初探内网渗透手法及蓝队视角下的应急响应
内容提要
本文总结了内网渗透中常见的利用手法，包括信息收集、IPC连接、密码喷洒、计划任务执行、WMI、PsExec、SMB、WinRM等。文章提供了具体的命令和操作步骤，并介绍了一些排查攻击的方法。
延伸解读
内网渗透的常见入口与利用条件
文章指出，内网横向移动常依赖IPC、WMI、PsExec、SMB、WinRM等手法，但每种手法都有前提条件。例如IPC需要目标账号密码、admin$共享及139/445端口开放；WMI需要135端口和admin$共享；PsExec和SMB需要445端口及凭据；WinRM需要双方开启WinRM服务。这些条件限制了攻击路径，也提示防御方可通过关闭不必要的端口和服务来增加攻击难度。
蓝队应急响应的排查要点
针对内网渗透，文章建议蓝队关注特定事件ID和日志。例如IPC连接和计划任务创建可查看安全日志中的5140、4698、4699；PsExec和smbexec会在目标主机产生7045（新服务安装）事件；WMI操作可能产生4648、4776、4672、4624等事件；WinRM则会在系统日志中留下10148、15007、15008等记录。但需注意，部分审计策略默认不开启，需提前配置。
攻击手法的隐蔽性与防御侧重
文章提到，WMI因默认不记录操作日志且比PsExec更隐蔽，常被攻击者青睐；密码喷洒通过使用同一密码枚举多个域用户，避免触发账户锁定警报，比暴力破解更不易察觉。防御方应加强对异常登录、服务创建、计划任务等行为的监控，并定期检查共享连接和会话，以及时发现横向移动迹象。
Q&A
内网渗透常用的手法有哪些？
内网渗透常用的手法包括信息收集、IPC连接、密码喷洒、计划任务执行、WMI、PsExec、SMB和WinRM等。
如何进行信息收集？
可以使用命令如net computers、net domain、net dclist和net sessions等进行信息收集。
什么是密码喷洒？
密码喷洒是对多个域内用户使用同一密码进行枚举，以避免引起警觉。
如何利用IPC连接进行渗透？
IPC连接需要目标机器的账号和密码，且目标机器需开启admin$共享和139、445端口。
计划任务执行的命令是什么？
可以使用schtasks命令创建和执行计划任务，例如：schtasks /create /s 10.10.10.138 /ru "Administrator" /tn "CS" /sc minute /mo 5 /tr "c:\artifact.exe"。
WMI的利用条件是什么？
WMI的利用条件包括目标机器开放135端口、admin$共享和获取目标机器的账号和密码。
