存活只查杀病毒不去审计 AD 域对象、ACL、GPO、DSRM 这些域层面后门不做日志远程备份攻击者清空本地安全日志之后没有任何溯源数据认为只要不登录域控主机就不会发生 DCSync 攻击不知道域复制权限可以远程导出全部哈希忽视服务账号安全SPN 服务账号几年不更换密码成为 Kerberoasting 攻击突破口。第七章企业域环境长期安全加固方案结合前面所有攻击手段给出一套可落地 AD 域加固清单。账号安全加固高权限域账号、SPN 服务账号设置高强度复杂密码定期轮换禁止随意关闭账号 Kerberos 预认证高权限管理员账号禁止登录普通业务成员主机防止内存凭据被抓取梳理 ACL 权限收回普通账号多余写权限杜绝影子管理员部署 LAPS每台主机本地管理员随机独立密码防御 PtH 哈希传递横向移动。网络层面加固内网网络分段不是域内主机之间全部 445 互通业务服务器、办公终端、域控做网络隔离域控限制访问来源 IP仅允许管理运维主机访问域控的 SMB、LDAP域控制器开启强制 SMB 签名抵御 SMB 中继攻击。审计与日志体系域控完整开启安全审计策略所有域控安全日志实时转发到独立 SIEM 日志平台做远程备份防止本地日志被删除部署 Defender for IdentityMDI专门检测 Kerberos 票据异常、DCSync、异常 LDAP 查询、黄金票据使用等域攻击行为Microsoft …。域对象防护严格管控域复制权限除域控制器账号之外尽量不要赋予普通服务账号域复制权限定期审计 GPO 组策略修改记录防止组策略植入后门定期修改 krbtgt 账号密码建议至少半年一次定期更新全部域控服务器系统补丁。运维安全规范管理员不要用域管理员账号在普通终端上网、打开钓鱼文档钓鱼沦陷终端会直接泄露域管理员内存凭据造成整个域沦陷。写在最后域渗透学习最大难点不在于记住一条条命令而是搞懂每一个攻击背后的前提条件。很多人学完一堆 Mimikatz 命令却不知道攻击为什么会生效为什么实战会失败。红队视角不要迷信靶场效果真实域环境有大量防护每一次攻击之前先判断前置条件做好信息收集再选择对应的攻击手段。蓝队视角域环境被入侵不仅仅是查杀病毒。Active Directory 本身的账号、ACL、票据、krbtgt、GPO、DSRM全部都是攻击者后门点位。只改管理员密码远远不足以完成应急处置。护网、红蓝对抗当中Web 只是入口内网域才是主战场。理解攻击原理理解检测方式攻防一体才能够真正吃透域环境安全。希望本篇踩坑实录帮助大家避开学习路上的大量陷阱。了解网络安全首先要搞清楚下面这些前提网络安全到底包含哪些技术是否需要会编程网络安全行业有哪些职业方向“我”该如何选择网络安全的职业发展和成长路线是什么如果你是准备学习网络安全黑客或者正在学习下面这些你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】
内网渗透踩坑实录域环境下高频攻击手段与防御排查全梳理摘要内网域环境是绝大多数中大型企业真实网络架构也是护网行动、红队评估的主战场。很多渗透测试人员 Web 漏洞打得很熟练但进入域环境之后频频踩坑横向移动失败、票据攻击无效、拿不到域控权限同时防守方面对域被入侵不知道从哪里下手排查、清除后门、修复风险。本文站在红队实战踩坑 蓝队应急排查双视角梳理域环境高频攻击链路、各类经典域攻击原理、实战踩坑点、日志排查方法、持久化后门检测、加固防御方案帮助攻防双方完整吃透 Active Directory 域环境安全。免责声明本文全部技术内容仅限授权渗透测试、靶场学习、企业内部安全加固使用。未经企业书面授权禁止对任何企业内网、域环境实施扫描、渗透、票据伪造等攻击行为违规操作带来全部法律责任由行为人自行承担。前言做 Web 渗透的时候很多人觉得拿到 WebShell 就是胜利。但真实企业环境中Web 服务器往往只是内网的一个入口节点真正的核心资产、业务数据库、域控服务器全部藏在内网域环境当中。在我多次护网、授权红队实战当中见过大量真实现象不少新人靶场域环境玩得很溜到真实企业域哈希传递失败、黄金票据无法使用各种攻击手段全部失效拿到一台域内普通主机权限就直接尝试攻击域控忽略信息收集耗费大量时间毫无进展红队拿下域控之后留下持久化后门蓝队仅仅修改管理员密码攻击者依旧维持域管理员权限企业安全运维人员发生域入侵事件只会查杀病毒完全看不懂 Kerberos 票据、DCSync、各种权限维持手段无法彻底清除入侵痕迹。域渗透不是简单把靶场命令复制粘贴。真实企业域存在大量安全策略、组策略、SMB 签名、Credential Guard、LAPS、防火墙、杀毒 EDR很多靶场畅通无阻的攻击实战环境直接被拦截。本篇文章一方面复盘红队实战中频繁踩过的各类坑拆解域环境高频攻击手段讲清楚每一种攻击的利用条件、为什么会失败另一方面站在蓝队视角给出完整排查清单日志看什么、怎么发现票据攻击、如何检测持久化后门、事件 ID 对应什么威胁、被攻陷之后完整处置流程、长期加固方案。适合人群渗透测试工程师、网络安全自学人员、安全运维、蓝队应急响应人员、准备参加护网行动的同学。阅读提示阅读本文最好具备基础域概念域控 DC、域成员主机、域用户、组策略 GPO、Kerberos 认证基础。第一章域渗透前期信息收集90% 新手踩坑的起点很多人拿到域内一台主机 Shell 之后跳过信息收集直接上 Mimikatz 抓哈希、尝试横向移动这是域渗透第一大坑。靶场域信息全部摆在明面上现实企业域规模庞大成百上千台主机几十上百个服务账号盲目的横向移动只会触发大量告警还很难找到突破口。1.1 本机基础信息收集拿到 Shell 之后第一件事获取本机信息判断当前主机角色、当前用户权限、是否域内机器。重点收集内容判断主机是否加入域systeminfo查看域字段区分工作组机器和域成员机器当前登录用户是否登录域账号本地管理员权限还是普通域用户权限网卡信息内网网段是否多网卡是否可以访问其他网段域控机器名、域 DNS 服务器地址域内用户列表、域管理员组、高权限账号本机缓存凭证是否存在其他用户登录过本机留下凭证。实战踩坑点 1当前只是普通域用户权限没有本地管理员权限直接运行 Mimikatz 抓取内存凭证什么都拿不到。很多新手不判断权限上来就执行抓哈希命令报错之后一脸茫然。关键点抓取内存密码、NTLM 哈希必须本地管理员权限普通域用户权限无法导出其他用户内存凭据。实战踩坑点 2拿到一台域成员机器本机没有域管理员登录缓存本机抓不到域管理员哈希依旧强行 Pass‑the‑Hash 横向全部失败。域管理员不一定会登录每一台成员主机。1.2 域内大范围信息收集BloodHound 猎犬工具BloodHound猎犬是域环境信息收集神器通过 LDAP 协议读取域内全部对象关系画出攻击路径哪些用户登录哪些主机哪些账号属于高权限组哪些账号存在危险的 ACL 权限存在哪些可以被利用的约束委托、基于资源的约束委托。使用 SharpHound 采集数据导入 BloodHound 分析图谱。实战踩坑点汇总普通域用户默认就可以执行 LDAP 查询收集大量域信息不需要管理员权限。很多同学误以为必须域管才能跑 BloodHound部分企业配置 LDAP 签名强制直接导致 SharpHound 采集失败大规模采集 LDAP 数据会产生大量 4662 事件日志EDR、MDI 会直接告警护网红队不能毫无节制高频采集不要完全迷信 BloodHound 输出攻击路径部分路径仅仅是理论可行受组策略、防火墙、SMB 签名限制实战无法利用。1.3 域内存活主机、端口、服务账号 SPN 信息收集存活主机探测探测内网网段存活 Windows 主机开放 SMB 445、RDP3389、WinRM5985/5986 端口。踩坑很多企业内网主机开启防火墙445 端口域内主机之间并不互通靶场全部机器 445 开放现实经常不通哈希传递直接失效。SPN 服务账号枚举Kerberoasting 攻击前置条件SPN 即服务主体名称运行服务的域账号会注册 SPN。普通域用户就可以向域控请求服务票据 TGS票据使用该服务账号的 NTLM 哈希加密可以拿回来本地 hashcat 离线爆破。踩坑点不是所有账号都有 SPN普通员工账号没有 SPN只有 MSSQL、IIS、应用中间件这类服务账号才会注册 SPN。很多新人随便拿一个普通域账号尝试 Kerberoasting没有任何结果。1.4 本阶段蓝队防御排查视角监控普通域账号大量 LDAP 查询行为对应 BloodHound 探测监控域内大量 SPN 查询请求审计哪些普通账号具备读取 LDAP 大量数据的权限定期梳理域内 SPN 账号清单服务账号必须设置高强度密码定期修改。第二章域环境高频横向移动攻击手段原理、利用条件、实战踩坑拿到域内一台主机权限之后红队目标就是横向移动扩大控制范围最终向域控靠拢。横向移动是域渗透核心也是坑最多的环节。靶场几乎全部横向都能成功真实环境大量防御机制会拦截攻击。2.1 Pass‑the‑Hash 哈希传递PtH攻击原理拿到目标用户 NTLM 哈希不需要明文密码直接使用哈希进行 NTLM 认证访问远程主机 SMB、WinRM 等服务完成登录不需要知道明文密码Microsoft …。利用条件目标机器未开启 Credential Guard目标主机 445 端口开放网络可达该账号在目标主机拥有访问权限本地管理员权限最佳没有强制 SMB 签名。红队实战高频踩坑现代 Windows10 1709 以上版本默认限制本地管理员哈希传递UAC 远程限制即使拿到本地管理员哈希PtH 访问报错拒绝访问。很多靶场环境关闭了该保护实战踩坑。目标机器开启 Credential Guard内存不会存放 NTLM 哈希抓取不到完整哈希哈希传递完全失效。目标主机开启 SMB 强制签名哈希传递直接失败。很多新人拿着靶场成功的哈希实战反复失败不知道 SMB 签名的影响。拿到普通域用户哈希妄想横向登录域控该账号本身没有登录域控权限无论哈希是否正确全部访问拒绝。哈希只是认证材料账号本身权限决定能否登录目标机器。蓝队检测与防御检测安全日志事件 ID 4624 登录登录类型 3登录没有明文密码凭据出现异常账号跨多台主机登录行为。防御手段部署 Credential Guard阻止导出 NTLM 哈希开启 SMB 强制签名LAPS 方案每台主机本地管理员密码随机独立杜绝同一本地管理员哈希全内网通用网络分段限制域主机之间 445 端口互通。2.2 Pass‑the‑Ticket 票据传递PtT拿到内存当中 Kerberos 票据TGT/TGS导出票据在另一台主机导入票据使用票据完成 Kerberos 认证不需要密码和哈希。踩坑点票据存在有效期过期票据导入也无法使用票据和原主机会话、账号存在绑定关系部分环境导入票据直接失效只拿到 TGS 服务票据不能拿来申请其他服务只有 TGT 票据才可以向 KDC 申请新 TGS。2.3 Over‑pass‑the‑hash 票据重写OPtH白银票据变种使用 NTLM 哈希向域控 KDC 申请合法 TGT 票据不是伪造票据是向域控正常申请票据。区别于黄金票据不与域控通信。踩坑OPtH 必须网络连通域控能够和 KDC 通信。内网隔离无法访问 DC 的时候OPtH 无法执行黄金票据不需要和域控通信。2.4 Kerberoasting 攻击TGS 票据离线爆破攻击流程普通域用户向域控请求带有 SPN 账号的 TGS 服务票据TGS 票据使用服务账号 NTLM 哈希加密攻击者拿到票据回到本地hashcat 离线爆破破解得到服务账号明文密码。利用条件账号注册 SPN密码强度弱。普通域用户权限即可发起攻击不需要管理员。红队踩坑实录账号没有 SPN请求票据直接失败服务账号密码复杂度很高离线爆破几个月跑不出来很多企业服务账号几年不修改密码但密码很长Kerberoasting 无效如果域使用 AES‑256 加密算法爆破难度指数级上升NTLM 加密的票据更容易爆破。蓝队排查加固事件 ID4769大量 TGS 请求同一个账号短时间请求大量 SPN 票据所有 SPN 服务账号使用高强度长密码定期轮换优先使用 AES 加密模式降低爆破可行性。2.5 AS‑REP Roasting 攻击账号属性开启 “不需要 Kerberos 预身份验证”攻击者无需任何凭据就可以向 KDC 获取该账号 AS‑REP 响应数据包数据包用账号密码哈希加密本地离线爆破获取密码。踩坑企业中绝大多数账号默认开启预认证只有老旧业务兼容才会关闭预认证该攻击场景现实没有 Kerberoasting 出现频率高。防御审计域账号属性除非业务强需求禁止关闭 Kerberos 预认证。2.6 SMB Relay 中继攻击中间人攻击接收 NTLM 认证请求中继转发到另一台机器实现身份冒用。踩坑点目标机器没有开启 SMB 签名一旦开启强制 SMB 签名SMB‑Relay 直接作废。现在新版域控默认开启 SMB 签名很难中继域控本身经常针对成员主机。2.7 域内权限 ACL 滥用攻击很多企业配置不当普通域用户被授予高权限 ACL可以改写另一个用户属性、重置账号密码、添加用户到域管理员组、修改 SPN。BloodHound 经常会标记这类高危 ACL 路径。踩坑很多新手看到 BloodHound 标记可写 ACL 就直接操作但是受到组策略、对象权限继承、EDR 监控修改行为直接告警。第三章域控攻陷攻击黄金票据、白银票据、DCSync 深度拆解与实战踩坑当红队目标拿下域控权限最经典三类攻击黄金票据、白银票据、DCSync。这三块也是很多学习者混淆最严重的部分。3.1 黄金票据 Golden Ticket攻击原理攻击者拿到域 krbtgt 账号 NTLM 哈希不跟域控做任何交互本地伪造 TGT 票据。伪造 TGT 可以填写任意用户不管用户是否真实存在赋予任意域权限域管理员票据有效期可以人为设置好几年实现域内持久化控制。krbtgt 账号是域 KDC 服务账号每个域唯一。实战红队踩坑高频伪造黄金票据主机必须 DNS 可以解析域名Kerberos 依赖 DNSDNS 解析失败导入黄金票据之后访问全部报错。很多靶场虚拟机 DNS 配置完整实战拿到一台机器 DNS 异常黄金票据完全用不了很多人找不到问题根源。krbtgt 哈希拿错子域环境混淆父域 krbtgt票据生成直接无效黄金票据本身不经过域控校验但是访问资源的时候目标服务器会校验 PAC 签名部分新版 Windows 会强化 PAC 校验老旧 Mimikatz 生成黄金票据 PAC 不合格访问被拒绝很多人以为生成黄金票据就直接等于完全拿下域控黄金票据只是一个 TGT 票据可以访问域内资源并不代表你已经登录域控主机桌面 / RDP需要后续继续横向。应急处置最大的坑企业被植入黄金票据之后仅仅修改域管理员密码不修改 krbtgt 账号密码黄金票据依旧生效攻击者继续拥有域管理员权限。修复黄金票据必须连续修改 krbtgt 密码两次等待域复制完成旧票据全部失效MITRE ATT…。3.2 白银票据 Silver Ticket白银票据伪造 TGS 服务票据针对单个服务CIFS、LDAP、HTTP使用目标服务账号哈希生成。比如伪造 CIFS 服务票据访问 DC 的文件服务。黄金票据krbtgt 哈希伪造 TGT全部服务通用不与 KDC 通信。白银票据目标服务账号哈希伪造 TGS只针对某一项服务不需要 KDC 交互。踩坑白银票据只针对指定服务生成 CIFS 票据不能用来访问 LDAP 服务。很多新手生成一张白银票据想干所有事情访问其他服务直接失败。3.3 DCSync 攻击DCSync 是 Mimikatz 当中 lsadump::dcsync 模块。利用域控制器 DRS 远程复制协议模拟域复制向域控请求导出域内所有账号哈希包括 krbtgt、域管理员哈希不需要登录域控主机只要账号拥有域复制权限域管理员、企业管理员、域控制器账号默认具备该权限。重大实战踩坑DCSync 不需要本机在域控一台普通域成员主机只要当前账号拥有域复制权限就可以远程导出全部域账号哈希。很多运维以为只有登录 DC 才能够导出 NTDS.dit这是巨大认知误区。部分企业错误给服务账号授予域复制权限该账号一旦沦陷直接完整导出全域哈希。蓝队检测 DCSync监控域控事件 ID 4662带有复制对象操作非域控主机发起大量 DRS 复制请求属于高危告警。3.4 NTDS.dit 本地导出如果已经获取域控本机管理员权限可以直接导出 ntds.dit 数据库文件该文件存放全部域账号哈希配合 system 注册表文件解密得到全部账号 NTLM 哈希。踩坑域控运行时 ntds.dit 被占用不能直接复制文件需要使用卷影拷贝工具导出。第四章域环境持久化后门技术攻陷之后如何留后门蓝队如何排查清除攻击者拿到域权限之后一定会部署持久化后门即使管理员修改全部用户密码攻击者依旧维持权限。很多企业应急只修改密码后门没有清除反复沦陷。下面梳理域环境常见持久化手段以及排查方法。4.1 票据类持久化黄金票据前面讲过拿到 krbtgt 哈希随时本地生成黄金票据。即使所有域用户密码重置krbtgt 不改后门一直有效。✅清除处置修改 krbtgt 账号密码两次等待域复制完成旧黄金票据全部作废。4.2 影子管理员账号攻击者新建普通域账号表面上账号属于普通域用户组通过修改 ACL 权限赋予账号重置域管理员密码、读取域内全部对象权限。账号不在域管理员组但是实际拥有域管理员能力。常规用户组查看无法发现BloodHound 可以检测异常 ACL 权限。排查审计全部域对象 ACL 权限查找异常账号被赋予高权限。4.3 DSRM 域控目录恢复模式账号后门每一台域控都有本地 DSRM 管理员账号平时不启用。攻击者拿到 DC 权限之后修改注册表键值允许 DSRM 账号正常登录域控。即使域域账号全部重置DSRM 账号独立依旧可以登录域控主机。排查检查 DC 注册表HKLM\System\CurrentControlSet\Control\LsaDSRMAdministrator 项。清除修改全部域控 DSRM 账号密码恢复注册表键值。4.4 GPO 组策略后门修改现有组策略增加登录脚本、启动脚本。域内所有主机应用组策略之后执行恶意脚本。一旦组策略被篡改域内成百上千台主机全部植入后门。排查审计组策略修改事件事件 ID5136监控 GPO 对象变更。4.5 基于资源的约束委托 RBCD 持久化给被攻陷机器设置 RBCD 权限任意域账号可以委派访问该主机。攻击者可以构造票据访问主机作为持久化入口。BloodHound 可检测异常 RBCD 配置。4.6 普通系统层面持久化域成员主机 域控主机通用除了域特有后门攻击者还会使用 Windows 通用持久化技术新建隐藏本地管理员账号计划任务 schtasks注册表 Run 启动项服务创建恶意服务植入 WebShell日志清除wevtutil 清除安全日志事件 ID104 代表日志被清空。蓝队踩坑很多应急人员只关注域层面后门忽略域控本机 Windows 系统后门。域控本身也是一台 Windows Server 服务器系统层面后门同样存在。第五章域入侵蓝队完整排查流程、关键事件 ID、应急处置步骤当企业确认域环境已经被入侵很多运维无从下手不知道日志看哪些处置顺序搞错导致清除不干净。本章完整梳理排查思路。5.1 域控优先收集日志位置域控服务器 Windows 日志 —— 安全日志 Security是最重要数据源。开启必要审计策略账户管理审计、登录审计、目录服务变更审计。如果没有开启审计大量攻击行为不会留下日志。重点关注关键安全事件 ID 清单4624账号成功登录甄别异常登录来源主机、登录账号4625登录失败暴力爆破行为4720新建域用户4728账号被添加到高权限组域管理员组4662目录对象操作DCSync 域复制行为重点看这个事件4768请求 TGT 票据4769请求 TGS 票据Kerberoasting 攻击大量产生该事件104日志被清空攻击者清理痕迹高危告警5136目录对象属性修改ACL 篡改、GPO 修改。踩坑日志保存在本地域控如果攻击者已经清除本地日志一定要调取 SIEM、日志服务器上的远程备份日志。只看本机日志会丢失全部证据。5.2 分步排查清单域被攻陷之后执行第一步隔离被攻陷主机将已经确认沦陷的域成员主机网络隔离防止继续横向扩散域控不要直接关机优先留存取证镜像。第二步排查域内异常账号查看所有域管理员组成员确认没有陌生账号使用 BloodHound 审查全部 ACL 权限查找影子账号检查账号属性是否存在关闭 Kerberos 预认证的账号检查 SPN 服务账号清单确认是否有陌生 SPN。第三步检查域特有持久化后门检查所有域控 DSRM 注册表配置与密码检查 GPO 组策略变更记录查看是否存在异常启动脚本检测 RBCD 基于资源约束委托异常配置如果怀疑黄金票据后门修改 krbtgt 账号密码两次等待 AD 复制完成。第四步域控本机系统层面排查域控本身是 Windows 服务器检查计划任务、服务、启动项、陌生进程、可疑文件、注册表启动项查杀恶意程序。第五步密码重置策略非常多企业踩大坑❌错误操作仅仅修改域管理员密码。攻击者如果拿到 krbtgt 哈希、留有影子账号、DSRM 后门修改域管理员密码完全无效。✅正确顺序清除全部域和系统层面持久化后门修改 krbtgt 账号密码两次重置所有高权限域账号密码域管理员、企业管理员、各类 SPN 服务账号普通域用户按需重置。第六步溯源攻击入口回溯日志寻找最开始入侵点是 Web 服务器 Shell 打进内网钓鱼主机沦陷弱口令爆破还是外部服务器账号泄露进入内网。找不到入口修复之后攻击者会再次从相同路径入侵。第六章实战踩坑复盘红队与蓝队高频误区汇总6.1 红队渗透测试高频误区完全照搬靶场命令不理解攻击前置条件靶场环境全部防护关闭SMB 全开没有 Credential Guard没有 SMB 签名。真实环境每一种攻击都有前提条件条件不满足工具再强也无法利用。PtH、Kerberoasting、黄金票据全部有利用前提。跳过信息收集上来就抓哈希、打域控不跑 BloodHound不梳理 SPN不判断账号权限盲目横向移动只会大量触发安全告警很难拿到成果。DNS 问题忽视黄金票据、Kerberos 攻击大量失败Kerberos 高度依赖 DNS 解析很多人忽略这个关键点。Shell 主机 DNS 异常票据类攻击全部报错。拿到 DCSync 权限直接导出全部域哈希不考虑告警DCSync 行为特征极其明显护网红队大规模 DCSync 几乎瞬间被蓝队捕获。混淆 TGT 票据与 TGS 票据票据传递乱用TGT 可以申请任意服务TGS 只能访问对应单一服务很多学习者二者分不清。忽视权限维持痕迹红队授权测试完成之后必须清除自己留下的所有后门、计划任务、异常账号、票据修改 krbtgt 一定要还原不然会给企业留下真实安全隐患。6.2 蓝队运维应急高频误区域被入侵只改域管理员密码不去处理 krbtgt 账号黄金票据后门依旧存活只查杀病毒不去审计 AD 域对象、ACL、GPO、DSRM 这些域层面后门不做日志远程备份攻击者清空本地安全日志之后没有任何溯源数据认为只要不登录域控主机就不会发生 DCSync 攻击不知道域复制权限可以远程导出全部哈希忽视服务账号安全SPN 服务账号几年不更换密码成为 Kerberoasting 攻击突破口。第七章企业域环境长期安全加固方案结合前面所有攻击手段给出一套可落地 AD 域加固清单。账号安全加固高权限域账号、SPN 服务账号设置高强度复杂密码定期轮换禁止随意关闭账号 Kerberos 预认证高权限管理员账号禁止登录普通业务成员主机防止内存凭据被抓取梳理 ACL 权限收回普通账号多余写权限杜绝影子管理员部署 LAPS每台主机本地管理员随机独立密码防御 PtH 哈希传递横向移动。网络层面加固内网网络分段不是域内主机之间全部 445 互通业务服务器、办公终端、域控做网络隔离域控限制访问来源 IP仅允许管理运维主机访问域控的 SMB、LDAP域控制器开启强制 SMB 签名抵御 SMB 中继攻击。审计与日志体系域控完整开启安全审计策略所有域控安全日志实时转发到独立 SIEM 日志平台做远程备份防止本地日志被删除部署 Defender for IdentityMDI专门检测 Kerberos 票据异常、DCSync、异常 LDAP 查询、黄金票据使用等域攻击行为Microsoft …。域对象防护严格管控域复制权限除域控制器账号之外尽量不要赋予普通服务账号域复制权限定期审计 GPO 组策略修改记录防止组策略植入后门定期修改 krbtgt 账号密码建议至少半年一次定期更新全部域控服务器系统补丁。运维安全规范管理员不要用域管理员账号在普通终端上网、打开钓鱼文档钓鱼沦陷终端会直接泄露域管理员内存凭据造成整个域沦陷。写在最后域渗透学习最大难点不在于记住一条条命令而是搞懂每一个攻击背后的前提条件。很多人学完一堆 Mimikatz 命令却不知道攻击为什么会生效为什么实战会失败。红队视角不要迷信靶场效果真实域环境有大量防护每一次攻击之前先判断前置条件做好信息收集再选择对应的攻击手段。蓝队视角域环境被入侵不仅仅是查杀病毒。Active Directory 本身的账号、ACL、票据、krbtgt、GPO、DSRM全部都是攻击者后门点位。只改管理员密码远远不足以完成应急处置。护网、红蓝对抗当中Web 只是入口内网域才是主战场。理解攻击原理理解检测方式攻防一体才能够真正吃透域环境安全。希望本篇踩坑实录帮助大家避开学习路上的大量陷阱。了解网络安全首先要搞清楚下面这些前提网络安全到底包含哪些技术是否需要会编程网络安全行业有哪些职业方向“我”该如何选择网络安全的职业发展和成长路线是什么如果你是准备学习网络安全黑客或者正在学习下面这些你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】
