★ FEATURED ARTICLE 打内网和打外网最大的区别究竟是什么一个人拿下一台外网服务器可能只靠一个漏洞但进了内网之后真正决定你能走多远、能拿多少权限的往往不是手里有多少个exp而是你对目标网段了解多少。信息收集做到位渗透是步步为营信息收集敷衍渗透就成了无头苍蝇所有后续动作都在瞎猜。这个道理我在靶场里反复验证过很多次也见过不少人在这一块吃大亏——辛辛苦苦拿下来的内网主机因为不知道网段里还有什么、DNS后缀暴露了什么、谁和谁之间建立了信任关系结果横向做到一半卡死最后只能回原点重新扫一遍。所以这次把内网渗透里最核心的信息收集命令和配套思路结合靶场实战完整整理出来既是给自己留一套能直接复用的笔记也希望对刚接触内网安全的同学有点帮助。1. 信息收集到底在收集什么先搭一套能被复用的思维框架很多人一提到内网信息收集第一反应就是nmap扫网段、端口、服务然后出一张服务清单。这种思路不算错但太浅了。内网信息收集的核心目标不是拿到一堆端口号而是回答四个关键问题目标环境长什么样、机器之间怎么连通、哪台机器最有价值、当前身份在环境里能做什么。这四个问题对应四层信息每一层都有自己的一套命令组合。第一层是网络拓扑层解决的是“环境长什么样”。要弄清楚有哪些网段、出口网关在哪里、哪些路由是通的、哪些主机是存活的。没有这层信息你后续的横向移动全是在黑箱里猜。很多内网会划分办公网段、服务器网段、管理网段网段之间可能做了ACL也可能完全裸奔。不把这层骨架画出来后面扫出来的主机可能根本没法和当前主机通信。第二层是主机指纹层解决的是“每台机器是什么角色”。操作系统版本、开放端口、运行的服务进程、主机名、网卡MAC、NetBIOS名这些东西能帮你判断这台机器是Web服务器、数据库服务器、域控还是普通办公终端。每一类角色在内网攻击链路里的价值完全不同域控和打印机在命令输出上可能只差几个端口但对整个渗透结果的影响是天差地别的。第三层是身份权限层解决的是“我是谁、我能干什么”。当前用户是什么权限、有没有域管凭据、能访问哪些共享、当前会话里有没有别的用户的令牌、本机历史上有没有人登录过。内网渗透里最值钱的往往不是漏洞而是身份和信任关系。一个低权限账号可能通过读取另一个高权限会话的凭据直接翻身这类信息在单机信息收集阶段就能看到眉目。第四层是服务与数据层解决的是“什么业务数据值得拿”。数据库连接配置、配置文件里的明文密码、Web目录里的备份文件、服务启动参数里带上域账号密码的场景我都真实遇到过。这类信息的收集往往依赖对前面三层判断之后的定向挖掘不是靠扫描器能扫出来的。把这四层框架记住之后再去看命令就不会觉得零散。每个命令收集到的信息都应该能回答其中一个问题。如果某个命令的输出你拿到之后不知道该往哪儿用那多半是收集顺序有问题或者你对当前阶段的目标不够清晰。内网信息收集还有一个容易被忽略的前提区分你是从外网边界进的内网、通过钓鱼进了办公终端、还是拿到了一台测试服务器的权限。进入点不同信息收集的起点完全不同。从外网边界进来通常先要判断当前机器是否真的属于目标内网、有没有双网卡、出口流量有没有被镜像从钓鱼终端进来要优先看当前用户是否为域用户、机器加没加域从测试服务器进来则要注意这台机器是不是跳板机能不能访问到真正的业务内网。靶场里一般会直接给你一台跳板机但在实战场景里这种判断本身就是信息收集的第一步也是最容易犯错的环节。2. 网络层先画清网段的拓扑轮廓进到一台内网主机之后我习惯上做的第一件事不是扫描而是看它自己的网络配置。核心命令就一条ipconfig /all窗口里的信息非常多但要刻意去记这几个IPv4地址、子网掩码、默认网关、DNS服务器、DNS后缀。IPv4地址和子网掩码决定了你当前处于哪个网段、能直接触达哪些主机默认网关告诉你出口设备在哪里这在后面判断内网出口和防火墙策略时非常关键DNS服务器极其重要因为域内机器会把DNS指向域控一旦DNS后缀带有类似corp.local、ad.example这类字符串基本可以判定当前主机已经加入域后续就要按域环境的思路来收。接下来是看路由表和ARP缓存route print arp -aroute print能看到这台机器知道多少条网段路由。如果发现除了默认路由之外还有去往172.16.x.x、10.x.x.x等网段的静态路由说明这台机器很可能扮演着路由跳板的角色或者所在网络和设备之间有管理专线。这个信息值得记下来后面的横向移动路径往往就藏在这些路由关系里。再配合arp -a只要和这台机器近期通信过的主机都会出现在ARP表里这个表比任何扫描都真实因为它记录的是真实发生的通信而不是猜测。拿到网段信息之后才轮到存活探测。靶场常见的做法是直接nmap扫整个C段但我想说一个经验大规模nmap扫描动静大、耗时长而且如果目标内网部署了行为审计这类扫描很容易触发告警。更稳妥的做法是先做快速Ping扫描把存活的机器挑出来再对每台存活机器做精细的端口和服务识别。Ping扫描在Windows下可以直接用for循环for /L %i in (1,1,254) do ping -n 1 -w 100 10.10.10.%i | findstr /i TTL alive.txt这条命令会用TTL字符串来过滤存活主机比单纯看ping的成功反馈更可靠因为即使目标禁pingTTL出现在其他协议回复中的情况也能帮你发现一部分存活主机。Linux下同样思路配合seq和ping就好。不过要注意很多现代Windows防火墙默认禁ICMP纯ping扫容易漏报所以ping扫描只能作为初筛真正的存活确认还是要靠TCP握手扫描。TCP存活探测比ICMP可靠得多。如果时间紧我喜欢直接用nmap扫一发常规的TCP探测加-sn参数做主机发现nmap -sn 10.10.10.0/24这个命令会通过TCP SYN、ACK或者ICMP多方式组合探测存活主机在Windows靶机上通常能比纯ping找出更多结果。扫完存活列表之后再挑重点机器做端口和服务识别nmap -sS -sV -Pn -p 1-10000 10.10.10.20这里要解释一下为什么用-sS而不是默认的-sT。TCP SYN扫描不需要完成完整三次握手速度更快且更加隐蔽。在靶场练习环境下其实无所谓但养成这个习惯没有坏处。实际上我更喜欢先做一次top端口的快速扫描把结果存下来然后再根据端口判断哪些机器需要全端口深入比如一台开着445、3389、389的机器和一台开着80、443、3306的机器攻击价值完全不同。网络拓扑层的收尾工作是识别网关和网络出口。先看默认网关地址然后增加一条路由探测路径tracert 10.10.20.1如果当前机器能tracert到另一个网段的网关说明两个网段之间的路由是通的这为后续跨网段横向移动提供了前提。还有一个小技巧就是在拿到网关或路由设备的地址后顺手探测常见管理端口是否开放22、23、443、8443、8080。很多内网网管喜欢把管理口暴露在办公网段这种设备一旦弱口令拿下整个内网基本就等于裸奔了。记住一条网络层信息收集的原则先画图、后杀敌。环境拓扑没理清之前不要急着去打机器。信息收集的质量决定后续攻击的效率这个阶段的每一分钟都是在给后面节省时间。3. 主机层把每一台机器的筋骨摸清存活主机确定之后就要对每台机器做更细致的信息收集。主机层的核心是判断机器角色而角色判断主要依靠端口服务、主机名、NetBIOS信息和运行进程。先看NetBIOS信息。老牌命令nbtscan在靶场里效果相当好nbtscan -r 10.10.10.0/24它会通过NetBIOS名称服务主动收集每台机器的计算机名、所在工作组或域名、MAC地址以及已启用的服务标识。输出的信息里计算机名往往能直接暴露机器用途DC开头的多半是域控、WEB开头的多半是Web服务器、DB开头的多半是数据库服务器、FILE开头的多半是文件服务器。这不是绝对的但内网规范和随意命名之间前者出现的概率更高。net view命令也是类似思路net view /domain net view \\10.10.10.20第一条命令能列出当前网络里的所有域或工作组帮你判断这个大内网是单域、多域还是多工作组并存第二条则列出指定主机上暴露的共享资源。共享资源这个信息非常关键内网里大量敏感文件就是因为共享权限配置不当而泄露的。拿到共享列表之后单独去列某个共享的内容net view \\10.10.10.20\share$ dir \\10.10.10.20\share$接着做端口和服务识别。前面已经用nmap扫过一轮现在要结合扫描结果去看这台机器的具体服务。445端口的SMB服务在内网里是最常被利用的协议需要重点确认SMB版本和是否允许匿名访问。用nmap的脚本可以辅助nmap -p 445 --script smb-protocols 10.10.10.20 nmap -p 445 --script smb-enum-shares 10.10.10.20不过nmap脚本动静比较大在实战中要谨慎使用靶场里则可以大胆练习。SMB信息的价值不用多说永恒之蓝这类漏洞虽然已经老旧但在内网没打补丁的机器上仍然能一击致命。很多老内网里Windows 7甚至Windows Server 2008依然在跑这类机器拿到IP基本就等于拿到权限。进程信息和服务信息同样重要。Windows下直接看进程tasklist /svc wmic service list brieftasklist加/svc参数会把每个进程对应的服务列出来方便你识别杀软进程、监控软件进程和数据库进程。碰到杀软进程后续上传工具和运行payload都需要针对性做免杀或挑时间窗口看到数据库进程就把这台机器标记为高价值目标。wmic service列出所有服务的运行状态和路径重点关注服务路径里带有可疑目录或命令行参数的因为很多内网自查工具、备份脚本会把明文凭据写在服务参数里。操作系统层面的信息也不能漏systeminfo这条命令能看到系统版本、补丁级别、系统启动时间、网卡信息、Hyper-V要求等。补丁级别直接影响你能用的漏洞exp范围。拿到系统版本之后心里要有数这台机器可能有哪些已知漏洞可利用哪些漏洞已经在补丁中被修复了。比如一台Windows Server 2012的机器没打某些关键补丁你就可以把对应的提权或横向利用手段放进备选方案。还有一个很容易忽略但价值巨大的命令是netstatnetstat -anonetstat -ano会列出当前机器所有活动连接和监听端口以及每个连接对应的PID。这个命令的威力在于它能暴露本机正在和哪些内网IP通信。假设你控制的机器是个Web服务器netstat里频繁和另一台数据库服务器通信那你下一步就知道了数据库连接串很可能就配置在这台机器上。顺着这个思路去Web目录翻配置文件往往比盲目扫描更快找到关键凭据。拿到PID之后配合任务管理器或tasklist可以反查进程名把通信关系进一步落实。主机层信息收集的收尾动作是查看本地共享和用户会话net share net sessionnet share本地共享列表能看出这台机器共享了哪些目录是否有C$、D$这类默认管理共享被重新开放net session则能看到当前有哪些远程机器正和本机建立会话这直接指向正在发生的横向关系和潜在信任来源。如果你控制了一台机器而多个域内机器连接着它的会话这台机器很可能就是某类管理节点的运维跳板。主机层的本质其实是给网段里的每台机器做画像。画像越清晰后面横向移动的选择越多、跳板链路越短。这一步宁可多花时间也不要轻易跳过。4. 系统与域环境从“单机信息”跃迁到“域内格局”局域网里单独一台机器看得再透也只是一颗棋子。真正决定内网渗透上限的是你对域环境的理解。域环境信息收集的核心任务是找到域控、摸清域管、定位关键服务器、理清信任关系。这套动作做完整个域在你眼里就不再是一个个孤立的IP而是一张有中心、有层级、有边界的权力图。第一步是确认当前机器是否在域内。最简单的判断方法是环境变量和系统信息echo %logonserver% set logonserver systeminfo | findstr /i 域%logonserver%会显示当前登录会话的域控名称systeminfo里的域信息则会明确告诉你当前机器属于哪个域、登录服务器是哪台。这一步确认完之后立刻用以下命令快速列出域控nltest /dclist:corp net time /domainnltest /dclist会列出指定域的所有域控机器名net time /domain如果成功返回时间也侧面验证当前机器确实能访问域控。拿到域控的机器名之后再解析出它们的IPping DC01 -n 1 nslookup DC01域控在内网里的地位不用多说。大多数情况下拿到域控权限就等于拿到整个域。但是打域控之前得先摸清域管理员的分布和权限net group Domain Admins /domain net group Enterprise Admins /domain net localgroup administrators /domainnet group命令能看到域管组的成员列表net localgroup加上/domain则能看到域内哪些机器把域组加到了本地管理员组。这个信息直接关系到一个经典的提权思路如果某台机器把Domain Admins组加入了本地管理员组而你又拿到了那台机器的本地SYSTEM权限那距离拿下域控可能就只差窃取一个域管令牌或哈希了。域内用户和计算机的枚举同样重要。基础命令net user /domain net user 某用户名 /domain net group /domainnet user /domain能列出域内所有用户net user 指定用户名 /domain能查看该用户的详细信息包括上次登录时间、密码过期时间、所属组等。这些信息对判断账号是否长期未使用、是否属于高权限账号很有帮助。域内往往有一批长期不登录、密码策略宽松的僵尸账号这类账号一旦被弱口令爆破基本不会被发现。要注意的是net系列命令在域环境下的表现受权限限制明显普通域用户执行部分命令可能会被拒绝。靶场练习时建议在不同权限的主机上分别跑一遍感受下普通用户和较高权限用户能够看到的域信息有多大差距。这也是为什么某些场景下需要先提权再枚举域信息因为信息本身就是权限不对等的体现。如果条件允许更高级的域信息收集方式是用专门的工具做自动化分析和图形化展示。BloodHound是这块绕不开的名字它通过抓取AD对象之间的关系自动生成域内用户、组、计算机、会话、ACL之间的权限路径图。靶场里最常见的用法是先把数据收集器跑一遍bloodhound-python -u 域用户 -p 密码 -d 某个域 -ns 域控IP -c All或者在Windows主机上直接运行对应的采集器。采集速度很快但真正的价值在于后续的分析在BloodHound里查询“从当前节点到域控的最短路径”它会给出好几条利用链包括基于ACL的GenericAll、基于组成员关系的嵌套、基于会话窃取的路径等。这条路径分析是net系列命令看不到的也是从单机视角跃迁到域名视角的关键一步。域环境下还有一个平时容易忽略但非常要命的信息源本地缓存的凭据和会话令牌。当你拿到一台机器之后别光看命令输出还要检查系统里有没有其他用户留下的凭据痕迹。用cmdkey和凭据管理器相关命令可以看cmdkey /list这条命令能列出当前用户保存的Windows凭据多用于保存网络共享和远程桌面的账号密码。靶场里我经常遇到的情况是某台机器上的某个用户为了方便把域管账号密码保存进了凭据管理器后面直接用runas /savecred就能拉起一个高权限进程。这种信任关系的滥用在内网渗透里比什么0day都好使。最后再补一个安全补丁信息收集的视角。Windows补丁安装记录直接影响可利用漏洞的判定最简单的方式wmic qfe list briefwmic qfe list brief会列出所有已安装的补丁编号。拿到补丁列表之后配合系统版本去比对哪些经典提权漏洞没有被修复。实战里很多机器的补丁情况能用一句话概括要么很老、漏洞一大堆要么刚打完补丁、经典exp全部失效。判断这个只需要几十秒但这几十秒能决定你是直接打一个现成exp还是老老实实去翻服务配置找别的突破口。域环境的信息收集做完之后你应该能回答这么几个问题域内有多少台机器、域控地址是什么、域管理员是谁、哪些机器和域控有特殊信任关系、当前用户在整个域权力图里处于什么位置。能回答这些问题再往下做的每一步动作才有方向。5. 靶场实战推演一套信息收集流程的完整落地前面讲了很多命令但命令如果不串起来跑一遍很难形成肌肉记忆。下面用一个虚拟靶场环境模拟一次内网信息收集的完整过程。这个靶场环境我特意设计得贴近常见的小型公司内网结构一个域corp.local域控是DC01网段192.168.10.0/24另有一个服务器网段10.10.20.0/24通过一台跳板机相连。假设我们已经通过漏洞拿到了跳板机WEB01的权限启动点是这个10.10.20.15的IP。我上手第一件事是查看当前机器的网络身份ipconfig /all输出里发现机器IP是10.10.20.15子网掩码255.255.255.0网关10.10.20.1DNS服务器10.10.20.1DNS后缀corp.local。这里能直接确认两个关键事实当前机器已经加入域corp.localDNS指向10.10.20.1那这台DNS服务器大概率就是域控或域控前置的DNS角色。我记下这个IP接着用同样命令查看是否有双网卡。这个动作很关键如果是双网卡那这台机器本身就是连接两个世界的桥梁直接决定了后续横向的方向。果然输出里还有一块网卡地址是192.168.10.66这说明WEB01就是连通办公网和服务器网的跳板。拿到双网卡信息之后我立刻通过这块网卡所在的办公网段去探测域控。先做一次针对192.168.10.0/24的Ping扫描for /L %i in (1,1,254) do ping -n 1 -w 100 192.168.10.%i | findstr /i TTL alive.txtPing扫描结果里有大概二十多台机器存活其中192.168.10.10、192.168.10.11、192.168.10.20几台的响应非常稳定。我把存活列表放进nmap做端口扫描nmap -sS -sV -Pn -p 1-10000 192.168.10.10192.168.10.10的端口扫描结果显示53、88、135、139、389、445、464、593、636、3268、3269全部开放。这里不用多想53是DNS、88是Kerberos、389是LDAP、3268是全局编录这是一台标准域控。确认之后我用nltest再验证一遍nltest /dclist:corp输出返回了DC01对应IP正是192.168.10.10。到这里域控角色已经尘埃落定攻击链条的最终目标已经清晰。虽然已经锁定了域控但我没有急着打。信息收集还没做完我还需要知道机器之间的信任关系和当前用户能接触到什么。先看当前用户的身份和权限whoami /all net user 当前用户名 /domainwhoami /all显示当前用户属于Domain Users组还意外发现有一个额外的SID带在了当前令牌里。这个SID指向一个看起来像本地管理员组的组。什么概念意味着当前用户在这台WEB01上有本地管理员权限但域内权限只是一个普通用户。这直接指导后续选择别幻想高打域控提权老老实实地做Hash转发、横向搜集凭据。域内用户的枚举和敏感组的查看net user /domain | findstr /i admin sql backup net group Domain Admins /domain net group Enterprise Admins /domainDomain Admins组里有三个账号。其中一个叫backup_admin的账号名字一看就是备份管理员专用的高权限账号。我专门查询了这个账号的详细信息net user backup_admin /domain查看后发现这个账号最近登录过密码过期时间为空属于那种长期有效的高权限账号。这种账号显然是重要目标。顺着刚才说的“用户为了方便保存凭据”的思路我在WEB01上执行了cmdkey /list结果果然命中存在一个目标为192.168.10.10域控的域凭据。这个凭据是用backup_admin账号保存的。换句话说这台WEB01上只要我能用这个凭据令牌拉起一个进程就能获得一个指向域控的合法身份。我试着用runas配合保存的凭据去启动一个cmd这一步在靶场里直接成功。从当前机器到域控的路径就这样被一条小小的凭据管理习惯打通了。最后我把整个网段的机器角色快速过一次。用nbtscan去枚举办公网段nbtscan -r 192.168.10.0/24很快从计算机名里识别出了几台关键机器FS01文件服务器、MAIL01邮件服务器、PC-财务-01、PC-人事-02这类按部门和角色命名的主机。这些主机名信息画像一旦建立后面横向移动时就不用再盲目选择目标了。再加上之前存活列表里的192.168.10.20、192.168.10.21两台疑似服务器信息收集阶段基本就完成了。这套流程看起来每一步都很简单但它的价值就在于顺序和逻辑先确认自己的网络位置再找到网段边界由边界内网延伸出域控定位再由域内身份和凭据梳理出信任关系最后用计算机名做人肉资产地图。没有漏洞利用没有暴力破解你手里的信息已经足够支撑后续的横向移动决策了。6. 笔记整理收集完的信息如何沉淀成可行动的报告信息收集最怕的一件事不是收不到信息而是收到之后全堆在脑子里或者散落在十几个命令输出窗口里用的时候根本找不到。靶场里可能影响不大但一旦信息量大起来没有一个清晰的整理习惯前面收集的信息基本等于白收。我自己的习惯是每打一个环境都强制自己产出一份内网信息收集笔记格式固定、字段固定这样下次再回来看五分钟就能重新进入状态。笔记模板我通常固定为六个部分。第一部分是环境概览记录当前网段、网关、DNS、是否有域、域名是什么、当前机器IP和角色。第二部分是存活清单按IP排列每台机器标出主机名、开放端口、猜测角色、备注。第三部分是域信息域名、域控IP和机器名、域管组成员、当前用户的域权限、域信任关系。如果用了BloodHound直接把自定义查询里找到的最短路径截图贴在这里。第四部分是凭据信息所有找到的明文密码、哈希、凭据管理器条目、共享里的密码文件、配置文件里的连接串这一类信息在攻击链路中价值最高务必集中记录。第五部分是漏洞与可利用点针对每台机器记录哪些服务可能存在漏洞、哪些补丁缺失、哪些配置错误可以利用。第六部分是下一步计划把当前已经验证可行的横向路径列出来按优先级排序。这份笔记的意义不止于记录。当你把它写下来的过程中会强迫你重新梳理信息之间的关联很多之前没注意到的线索反而会在整理时蹦出来。比如你记录存活清单时发现某台机器和域控的端口高度重合去查一下才发现那台机器原来就是备用域控比如你把凭据信息汇总到一起才发现同一条口令居然横跨了好几个服务甚至域内账号。这种横向关联靠零散的命令输出是看不出来的。我还会单独列一个“命令速查表”把这一篇涉及的命令按网络层、主机层、域环境层分类归档。这样做的好处是拿着这台机器的信息收完之后哪怕隔一周再开始打下一台机器打开速查表就能按顺序执行不会漏掉某一个命令。下面这张表是我整理后的核心命令速查按信息收集场景分类场景命令关键输出与用途查看当前主机网络身份ipconfig /all网段、网关、DNS、DNS后缀判断是否加域查看路由和通信记录route print静态路由发现跨网段路径查看近期存活主机arp -a真实通信记录比扫描更隐蔽可靠网段存活初筛for循环ping findstr TTL快速生成存活主机列表存活复筛nmap -sn 网段TCP多方式探测绕过禁ping环境端口服务识别nmap -sS -sV -Pn -p 端口范围判断机器角色为后续利用提供依据NetBIOS机器名枚举nbtscan -r 网段主机名、域名、MAC快速资产画像域控定位nltest /dclist:域名列出域控机器名配合nslookup解析IP域成员枚举net group Domain Admins /domain定位域管判断高价值账号用户详细信息net user 用户名 /domain最近登录、密码策略、所属组本机会话与通信netstat -ano进程通信关系定位数据库、备份服务器共享资源枚举net view \IP、net share定位文件服务器、配置不当的共享凭据痕迹检查cmdkey /list发现已保存的凭据尝试runas提权域权限路径分析BloodHound采集查询自动化定位域控最短攻击路径补丁信息收集wmic qfe list brief判断可用提权exp范围这张表我会在每次实战前都看一遍执行完之后直接在对应行后面标注结果。时间久了每个命令的输出在什么场景下意味着什么基本就成了条件反射。写笔记还有一些容易被忽略的小习惯。第一个是记录时间戳每条重要信息后面带上发现时间多台机器并行收集时不会搞混哪个信息是哪个阶段拿到的。第二个是标注来源每台机器上的每条信息都要能追溯到具体命令和主机整理时如果发现同一个域管账号出现在不同机器的多个配置里这个线索的价值会比简单记录高一个数量级。第三个是保留原始输出截图或完整结果不要只记结论。很多经验只有回到原始输出里才能看出问题比如某台机器的补丁列表里刚好缺少某个漏洞对应的补丁号这个判断必须精确到补丁编号级别。做完笔记之后还有一个很多人忽略的输出给当前阶段做一次总结性的判断。按内网信息收集四层框架把“网络拓扑层、主机指纹层、身份权限层、服务数据层”各自收集到的关键信息浓缩成一条一句话结论。比如“网段A里共有主机X台其中域控1台、Web服务器2台、数据库1台当前用户是普通域用户但WEB01上保存有指向域控的高权限凭据。”这一类结论才是信息收集真正的交付物。命令输出是原材料结论才是能直接指导下一步行动的东西。最后分享一个我踩过坑之后总结的经验信息收集要边收边整理不要集中到最后一次性整理。每跑完一条命令哪怕再忙也要顺手把关键输出复制进笔记的对应字段里。等所有信息收集完了再回头补笔记不仅时间长而且很多当时觉得很明显的关联已经忘了。内网渗透的信息收集考验的从来不是单条命令的掌握程度而是能否把一堆零散的输出快速编织成一张可用的作战地图。这一步做到位了后面的横向移动、权限维持、数据定位都会顺畅得多。
阅读完成 · 觉得有帮助？
