1. 项目背景与核心价值最近在整理渗透测试案例库时发现一个名为silent_peeper的靶机环境特别有意思。这个靶机模拟了一个存在多重安全缺陷的企业内网环境通过层层渗透最终获取域控权限的过程完整呈现了红队实战中常见的攻击链。不同于普通CTF靶机silent_peeper更注重模拟真实企业网络中的防御盲点对渗透测试人员的技术广度和思维深度都是很好的锻炼。这个writeup将详细记录我从外网渗透到内网横向移动的全过程重点分析以下几个技术亮点通过非常规端口发现隐藏的Web服务利用XXE漏洞实现内网信息收集NTLM Relay攻击在复杂网络环境中的实战应用绕过受限管理终端的权限提升技巧2. 环境探测与初始访问2.1 非标准端口服务发现使用masscan进行全端口扫描时发现目标除了常见的80、443端口外还在8085端口运行着Tomcat服务。这个Tomcat实例有两个特点值得注意版本号显示为8.5.31存在已知漏洞管理界面使用了弱密码admin:admin重要提示真实环境中Tomcat管理界面暴露在公网的情况较少见但某些企业的测试环境或临时系统可能存在此类配置疏忽。通过管理界面上传war包时遇到限制常规的PUT方法被禁用。这里采用curl直接发送POST请求绕过curl -u admin:admin -X POST --data-binary shell.war http://target:8085/manager/text/deploy?path/shell2.2 Web应用漏洞利用获取webshell后发现当前权限受限通过信息收集发现服务器同时运行着报表系统。审计其XML解析功能时发现存在XXE漏洞!DOCTYPE data [ !ENTITY xxe SYSTEM file:///etc/passwd ] report titlexxe;/title /report利用这个漏洞我们成功读取到了/etc/passwd中的用户列表/home目录下的.bash_history文件Tomcat配置中的数据库连接字符串3. 内网横向移动3.1 网络拓扑测绘通过已控服务器进行内网扫描发现以下关键资产10.10.10.10域控制器Windows Server 201610.10.10.20文件服务器10.10.10.30数据库服务器使用Responder工具捕获到文件服务器的NTLMv2哈希但破解未成功。转而利用SMB签名未强制要求的漏洞实施NTLM Relay攻击ntlmrelayx.py -t smb://10.10.10.20 -smb2support3.2 权限提升与持久化在文件服务器上发现管理员曾使用过PsExec工具其配置文件中保存了明文凭证。通过这些凭证成功获取域管理员权限后我们采取了以下持久化措施创建黄金票据ticketer.py -nthash hash -domain-sid SID -domain DOMAIN administrator在组策略中植入计划任务New-ScheduledTask -Action action -Trigger trigger -Settings settings4. 防御绕过技巧实录4.1 对抗EDR的实践在攻击过程中遇到某商业EDR产品的拦截通过以下方法成功绕过使用Process Hollowing技术注入合法进程对C2通信流量进行域前置伪装利用合法的管理工具如PsExec作为载体4.2 日志清除要点清除Windows事件日志时需要注意优先处理安全日志Event ID 4624/4625使用wevtutil时需指定正确通道名对于DC服务器还需清理DNS查询日志5. 经验总结与改进建议通过这个靶机演练有几个关键经验值得分享信息收集阶段要特别关注非常规端口的服务配置文件中的敏感信息用户操作历史记录在内网渗透中相比暴力破解更推荐寻找配置缺陷如SMB签名利用协议特性如NTLM Relay社工思路如钓鱼邮件对于蓝队防御的建议严格限制管理界面公网暴露对所有内部服务启用强认证定期审计服务账户权限这个靶机环境最精彩之处在于它真实模拟了企业网络中安全债的累积效应——单个漏洞可能危害有限但当多个中低危漏洞形成攻击链时就会造成严重后果。建议渗透测试人员多进行此类综合演练培养完整的攻击面视角。 
长河君 · 2026/10/31 11:33:51 · 阅读 1.2k 渗透测试实战：从外网到域控的多层攻击链解析
1. 项目背景与核心价值最近在整理渗透测试案例库时发现一个名为silent_peeper的靶机环境特别有意思。这个靶机模拟了一个存在多重安全缺陷的企业内网环境通过层层渗透最终获取域控权限的过程完整呈现了红队实战中常见的攻击链。不同于普通CTF靶机silent_peeper更注重模拟真实企业网络中的防御盲点对渗透测试人员的技术广度和思维深度都是很好的锻炼。这个writeup将详细记录我从外网渗透到内网横向移动的全过程重点分析以下几个技术亮点通过非常规端口发现隐藏的Web服务利用XXE漏洞实现内网信息收集NTLM Relay攻击在复杂网络环境中的实战应用绕过受限管理终端的权限提升技巧2. 环境探测与初始访问2.1 非标准端口服务发现使用masscan进行全端口扫描时发现目标除了常见的80、443端口外还在8085端口运行着Tomcat服务。这个Tomcat实例有两个特点值得注意版本号显示为8.5.31存在已知漏洞管理界面使用了弱密码admin:admin重要提示真实环境中Tomcat管理界面暴露在公网的情况较少见但某些企业的测试环境或临时系统可能存在此类配置疏忽。通过管理界面上传war包时遇到限制常规的PUT方法被禁用。这里采用curl直接发送POST请求绕过curl -u admin:admin -X POST --data-binary shell.war http://target:8085/manager/text/deploy?path/shell2.2 Web应用漏洞利用获取webshell后发现当前权限受限通过信息收集发现服务器同时运行着报表系统。审计其XML解析功能时发现存在XXE漏洞!DOCTYPE data [ !ENTITY xxe SYSTEM file:///etc/passwd ] report titlexxe;/title /report利用这个漏洞我们成功读取到了/etc/passwd中的用户列表/home目录下的.bash_history文件Tomcat配置中的数据库连接字符串3. 内网横向移动3.1 网络拓扑测绘通过已控服务器进行内网扫描发现以下关键资产10.10.10.10域控制器Windows Server 201610.10.10.20文件服务器10.10.10.30数据库服务器使用Responder工具捕获到文件服务器的NTLMv2哈希但破解未成功。转而利用SMB签名未强制要求的漏洞实施NTLM Relay攻击ntlmrelayx.py -t smb://10.10.10.20 -smb2support3.2 权限提升与持久化在文件服务器上发现管理员曾使用过PsExec工具其配置文件中保存了明文凭证。通过这些凭证成功获取域管理员权限后我们采取了以下持久化措施创建黄金票据ticketer.py -nthash hash -domain-sid SID -domain DOMAIN administrator在组策略中植入计划任务New-ScheduledTask -Action action -Trigger trigger -Settings settings4. 防御绕过技巧实录4.1 对抗EDR的实践在攻击过程中遇到某商业EDR产品的拦截通过以下方法成功绕过使用Process Hollowing技术注入合法进程对C2通信流量进行域前置伪装利用合法的管理工具如PsExec作为载体4.2 日志清除要点清除Windows事件日志时需要注意优先处理安全日志Event ID 4624/4625使用wevtutil时需指定正确通道名对于DC服务器还需清理DNS查询日志5. 经验总结与改进建议通过这个靶机演练有几个关键经验值得分享信息收集阶段要特别关注非常规端口的服务配置文件中的敏感信息用户操作历史记录在内网渗透中相比暴力破解更推荐寻找配置缺陷如SMB签名利用协议特性如NTLM Relay社工思路如钓鱼邮件对于蓝队防御的建议严格限制管理界面公网暴露对所有内部服务启用强认证定期审计服务账户权限这个靶机环境最精彩之处在于它真实模拟了企业网络中安全债的累积效应——单个漏洞可能危害有限但当多个中低危漏洞形成攻击链时就会造成严重后果。建议渗透测试人员多进行此类综合演练培养完整的攻击面视角。