后渗透技术与内网横向移动

内网横向移动技术

凭证获取与利用

横向移动的核心是凭证的获取与利用。常用技术包括：使用Mimikatz从内存中提取明文密码和NTLM哈希、通过LSASS进程转储获取凭证、利用Kerberoasting攻击获取服务账户哈希、通过DCSync攻击从域控制器同步密码哈希等。获取凭证后，可以使用Pass-the-Hash、Pass-the-Ticket、Overpass-the-Hash等技术进行横向移动。

远程执行技术

在获取有效凭证后，需要选择合适的远程执行方式在目标主机上执行命令或部署载荷。常用的远程执行技术包括：PsExec（通过SMB服务执行）、WMI（Windows管理规范）、WinRM（Windows远程管理）、DCOM（分布式组件对象模型）、计划任务、服务创建等。每种技术有不同的特征和检测难度。

域渗透攻击

在Active Directory环境中，域渗透是后渗透的重要组成部分。关键技术包括：域信息收集（BloodHound）、Kerberos攻击（AS-REP Roasting、Kerberoasting、Golden Ticket、Silver Ticket）、ACL滥用、组策略利用、域信任关系攻击、ADCS证书服务攻击等。

权限维持技术

在获取目标系统的高权限后，需要建立持久化机制以确保在系统重启或凭证变更后仍能保持访问。常用的权限维持技术包括：

• 注册表自启动：在注册表Run键中添加恶意程序路径
• 计划任务：创建定时执行的恶意计划任务
• WMI事件订阅：利用WMI永久事件订阅实现持久化
• DLL劫持：替换或劫持合法程序加载的DLL
• Golden Ticket：伪造Kerberos TGT实现域内持久化
• DSRM后门：利用域控制器的目录服务还原模式密码
• Skeleton Key：在域控制器内存中注入万能密码

防御与检测

针对后渗透攻击的防御措施包括：启用凭证保护（Credential Guard）、实施最小权限原则、部署EDR端点检测与响应系统、启用高级审计策略、监控异常登录行为、实施网络分段、定期轮换服务账户密码等。蓝队应重点关注横向移动的典型特征，如异常的远程登录、服务创建、计划任务创建等事件。