免责声明本文内容仅用于授权红蓝对抗、护网演练、渗透测试安全研究严禁用于未授权攻击。所有护网行动必须在正式授权范围之内开展不得破坏业务、删除篡改业务数据违反相关网络安全法律法规需要承担法律责任。文中全部操作均为演练环境下的技术复盘。前言在护网攻防演练HVV当中很多红队队员把大量时间消耗在外网打点费尽千辛万苦拿到边界 Web 权限、服务器 shell 之后却不知道下一步该干什么。一部分人拿到 webshell 之后直接上传大工具瞬间被 EDR、WAF 查杀直接被蓝队发现入口点直接丢失一部分人盲目内网扫描疯狂发包触发大量告警跳板直接被封禁还有一部分拿到权限之后不知道怎么梳理内网在边界机器原地打转错失向内网纵深的机会也有部分人员上来就做持久化后门还没有完成核心目标就暴露攻击行为。护网红队的核心逻辑边界权限仅仅只是入场券真正的得分点在内网核心资产域控、业务数据库、OA、核心业务服务器、内网堡垒机等。拿到边界权限不是结束恰恰是整个红队行动正式开始。本文结合多届护网实战经验梳理一套标准化行动流程从拿到边界 shell 那一刻开始分为环境侦察与风险评估、跳板加固与代理搭建、本机信息搜集凭据抓取、内网资产拓扑测绘、定向横向移动扩大战果、关键目标打击、权限维持持久化、证据留存与 OPSEC 管控、后期痕迹处理九大完整阶段。包含 Windows、Linux 两种边界跳板实战踩坑、错误示范、红蓝对抗 OPSEC 红线同时总结新手高频犯错点适合护网红队新人作为行动检查清单。ATTCK 映射T1059 命令执行T1003 凭据转储T1090 代理穿透T1021 横向移动T1547 持久化T1087 账户发现T1070 痕迹清除。一、阶段一拿到边界权限之后第一步环境侦察与风险评估核心原则拿到 shell 的前 5 分钟不要做任何内网扫描不要上传大型 exe 工具。优先评估当前跳板环境风险判断当前机器能不能作为可靠跳板。很多新人一拿 shell 直接上传 mimikatz、cs-beacon直接被杀软干掉入口直接报废。1.1 基础信息采集Webshell / 反弹 shell区分边界机器类型Windows 服务器 还是 Linux 服务器当前是什么权限是否在 DMZ 隔离区是否可以访问内网网段安全防护软件部署情况。Windows 边界机器基础排查命令whoami /all # 当前完整权限用户组是否管理员权限 systeminfo # 系统版本、补丁、主机名 ipconfig /all # 网卡信息看有几块网卡存在哪些内网网段 route print # 路由表判断可以到达哪些内网 tasklist /v # 查看进程寻找杀毒、EDR、终端防护进程 netstat -ano # 查看对外、对内网络连接 wmic product get name # 查看已安装软件寻找杀毒产品 wmic qfe get hotfixid # 系统补丁重点观察进程名称360、火绒、奇安信天擎、深信服 EDR、腾讯御点等终端安全产品。如果当前只是 IIS/PHP 普通 Web 低权限不是系统管理员不要尝试直接 dump 内存凭据大概率失败还会触发大量告警。Linux 边界机器基础排查id;uname -a;hostname ip a;route -n ps aux cat /etc/os-release env ls -al ~/.ssh1.2 风险评估四个核心判断点1权限等级普通 Web 权限 / 普通用户权限 / 管理员 /root 权限。普通 Web 低权限不能作为可靠跳板优先本地提权不要急于内网横向管理员权限可以作为跳板但是必须警惕 EDR 查杀风险。2所处网络区域DMZ 区边界机器 OR 内网机器。DMZ 区服务器很多 DMZ 服务器做严格访问控制只能访问特定内网不能全通内网不要以为拿到 DMZ 就可以直接横扫整个内网。3安全防护等级是否部署 EDR、HIDS、主机防火墙。实战踩坑DMZ 区服务器安全策略往往比内网业务服务器更加严格部分 DMZ 服务器禁止外联反弹 shell 出网困难。4业务重要程度是否是核心对外业务机器。如果是核心对外业务操作必须极度克制大量异常行为蓝队会重点监控该机器不能随意创建账号、上传大量文件。1.3 护网红队新手典型错误示范高频踩坑❌错误 1刚拿到 webshell直接上传 mimikatz、全套 impacket 工具直接被 EDR 查杀入口丢失。❌错误 2拿到权限立刻大网段全端口扫描疯狂发包流量告警直接触发跳板 IP 被拉黑。❌错误 3不看权限普通 IIS 权限直接执行抓明文密码操作操作失败还留下大量日志。❌错误 4拿到 shell 第一件事植入多个持久化后门还没有获取内网信息直接暴露攻击行为。护网 OPSEC 铁律持久化是后期动作不是第一步动作。先拿情报再做持久化。1.4 该阶段输出成果文档记录跳板主机 IP、主机名、操作系统版本、当前权限、网卡网段列表、安全软件情况、是否出网。护网过程所有关键信息一定要及时截图留存后期提交得分材料需要。二、阶段二跳板加固与代理通道搭建建立稳定通信链路侦察完成确认跳板可用之后下一步搭建稳定代理隧道打通从攻击机进入内网的通道。边界 shell 稳定性往往很差webshell 容易断开、业务重启会丢失 session必须构建稳定通信通道。2.1 区分两种场景机器是否可以对外出网场景 A边界跳板可以访问外网能够回连红队服务器场景 B边界跳板严格限制出网无法主动回连外网不出网环境。Windows 跳板可以出网场景优先内存加载 beacon尽量避免落地磁盘 exe。BOF 内存执行不落地磁盘文件降低 EDR 检测概率尽量不要直接把大 beacon.exe 上传到磁盘磁盘文件是 EDR 重点检测对象。实战经验DMZ 区很多服务器允许 443、80 出站禁止其他端口尽量使用 443 作为回连监听端口。Windows 跳板不出网场景DMZ 常见机器不能主动回连外网无法反向 shell。方案正向代理、socks 代理、端口转发。工具frp、reGeorg、Neo-reGeorg、Proxifier。Neo‑reGeorg 基于 Websocket依靠原有 Web 服务出网不需要开放新端口是 DMZ webshell 不出网环境首选。Linux 跳板代理frp、chisel搭建 socks5 代理。chisel 单二进制文件体积小流量特征相对低。2.2 代理搭建完成之后测试连通性代理搭建好之后不要直接扫描大网段。先小批量测试1测试能否访问 DNS能否解析内网域名2测试能否连通域控 389、88 端口3小范围 ping 测试内网存活主机。护网大忌socks 代理带宽很低直接 fscan 扫整个 B 段大量超时代理直接卡死跳板机器网络异常被蓝队察觉。扫描速率必须调低。2.3 跳板自身防护红队视角防止入口被蓝队快速发现1尽量少在磁盘写入文件优先内存执行2不要修改系统关键配置不要关闭杀毒软件。护网演练禁止关闭目标安全软件属于破坏性操作会被判违规3不要频繁修改跳板机器上业务文件避免业务异常4尽量复用现有进程做注入不要大量产生陌生进程。很多新人会想拿到管理员就把 360、天擎停掉。护网明确禁止关闭主机防护软件一旦被裁判发现判定违规直接不计分。三、阶段三跳板本机信息搜集与凭据掠夺post‑exploitation稳定代理通信建立完成开始在跳板本机挖掘情报。跳板机器尤其是 DMZ 运维服务器上面经常遗留大量运维凭据浏览器密码、RDP 保存凭据、管理员登录内存 hash、SSH 私钥、配置文件账号密码。很多时候不需要漏洞利用依靠本机窃取的凭据直接横向进入内网。重要提醒只有拥有管理员权限才可以抓取内存凭据普通 Web 低权限不要执行 mimikatz 相关操作无效且告警。3.1 Windows 管理员跳板信息搜集清单抓取内存凭据优先内存加载 mimikatz BOF不在磁盘留下 mimikatz 程序。lsadump::sam 获取本地账号 hashsekurlsa::logonpasswords 获取内存登录明文、NTLM hash实战坑目标开启 LSA‑PPL 保护sekurlsa 抓取明文会失败SAM 本地 hash 仍然可以导出。DPAPI 凭据窃取读取凭据管理器RDP 保存密码、各种应用保存凭证。SharpDPAPI 内存执行读取 TERMSRV RDP 保存凭据。很多运维跳板保存大量内网服务器 RDP 账号密码。寻找磁盘上配置文件搜索常见后缀.config .ini .xml .properties .db .sql寻找数据库账号密码、内网管理地址。重点目录C:\inetpub、运维工具目录、RDCMan 配置文件 rdg。浏览器保存密码Chrome、Edge 本地存储的运维账号密码。查看本机网络历史net use查看曾经连接过的 SMB 共享查看 RDP 连接历史记录里面存在大量内网服务器 IP。reg query HKCU\Software\Microsoft\Terminal Server Client\Default计划任务、开机脚本里面经常写死账号密码。3.2 Linux 边界跳板凭据搜集/etc/passwd /etc/shadow需要 root 权限用户家目录.ssh/id_rsa私钥护网高频得分点拿到私钥直接登录大量内网 Linux 服务器各类应用配置文件web 项目数据库配置bash 历史记录~/.bash_history很多运维命令行直接输入密码历史记录泄露账号。3.3 情报整理归档把拿到的全部账号、明文密码、NTLM‑Hash、ssh 私钥、内网服务器 IP 统一整理表格。护网实战中70% 内网横向移动不是靠漏洞而是跳板机遗留的泄露凭据。拿到一批凭据之后后面内网渗透效率会成倍提升。OPSEC 提醒抓取内存凭据会产生 Windows 安全日志不要反复多次执行抓取凭据命令执行一次拿到结果即可。四、阶段四内网资产测绘梳理网络拓扑护网最关键一步已经拿到跳板凭据、socks 代理接下来测绘内网禁止一上来就无差别全端口扫描 B 段极易触发蓝队告警。护网环境讲究定向测绘优先寻找高价值资产。4.1 获取内网网段来源有三处跳板机 ipconfig/ip a、路由表、本机 hosts 文件、DNS 解析。常见内网网段办公网段 192.168.x.0/24服务器业务网段 172.16‑172.31管理运维网段 10.x.x.x4.2 分层次资产探测策略护网实战版优先定位域环境信息Windows 内网最高价值查找域控 IP查看环境变量LOGONSERVER、nslookup 查询域名称、LDAP 389 端口探测。set logonserver nslookup corp.local如果是域环境域控就是红队核心目标标记域控 IP。优先扫描高危端口不做全端口扫描代理环境下使用 fscan、cme调低线程避免代理卡死。优先探测端口列表80/443 Web 业务445 SMB哈希传递横向移动3389 RDP22 SSH389 LDAP域1433、3306 数据库不要上来就‑p 1‑65535全端口扫描流量巨大蓝队态势平台一眼就看到扫描行为。资产标记分类标记资产类型域控、数据库服务器、OA、堡垒机、文件服务器、普通业务服务器、办公 PC。护网得分逻辑域控、核心业务数据库分数最高普通办公 PC 分数很低不要浪费时间大量打办公 PC。优先盯高价值服务器资产。4.3 测绘阶段实战踩坑1DMZ 跳板访问内网存在 ACL 访问控制ping 不通不等于端口不通ping 通不代表 445、3389 放行。很多内网防火墙禁 ICMP不要依赖 ping 存活探测。2socks 代理性能有限线程过高会丢包出现大量误报端口。fscan 参数‑t 20‑30足够不要开几百线程。3区分机器是否为域内机器工作组机器无法使用域账号登录。五、阶段五定向横向移动扩大控制范围拿到内网资产列表、一批账号凭据之后开始横向移动。护网实战思路凭据复用优先于漏洞利用。能用账号哈希登录就尽量不要打漏洞。漏洞利用更容易触发 IDS/EDR 告警。5.1 Windows 内网横向手段优先级排序Pass‑the‑Hash 哈希传递CrackMapExec、Impacket 套件 wmiexec、smbexec、atexec优先 wmiexec防火墙拦截 RPC 动态端口切换 atexecpsexec 尽量少用exe 落地容易被杀。护网坑很多机器开启 UAC 远程限制本地管理员哈希远程访问会拒绝尽量优先使用域账号。RDP 登录拿到账号密码尝试 RDP注意 RestrictedAdmin 受限管理员模式。服务账号 SPN Kerberoasting如果拿到普通域用户可以请求 TGS 票据离线爆破拿到服务账号密码。漏洞利用MS17‑010、各类系统漏洞作为备选手段凭据失效的时候再使用。漏洞利用告警非常明显。OPSEC 提醒批量哈希传递不要一次性对几十台机器同时爆破分批执行短时间大量 445 失败登录会触发蓝队暴力破解告警事件 ID4625。5.2 Linux 内网横向使用收集到的 ssh 私钥进行批量尝试登录数据库弱口令。5.3 横向移动目标选择策略优先域控、数据库、堡垒机、运维管理服务器其次业务应用服务器办公 PC 放在最后得分收益很低。5.4 横向移动之后再次循环信息收集拿下一台新内网机器重复阶段三本机抓取凭据。内网一台服务器上经常存放域管理员登录过的内存凭据拿下一台业务服务器直接 dump 出域管 hash直接拿下整个域这是护网非常常见路径。典型护网真实路径外网打点→DMZ 跳板→内网业务服务器业务服务器曾经有域管理员登录过dump 内存拿到域管理员 hash直接 DCSync 拿下域控。5.5 护网红线横向移动过程禁止格式化、删除业务文件、篡改业务数据不要执行破坏性命令。六、阶段六打击核心关键目标获取护网得分证明红队的最终目的不是植入后门而是拿到关键目标的控制权限留存完整攻击证据提交给裁判得分。6.1 Windows 域环境核心目标1域控制器获取 krbtgt hashDCSync 导出全部域账号哈希。拿到域控权限属于护网高价值得分项。注意执行 DCSync 操作会在域控产生 DRSUAPI 日志蓝队很容易观测到拿到凭据之后不要反复执行 DCSync。2核心数据库MSSQL、MySQL获取业务数据证明截图。3内网堡垒机堡垒机上面存储大量各业务系统账号凭证。6.2 非域环境内网核心业务系统后台、数据库服务器、运维管理平台。6.3 证据留存规范非常重要很多红队拿到权限拿不到分证据不足每一个得分目标必须留存截图截图必须包含要素当前主机 IP当前执行 whoami 权限关键输出内容hash、数据库内容、目录列表攻击路径记录从边界跳板到目标机器完整链路。护网提交材料不接受单纯一张 shell 截图裁判需要看完整攻击链路证明你是从外网突破进入不是测试环境本地截图。6.4 拿到核心目标之后不代表行动结束拿到域控之后依旧需要评估蓝队是否已经发现攻击行为是否跳板随时会被清理需要合理规划权限维持。七、阶段七权限维持持久化构建备用访问通道再次强调持久化放在拿到核心情报、关键目标之后而不是刚拿到边界 shell 就做持久化。过早持久化只会提前暴露攻击链路。持久化分为两级边界跳板持久化、内网核心资产持久化。护网演练持久化尽量选择低噪声方案尽量避免创建明显异常本地账号。7.1 Windows 跳板常见持久化技术护网环境1Beacon 会话维持进程注入内存会话优先内存少磁盘后门。2计划任务持久化伪装成系统维护任务触发器为开机 / 用户登录。schtasks /create /tn Microsoft\Windows\System\HealthCheck /tr xxx /sc onstart /ru system /f不要创建名字非常明显的后门任务。3WMI 事件订阅隐蔽持久化EDR 可以检测。4注册表启动项5GoldenTicket 黄金票据域环境拿到 krbtgt hash黄金票据属于域层面持久化即使所有机器后门被清理仍然可以伪造票据访问域内机器。⚠️护网实战坑不要创建带(符号隐藏账号该特征蓝队SIEM已经写死规则看到带)的账号直接告警。现在隐藏账号几乎等于主动告诉防守方机器沦陷。7.2 Linux 持久化1crontab 伪装计划任务2增加 ssh 公钥到 authorized_keys注意添加公钥一定要备份原有公钥演练结束需要恢复不能直接覆盖。7.3 持久化 OPSEC 注意点1多备用通道不要只依赖单一 shell一旦入口被查杀直接失联2持久化数量不宜过多一台机器上放 3‑5 个后门足够大量后门行为特征爆炸3记录所有自己植入的后门位置护网演练结束之后需要全部清理需要复原环境。护网结束必须清除所有红队植入的后门属于硬性要求。八、阶段八全程 OPSEC 管控规避蓝队检测护网红队成败关键很多红队技术能力很强但是全程不注意 OPSEC刚进入内网几分钟就被蓝队发现、跳板封禁一切归零。整理护网高频需要注意的 OPSEC 规则。文件操作尽量内存执行 BOF减少磁盘写入 exe、dll磁盘上的文件是 EDR 重点检测对象不要上传名字明显红队工具mimikatz.exe、cs.exe、fscan.exe文件名改名混淆。扫描行为禁止大网段高速扫描分批扫描降低线程避开业务高峰时间疯狂扫描业务高峰期蓝队监控最为严密。登录行为短时间大量 445 登录失败4625 事件直接判定暴力破解告警不要短时间一台机器尝试几十个账号密码。命令行行为避免命令行出现大量红队特征字符串mimikatz、sekurlsa、dcsync 等。尽量内存 BOF 执行不在 cmd 命令行出现敏感关键词。网络行为内网机器不要直接对外大量传输大体积数据数据窃取尽量小分片导出不要使用非常奇怪的对外端口回连优先 443模仿正常 HTTPS 流量。日志方面护网不建议直接执行 clearev 清空全部安全日志。全部清空日志属于非常高危告警行为蓝队看到日志被清空直接确认机器失陷。实战正确做法不要大规模清日志尽量减少产生不必要日志而不是事后暴力清除日志。很多新手以为把日志清空就无痕实际上清空日志这个行为本身就是最强入侵特征。团队协同多人协同护网团队统一记录所有跳板 IP、植入后门位置避免重复操作防止队友操作触发告警。九、阶段九后期痕迹处理、演练收尾工作护网演练有明确结束时间结束之后红队必须清理所有攻击遗留物复原环境。删除所有上传到磁盘的工具文件、临时脚本删除所有创建的计划任务、服务、异常账号删除添加的 SSH 公钥恢复原来 authorized_keys移除所有持久化后门清理自己产生的临时文件注意不建议直接全盘清空系统事件日志裁判不允许暴力清空日志。只删除自己生成的临时文件恢复改动过的配置。十、护网实战完整模拟流程案例真实演练简化案例场景外网打点拿到一台 DMZ 区 Windows 服务器 WebshellIIS 低权限。阶段一环境侦察ipconfig 发现机器双网卡DMZ 网卡 可以访问 172.20.0.0/16 内网存在天擎 EDR当前 IIS 低权限。阶段二本地寻找漏洞完成本地提权拿到 system 权限搭建 Neo‑reGeorg socks 代理。阶段三本机内存抓取凭据发现该机器运维曾经登录dump 出一个域普通用户 hash磁盘找到 RDCMan 配置文件解密得到一批业务服务器账号密码。阶段四内网测绘socks 调低线程扫描定位域控 IP 172.20.10.10标记数据库服务器 172.20.20.50。阶段五使用拿到的域普通账号 hash横向移动多台业务服务器其中一台业务服务器 dump 内存拿到域管理员 NTLM hash。阶段六使用域管理员 hash 执行 DCSync导出全部域 hash拿下域控截图留存 whoami、DCSync 输出证据。登录核心数据库留存数据库截图整理完整攻击路径。阶段七部署少量低噪声持久化黄金票据作为域备用通道记录所有后门位置。阶段八全程控制扫描速度不进行暴力清空日志规避蓝队告警。演练结束清除全部工具、计划任务、后门恢复系统原有状态。十一、护网红队高频误区总结误区 1拿到边界 shell 之后优先做大量持久化后门❌错误。先拿情报持久化后置。过早持久化直接暴露攻击路径。误区 2拿到权限就关闭杀毒软件停止 EDR❌错误。护网演练规则禁止关闭安全防护软件属于破坏性操作直接不计分。误区 3拿到跳板直接全端口高速扫描整个 B 段❌错误。疯狂扫描流量特征极其明显蓝队态势感知直接发现跳板IP 拉黑。分批低速定向扫描。误区 4普通 Web 低权限强行执行 mimikatz 抓取内存密码❌错误。低权限无法读取 lsass 内存执行只会失败同时触发主机告警。必须管理员权限。误区 5攻击完成直接 clearev 清空全部安全日志做到无痕❌错误。清空全部日志这个行为本身就是入侵告警蓝队一眼识别机器被攻陷。减少产生多余日志优于事后暴力清理日志。误区 6疯狂横向打大量办公 PC认为打的机器越多分数越高❌错误。护网得分看高价值资产域控、数据库、核心业务系统分数高普通办公 PC 分值很低浪费大量时间。误区 7只拿 shell不完整截图留存攻击链路证据很多人成功拿下目标但是截图证据不全裁判无法确认攻击路径拿不到分数。每一步关键操作保存截图。十二、蓝队检测视角红队这套行动流程对应的告警点站在防守方视角红队每一步动作都会产生对应日志红队需要了解防守会看到什么边界机器出现陌生 webshell、异常进程注入内网短时间大量 445 端口访问出现大量 4625 登录失败事件域控出现 DRSUAPI (DCSync) 请求主机 lsass 内存被读取EDR 告警凭据转储行为出现未知计划任务、异常开机启动项边界机器向外网陌生 IP 建立大量出站连接大量内网 LDAP、SMB 探测行为。蓝队防守思路监控边界服务器行为一旦边界机器出现访问内网 445、LDAP说明已经被突破进入内网立刻处置跳板阻断代理隧道。总结护网拿到边界 shell 只是起点不是胜利。一套标准行动流程可以概括为评估跳板风险→搭建稳定代理→本机挖掘凭据→内网定向测绘→凭据优先横向移动→打击高价值核心资产→证据留存→后置权限维持→严格 OPSEC 管控演练结束完整清理痕迹。护网红队比拼的不只是漏洞利用能力更多是流程、情报搜集、OPSEC、证据留存。很多技术很强的队员因为流程混乱、操作鲁莽刚进入内网就被蓝队发现最终无法拿到核心得分点。同时必须牢记所有操作严格遵守演练授权禁止任何破坏业务系统的行为演练结束清理全部攻击遗留。本文仅作为授权红蓝对抗技术复盘请勿用于未授权攻击。以上就是今天的分享觉得有帮助记得点赞收藏以上所说到的漏洞扫描工具都整理成压缩包了朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】同时还为准备学习网络安全黑客或者正在学习整理了一套360独家内部资料包含以下内容如有需要也可文末获取①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】 
长河君 · 2026/10/15 21:03:11 · 阅读 1.2k 护网红队实战经验：拿到边界权限之后的标准行动流程
免责声明本文内容仅用于授权红蓝对抗、护网演练、渗透测试安全研究严禁用于未授权攻击。所有护网行动必须在正式授权范围之内开展不得破坏业务、删除篡改业务数据违反相关网络安全法律法规需要承担法律责任。文中全部操作均为演练环境下的技术复盘。前言在护网攻防演练HVV当中很多红队队员把大量时间消耗在外网打点费尽千辛万苦拿到边界 Web 权限、服务器 shell 之后却不知道下一步该干什么。一部分人拿到 webshell 之后直接上传大工具瞬间被 EDR、WAF 查杀直接被蓝队发现入口点直接丢失一部分人盲目内网扫描疯狂发包触发大量告警跳板直接被封禁还有一部分拿到权限之后不知道怎么梳理内网在边界机器原地打转错失向内网纵深的机会也有部分人员上来就做持久化后门还没有完成核心目标就暴露攻击行为。护网红队的核心逻辑边界权限仅仅只是入场券真正的得分点在内网核心资产域控、业务数据库、OA、核心业务服务器、内网堡垒机等。拿到边界权限不是结束恰恰是整个红队行动正式开始。本文结合多届护网实战经验梳理一套标准化行动流程从拿到边界 shell 那一刻开始分为环境侦察与风险评估、跳板加固与代理搭建、本机信息搜集凭据抓取、内网资产拓扑测绘、定向横向移动扩大战果、关键目标打击、权限维持持久化、证据留存与 OPSEC 管控、后期痕迹处理九大完整阶段。包含 Windows、Linux 两种边界跳板实战踩坑、错误示范、红蓝对抗 OPSEC 红线同时总结新手高频犯错点适合护网红队新人作为行动检查清单。ATTCK 映射T1059 命令执行T1003 凭据转储T1090 代理穿透T1021 横向移动T1547 持久化T1087 账户发现T1070 痕迹清除。一、阶段一拿到边界权限之后第一步环境侦察与风险评估核心原则拿到 shell 的前 5 分钟不要做任何内网扫描不要上传大型 exe 工具。优先评估当前跳板环境风险判断当前机器能不能作为可靠跳板。很多新人一拿 shell 直接上传 mimikatz、cs-beacon直接被杀软干掉入口直接报废。1.1 基础信息采集Webshell / 反弹 shell区分边界机器类型Windows 服务器 还是 Linux 服务器当前是什么权限是否在 DMZ 隔离区是否可以访问内网网段安全防护软件部署情况。Windows 边界机器基础排查命令whoami /all # 当前完整权限用户组是否管理员权限 systeminfo # 系统版本、补丁、主机名 ipconfig /all # 网卡信息看有几块网卡存在哪些内网网段 route print # 路由表判断可以到达哪些内网 tasklist /v # 查看进程寻找杀毒、EDR、终端防护进程 netstat -ano # 查看对外、对内网络连接 wmic product get name # 查看已安装软件寻找杀毒产品 wmic qfe get hotfixid # 系统补丁重点观察进程名称360、火绒、奇安信天擎、深信服 EDR、腾讯御点等终端安全产品。如果当前只是 IIS/PHP 普通 Web 低权限不是系统管理员不要尝试直接 dump 内存凭据大概率失败还会触发大量告警。Linux 边界机器基础排查id;uname -a;hostname ip a;route -n ps aux cat /etc/os-release env ls -al ~/.ssh1.2 风险评估四个核心判断点1权限等级普通 Web 权限 / 普通用户权限 / 管理员 /root 权限。普通 Web 低权限不能作为可靠跳板优先本地提权不要急于内网横向管理员权限可以作为跳板但是必须警惕 EDR 查杀风险。2所处网络区域DMZ 区边界机器 OR 内网机器。DMZ 区服务器很多 DMZ 服务器做严格访问控制只能访问特定内网不能全通内网不要以为拿到 DMZ 就可以直接横扫整个内网。3安全防护等级是否部署 EDR、HIDS、主机防火墙。实战踩坑DMZ 区服务器安全策略往往比内网业务服务器更加严格部分 DMZ 服务器禁止外联反弹 shell 出网困难。4业务重要程度是否是核心对外业务机器。如果是核心对外业务操作必须极度克制大量异常行为蓝队会重点监控该机器不能随意创建账号、上传大量文件。1.3 护网红队新手典型错误示范高频踩坑❌错误 1刚拿到 webshell直接上传 mimikatz、全套 impacket 工具直接被 EDR 查杀入口丢失。❌错误 2拿到权限立刻大网段全端口扫描疯狂发包流量告警直接触发跳板 IP 被拉黑。❌错误 3不看权限普通 IIS 权限直接执行抓明文密码操作操作失败还留下大量日志。❌错误 4拿到 shell 第一件事植入多个持久化后门还没有获取内网信息直接暴露攻击行为。护网 OPSEC 铁律持久化是后期动作不是第一步动作。先拿情报再做持久化。1.4 该阶段输出成果文档记录跳板主机 IP、主机名、操作系统版本、当前权限、网卡网段列表、安全软件情况、是否出网。护网过程所有关键信息一定要及时截图留存后期提交得分材料需要。二、阶段二跳板加固与代理通道搭建建立稳定通信链路侦察完成确认跳板可用之后下一步搭建稳定代理隧道打通从攻击机进入内网的通道。边界 shell 稳定性往往很差webshell 容易断开、业务重启会丢失 session必须构建稳定通信通道。2.1 区分两种场景机器是否可以对外出网场景 A边界跳板可以访问外网能够回连红队服务器场景 B边界跳板严格限制出网无法主动回连外网不出网环境。Windows 跳板可以出网场景优先内存加载 beacon尽量避免落地磁盘 exe。BOF 内存执行不落地磁盘文件降低 EDR 检测概率尽量不要直接把大 beacon.exe 上传到磁盘磁盘文件是 EDR 重点检测对象。实战经验DMZ 区很多服务器允许 443、80 出站禁止其他端口尽量使用 443 作为回连监听端口。Windows 跳板不出网场景DMZ 常见机器不能主动回连外网无法反向 shell。方案正向代理、socks 代理、端口转发。工具frp、reGeorg、Neo-reGeorg、Proxifier。Neo‑reGeorg 基于 Websocket依靠原有 Web 服务出网不需要开放新端口是 DMZ webshell 不出网环境首选。Linux 跳板代理frp、chisel搭建 socks5 代理。chisel 单二进制文件体积小流量特征相对低。2.2 代理搭建完成之后测试连通性代理搭建好之后不要直接扫描大网段。先小批量测试1测试能否访问 DNS能否解析内网域名2测试能否连通域控 389、88 端口3小范围 ping 测试内网存活主机。护网大忌socks 代理带宽很低直接 fscan 扫整个 B 段大量超时代理直接卡死跳板机器网络异常被蓝队察觉。扫描速率必须调低。2.3 跳板自身防护红队视角防止入口被蓝队快速发现1尽量少在磁盘写入文件优先内存执行2不要修改系统关键配置不要关闭杀毒软件。护网演练禁止关闭目标安全软件属于破坏性操作会被判违规3不要频繁修改跳板机器上业务文件避免业务异常4尽量复用现有进程做注入不要大量产生陌生进程。很多新人会想拿到管理员就把 360、天擎停掉。护网明确禁止关闭主机防护软件一旦被裁判发现判定违规直接不计分。三、阶段三跳板本机信息搜集与凭据掠夺post‑exploitation稳定代理通信建立完成开始在跳板本机挖掘情报。跳板机器尤其是 DMZ 运维服务器上面经常遗留大量运维凭据浏览器密码、RDP 保存凭据、管理员登录内存 hash、SSH 私钥、配置文件账号密码。很多时候不需要漏洞利用依靠本机窃取的凭据直接横向进入内网。重要提醒只有拥有管理员权限才可以抓取内存凭据普通 Web 低权限不要执行 mimikatz 相关操作无效且告警。3.1 Windows 管理员跳板信息搜集清单抓取内存凭据优先内存加载 mimikatz BOF不在磁盘留下 mimikatz 程序。lsadump::sam 获取本地账号 hashsekurlsa::logonpasswords 获取内存登录明文、NTLM hash实战坑目标开启 LSA‑PPL 保护sekurlsa 抓取明文会失败SAM 本地 hash 仍然可以导出。DPAPI 凭据窃取读取凭据管理器RDP 保存密码、各种应用保存凭证。SharpDPAPI 内存执行读取 TERMSRV RDP 保存凭据。很多运维跳板保存大量内网服务器 RDP 账号密码。寻找磁盘上配置文件搜索常见后缀.config .ini .xml .properties .db .sql寻找数据库账号密码、内网管理地址。重点目录C:\inetpub、运维工具目录、RDCMan 配置文件 rdg。浏览器保存密码Chrome、Edge 本地存储的运维账号密码。查看本机网络历史net use查看曾经连接过的 SMB 共享查看 RDP 连接历史记录里面存在大量内网服务器 IP。reg query HKCU\Software\Microsoft\Terminal Server Client\Default计划任务、开机脚本里面经常写死账号密码。3.2 Linux 边界跳板凭据搜集/etc/passwd /etc/shadow需要 root 权限用户家目录.ssh/id_rsa私钥护网高频得分点拿到私钥直接登录大量内网 Linux 服务器各类应用配置文件web 项目数据库配置bash 历史记录~/.bash_history很多运维命令行直接输入密码历史记录泄露账号。3.3 情报整理归档把拿到的全部账号、明文密码、NTLM‑Hash、ssh 私钥、内网服务器 IP 统一整理表格。护网实战中70% 内网横向移动不是靠漏洞而是跳板机遗留的泄露凭据。拿到一批凭据之后后面内网渗透效率会成倍提升。OPSEC 提醒抓取内存凭据会产生 Windows 安全日志不要反复多次执行抓取凭据命令执行一次拿到结果即可。四、阶段四内网资产测绘梳理网络拓扑护网最关键一步已经拿到跳板凭据、socks 代理接下来测绘内网禁止一上来就无差别全端口扫描 B 段极易触发蓝队告警。护网环境讲究定向测绘优先寻找高价值资产。4.1 获取内网网段来源有三处跳板机 ipconfig/ip a、路由表、本机 hosts 文件、DNS 解析。常见内网网段办公网段 192.168.x.0/24服务器业务网段 172.16‑172.31管理运维网段 10.x.x.x4.2 分层次资产探测策略护网实战版优先定位域环境信息Windows 内网最高价值查找域控 IP查看环境变量LOGONSERVER、nslookup 查询域名称、LDAP 389 端口探测。set logonserver nslookup corp.local如果是域环境域控就是红队核心目标标记域控 IP。优先扫描高危端口不做全端口扫描代理环境下使用 fscan、cme调低线程避免代理卡死。优先探测端口列表80/443 Web 业务445 SMB哈希传递横向移动3389 RDP22 SSH389 LDAP域1433、3306 数据库不要上来就‑p 1‑65535全端口扫描流量巨大蓝队态势平台一眼就看到扫描行为。资产标记分类标记资产类型域控、数据库服务器、OA、堡垒机、文件服务器、普通业务服务器、办公 PC。护网得分逻辑域控、核心业务数据库分数最高普通办公 PC 分数很低不要浪费时间大量打办公 PC。优先盯高价值服务器资产。4.3 测绘阶段实战踩坑1DMZ 跳板访问内网存在 ACL 访问控制ping 不通不等于端口不通ping 通不代表 445、3389 放行。很多内网防火墙禁 ICMP不要依赖 ping 存活探测。2socks 代理性能有限线程过高会丢包出现大量误报端口。fscan 参数‑t 20‑30足够不要开几百线程。3区分机器是否为域内机器工作组机器无法使用域账号登录。五、阶段五定向横向移动扩大控制范围拿到内网资产列表、一批账号凭据之后开始横向移动。护网实战思路凭据复用优先于漏洞利用。能用账号哈希登录就尽量不要打漏洞。漏洞利用更容易触发 IDS/EDR 告警。5.1 Windows 内网横向手段优先级排序Pass‑the‑Hash 哈希传递CrackMapExec、Impacket 套件 wmiexec、smbexec、atexec优先 wmiexec防火墙拦截 RPC 动态端口切换 atexecpsexec 尽量少用exe 落地容易被杀。护网坑很多机器开启 UAC 远程限制本地管理员哈希远程访问会拒绝尽量优先使用域账号。RDP 登录拿到账号密码尝试 RDP注意 RestrictedAdmin 受限管理员模式。服务账号 SPN Kerberoasting如果拿到普通域用户可以请求 TGS 票据离线爆破拿到服务账号密码。漏洞利用MS17‑010、各类系统漏洞作为备选手段凭据失效的时候再使用。漏洞利用告警非常明显。OPSEC 提醒批量哈希传递不要一次性对几十台机器同时爆破分批执行短时间大量 445 失败登录会触发蓝队暴力破解告警事件 ID4625。5.2 Linux 内网横向使用收集到的 ssh 私钥进行批量尝试登录数据库弱口令。5.3 横向移动目标选择策略优先域控、数据库、堡垒机、运维管理服务器其次业务应用服务器办公 PC 放在最后得分收益很低。5.4 横向移动之后再次循环信息收集拿下一台新内网机器重复阶段三本机抓取凭据。内网一台服务器上经常存放域管理员登录过的内存凭据拿下一台业务服务器直接 dump 出域管 hash直接拿下整个域这是护网非常常见路径。典型护网真实路径外网打点→DMZ 跳板→内网业务服务器业务服务器曾经有域管理员登录过dump 内存拿到域管理员 hash直接 DCSync 拿下域控。5.5 护网红线横向移动过程禁止格式化、删除业务文件、篡改业务数据不要执行破坏性命令。六、阶段六打击核心关键目标获取护网得分证明红队的最终目的不是植入后门而是拿到关键目标的控制权限留存完整攻击证据提交给裁判得分。6.1 Windows 域环境核心目标1域控制器获取 krbtgt hashDCSync 导出全部域账号哈希。拿到域控权限属于护网高价值得分项。注意执行 DCSync 操作会在域控产生 DRSUAPI 日志蓝队很容易观测到拿到凭据之后不要反复执行 DCSync。2核心数据库MSSQL、MySQL获取业务数据证明截图。3内网堡垒机堡垒机上面存储大量各业务系统账号凭证。6.2 非域环境内网核心业务系统后台、数据库服务器、运维管理平台。6.3 证据留存规范非常重要很多红队拿到权限拿不到分证据不足每一个得分目标必须留存截图截图必须包含要素当前主机 IP当前执行 whoami 权限关键输出内容hash、数据库内容、目录列表攻击路径记录从边界跳板到目标机器完整链路。护网提交材料不接受单纯一张 shell 截图裁判需要看完整攻击链路证明你是从外网突破进入不是测试环境本地截图。6.4 拿到核心目标之后不代表行动结束拿到域控之后依旧需要评估蓝队是否已经发现攻击行为是否跳板随时会被清理需要合理规划权限维持。七、阶段七权限维持持久化构建备用访问通道再次强调持久化放在拿到核心情报、关键目标之后而不是刚拿到边界 shell 就做持久化。过早持久化只会提前暴露攻击链路。持久化分为两级边界跳板持久化、内网核心资产持久化。护网演练持久化尽量选择低噪声方案尽量避免创建明显异常本地账号。7.1 Windows 跳板常见持久化技术护网环境1Beacon 会话维持进程注入内存会话优先内存少磁盘后门。2计划任务持久化伪装成系统维护任务触发器为开机 / 用户登录。schtasks /create /tn Microsoft\Windows\System\HealthCheck /tr xxx /sc onstart /ru system /f不要创建名字非常明显的后门任务。3WMI 事件订阅隐蔽持久化EDR 可以检测。4注册表启动项5GoldenTicket 黄金票据域环境拿到 krbtgt hash黄金票据属于域层面持久化即使所有机器后门被清理仍然可以伪造票据访问域内机器。⚠️护网实战坑不要创建带(符号隐藏账号该特征蓝队SIEM已经写死规则看到带)的账号直接告警。现在隐藏账号几乎等于主动告诉防守方机器沦陷。7.2 Linux 持久化1crontab 伪装计划任务2增加 ssh 公钥到 authorized_keys注意添加公钥一定要备份原有公钥演练结束需要恢复不能直接覆盖。7.3 持久化 OPSEC 注意点1多备用通道不要只依赖单一 shell一旦入口被查杀直接失联2持久化数量不宜过多一台机器上放 3‑5 个后门足够大量后门行为特征爆炸3记录所有自己植入的后门位置护网演练结束之后需要全部清理需要复原环境。护网结束必须清除所有红队植入的后门属于硬性要求。八、阶段八全程 OPSEC 管控规避蓝队检测护网红队成败关键很多红队技术能力很强但是全程不注意 OPSEC刚进入内网几分钟就被蓝队发现、跳板封禁一切归零。整理护网高频需要注意的 OPSEC 规则。文件操作尽量内存执行 BOF减少磁盘写入 exe、dll磁盘上的文件是 EDR 重点检测对象不要上传名字明显红队工具mimikatz.exe、cs.exe、fscan.exe文件名改名混淆。扫描行为禁止大网段高速扫描分批扫描降低线程避开业务高峰时间疯狂扫描业务高峰期蓝队监控最为严密。登录行为短时间大量 445 登录失败4625 事件直接判定暴力破解告警不要短时间一台机器尝试几十个账号密码。命令行行为避免命令行出现大量红队特征字符串mimikatz、sekurlsa、dcsync 等。尽量内存 BOF 执行不在 cmd 命令行出现敏感关键词。网络行为内网机器不要直接对外大量传输大体积数据数据窃取尽量小分片导出不要使用非常奇怪的对外端口回连优先 443模仿正常 HTTPS 流量。日志方面护网不建议直接执行 clearev 清空全部安全日志。全部清空日志属于非常高危告警行为蓝队看到日志被清空直接确认机器失陷。实战正确做法不要大规模清日志尽量减少产生不必要日志而不是事后暴力清除日志。很多新手以为把日志清空就无痕实际上清空日志这个行为本身就是最强入侵特征。团队协同多人协同护网团队统一记录所有跳板 IP、植入后门位置避免重复操作防止队友操作触发告警。九、阶段九后期痕迹处理、演练收尾工作护网演练有明确结束时间结束之后红队必须清理所有攻击遗留物复原环境。删除所有上传到磁盘的工具文件、临时脚本删除所有创建的计划任务、服务、异常账号删除添加的 SSH 公钥恢复原来 authorized_keys移除所有持久化后门清理自己产生的临时文件注意不建议直接全盘清空系统事件日志裁判不允许暴力清空日志。只删除自己生成的临时文件恢复改动过的配置。十、护网实战完整模拟流程案例真实演练简化案例场景外网打点拿到一台 DMZ 区 Windows 服务器 WebshellIIS 低权限。阶段一环境侦察ipconfig 发现机器双网卡DMZ 网卡 可以访问 172.20.0.0/16 内网存在天擎 EDR当前 IIS 低权限。阶段二本地寻找漏洞完成本地提权拿到 system 权限搭建 Neo‑reGeorg socks 代理。阶段三本机内存抓取凭据发现该机器运维曾经登录dump 出一个域普通用户 hash磁盘找到 RDCMan 配置文件解密得到一批业务服务器账号密码。阶段四内网测绘socks 调低线程扫描定位域控 IP 172.20.10.10标记数据库服务器 172.20.20.50。阶段五使用拿到的域普通账号 hash横向移动多台业务服务器其中一台业务服务器 dump 内存拿到域管理员 NTLM hash。阶段六使用域管理员 hash 执行 DCSync导出全部域 hash拿下域控截图留存 whoami、DCSync 输出证据。登录核心数据库留存数据库截图整理完整攻击路径。阶段七部署少量低噪声持久化黄金票据作为域备用通道记录所有后门位置。阶段八全程控制扫描速度不进行暴力清空日志规避蓝队告警。演练结束清除全部工具、计划任务、后门恢复系统原有状态。十一、护网红队高频误区总结误区 1拿到边界 shell 之后优先做大量持久化后门❌错误。先拿情报持久化后置。过早持久化直接暴露攻击路径。误区 2拿到权限就关闭杀毒软件停止 EDR❌错误。护网演练规则禁止关闭安全防护软件属于破坏性操作直接不计分。误区 3拿到跳板直接全端口高速扫描整个 B 段❌错误。疯狂扫描流量特征极其明显蓝队态势感知直接发现跳板IP 拉黑。分批低速定向扫描。误区 4普通 Web 低权限强行执行 mimikatz 抓取内存密码❌错误。低权限无法读取 lsass 内存执行只会失败同时触发主机告警。必须管理员权限。误区 5攻击完成直接 clearev 清空全部安全日志做到无痕❌错误。清空全部日志这个行为本身就是入侵告警蓝队一眼识别机器被攻陷。减少产生多余日志优于事后暴力清理日志。误区 6疯狂横向打大量办公 PC认为打的机器越多分数越高❌错误。护网得分看高价值资产域控、数据库、核心业务系统分数高普通办公 PC 分值很低浪费大量时间。误区 7只拿 shell不完整截图留存攻击链路证据很多人成功拿下目标但是截图证据不全裁判无法确认攻击路径拿不到分数。每一步关键操作保存截图。十二、蓝队检测视角红队这套行动流程对应的告警点站在防守方视角红队每一步动作都会产生对应日志红队需要了解防守会看到什么边界机器出现陌生 webshell、异常进程注入内网短时间大量 445 端口访问出现大量 4625 登录失败事件域控出现 DRSUAPI (DCSync) 请求主机 lsass 内存被读取EDR 告警凭据转储行为出现未知计划任务、异常开机启动项边界机器向外网陌生 IP 建立大量出站连接大量内网 LDAP、SMB 探测行为。蓝队防守思路监控边界服务器行为一旦边界机器出现访问内网 445、LDAP说明已经被突破进入内网立刻处置跳板阻断代理隧道。总结护网拿到边界 shell 只是起点不是胜利。一套标准行动流程可以概括为评估跳板风险→搭建稳定代理→本机挖掘凭据→内网定向测绘→凭据优先横向移动→打击高价值核心资产→证据留存→后置权限维持→严格 OPSEC 管控演练结束完整清理痕迹。护网红队比拼的不只是漏洞利用能力更多是流程、情报搜集、OPSEC、证据留存。很多技术很强的队员因为流程混乱、操作鲁莽刚进入内网就被蓝队发现最终无法拿到核心得分点。同时必须牢记所有操作严格遵守演练授权禁止任何破坏业务系统的行为演练结束清理全部攻击遗留。本文仅作为授权红蓝对抗技术复盘请勿用于未授权攻击。以上就是今天的分享觉得有帮助记得点赞收藏以上所说到的漏洞扫描工具都整理成压缩包了朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】同时还为准备学习网络安全黑客或者正在学习整理了一套360独家内部资料包含以下内容如有需要也可文末获取①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】