本书将分为三大部分，首先介绍内网渗透技术中涉及到的各类基础概念，并介绍攻击者视角中的入侵生命周期流程。其次进行环境搭建准备，并介绍各类常用工具的使用。z后通过9套内网环境的高强度实战训练，系统性的介绍和实践内网渗透过程中的各个环节及对应操作手段，快速掌握大量的内网渗透实战技能。
美创科技第59号安全实验室多位专家联合著作，总结先进攻防实战经验，基于入侵生命周期的7大阶段，提供20多种渗透工具
面向9个迥异的内网环境进行渗透实战，涉及30余台目标主机、60多种渗透手段
计算机\安全
在日益严峻的网络安全态势下，为了防范包括APT攻击在内的各类网络攻击风险，相关机构及从业人员迫切需要掌握一定的网络攻防技能，特别是内网渗透技术和实战经验，从而提升维护网络安全的能力。本书围绕网络攻防实践需求，以美创科技提出的入侵生命周期模型为指导，系统讲解了内网渗透的原理，并构建了多样化的内网渗透场景，全面且系统地帮助读者进行实战训练，为读者提供了一套系统学习及实践内网渗透的专业教程。本书适合作为网络空间安全、信息安全等学科的专业参考书，并且对从事网络安全工程实践或进行网络攻防创新研究的人员具有指导意义。
—— 纪守领 浙江大学计算机科学与技术学院求是特聘教授/长聘教授、博士生导师
随着互联网的深入普及，网络安全问题日趋严峻，对网络安全领域的人员提出了更高的要求。本书根据实际的内网渗透靶场环境，结合美创科技提出的入侵生命周期模型，从基础的攻击探索发现和入侵感染，到复杂的探索感知和攻击利用，再到传播和持久化，每个环节都有详细的操作步骤和实例，使读者能够在理解原理的同时掌握实战技巧。本书可以帮助更多网络安全领域人员，无论是刚刚接触网络安全的院校学生，还是从业多年的资深网络安全工程师，都可以从本书中获益匪浅。
—— 任一支 教授、博士生导师，杭州电子科技大学网络空间安全学院、浙江保密学院副院长
使用工具是初学者入门的必经之路，这本书结合了靶场环境的实际操作和安全工具的使用教程，为读者提供了一个全面而直观的学习平台。通过清晰的步骤和详细的解释，引导读者探索内网渗透的各种专业知识。并且通过靶场模拟教学的方式，使读者能够在实际环境中应用所学知识。无论你是刚踏入网络安全领域的新手，还是希望进一步提升技能的初级从业者，这本书都能助你在网络安全的道路上迈出坚实的一步。
—— 黑哥 知道创宇首席安全官、404安全研究体系总负责人
这本书由浅入深地介绍了内网渗透知识，包括攻击者视角下的入侵生命周期，并且结合多个风格各异的内网环境，细致地讲解了攻击者从外网探测到内网渗透再到攻破的全流程，以及对应的渗透技术、经验和工具等，技术参考性很强，是网络安全技术初学者的实战宝典。
—— 张迅迪 “黑客教父”
柳遵梁 王月兵 刘隽良 覃锦端 等著：柳遵梁 杭州美创科技股份有限公司创始人、CEO。
毕业于中国人民解放军信息工程大学，全国工商联大数据运维（网络安全）委员会委员，中国网络安全产业联盟常务理事，中国（中关村）网络与信息安全产业联盟理事，浙江省网络空间安全协会数据安全专委会主任兼秘书长。
拥有20年数据管理和信息安全从业经验，在通信、社保、医疗、金融等民生行行业积累了大量实践经验。具备长远战略眼光，准确把握技术发展趋势，持续创新，带领公司完成运维、服务、产品多次转型，均获得成功。
目前公司已经完成全国布局，成为国内重要的数据安全管理综合供应商，著有《Oracle数据库性能优化方法论和最佳实践》，并且发表多篇学术文章。
目录
1 内网渗透测试基础 2
2 基于入侵生命周期的攻击流程设计 2
3 环境准备与工具使用 2
4 内网渗透综合实战：vulnstack1 2
4.1 环境简介与环境搭建 2
4.2 探索发现阶段攻击过程 6
4.2.1 使用nmap对靶场入口ip进行端口扫描及服务探测 6
4.2.2 80端口web应用框架及版本识别 7
4.2.3 攻击阶段小结 9
4.3 入侵和感染阶段攻击过程 10
4.3.1 对Web服务进行目录扫描 10
4.3.2 利用phpMyAdmin日志文件获取Web服务器权限 12
4.3.3 攻击阶段小结 22
4.4 攻击和利用阶段攻击过程 22
4.4.1 Web服务器进程注入与提权 22
4.4.2 攻击阶段小结 26
4.5 探索感知阶段攻击过程 26
4.5.1 内网域服务器信息收集 26
4.5.2 抓取hash和dump明文密码 27
4.5.3 攻击阶段小结 28
4.6 传播阶段攻击过程 28
4.6.1 psexec建立ipc通道，上线域控服务器 28
4.6.2 psexec建立ipc通道，上线域成员服务器 32
4.6.3 攻击阶段小结 33
4.7 持久化阶段攻击过程 33
4.7.1 通过metasploit持久化控制服务器 33
4.7.2 通过cobalt strike持久化控制服务器 33
4.7.3 攻击阶段小结 33
4.8 恢复阶段攻击过程 33
4.8.1 攻击阶段小结 33
4.9 实践积累知识点总结 34
5 内网渗透综合实战： vulnstack2 35
5.1 环境简介与环境搭建 35
5.2 探索发现阶段攻击过程 35
5.2.1 railgun对靶场入口ip进行端口扫描 35
5.2.2 攻击阶段小结 35
5. 3 入侵和感染阶段攻击过程 35
5.3.1 对weblogic服务进行批量漏洞扫描 35
5.3.2 利用反序列化漏洞攻击weblogic 35
5.3.3 攻击阶段小结 35
5.4 攻击和利用阶段攻击过程 35
5.4.1 利用cmd webshell写入冰蝎马 35
5.4.2 通过冰蝎3将weblogic服务器上线到metasploit 35
5.4.3 绕过360安全卫士上线weblogic服务器到cobalt strike 35
5.4.4 绕过360安全卫士对weblogic服务器进行提权 35
5.4.5 将weblogic服务器的metasploit会话传递到cobalt strike 36
5.4.6 抓取weblogic服务器上保存的操作系统凭证 36
5.4.7 通过3389端口rdp登录weblogic服务器 36
5.4.8 攻击阶段小结 36
5.5 探索感知阶段攻击过程 36
5.5.1 使用cobalt strike对域网段进行扫描 36
5.5.2攻击阶段小结 36
5.6传播阶段攻击过程 36
5.6.1 利用zerologon漏洞攻击域控服务器 36
5.6.2 使用psexec将域控服务器上线到cobalt strike 36
5.6.3 使用psexec将域内主机上线到cobalt strike 36
5.6.4 攻击阶段小结 36
5.7 持久化阶段攻击过程 36
5.7.1 通过metasploit持久化控制服务器 36
5.7.2 通过cobalt strike持久化控制服务器 36
5.7.3 攻击阶段小结 37
5.8 恢复阶段攻击过程 37
5.8.1 攻击阶段小结 37
5.9 实践积累知识点总结 37
6 内网渗透综合实战：vulnstack3 38
6.1 环境简介与环境搭建 38
6.2 探索发现阶段攻击过程 38
6.2.1 nmap对靶场入口ip进行端口扫描及服务探测 38
6.2.2 80端口web应用框架及版本识别 38
6.3入侵和感染阶段攻击过程 38
6.3.1 SSH应用服务攻击 38
6.3.2 SQLSERVER应用服务攻击 38
6.3.3 MYSQL应用服务攻击 38
6.3.4 JOOMLA应用攻击 38
6.3.5 攻击阶段小结 38
6.4 攻击和利用阶段攻击过程 38
6.4.1 linux服务器敏感文件查找 38
6.4.2 linux服务器提权 38
6.4.3 linux服务器上线MSF 38
6.4.4 利用MSF配置内网路由 39
6.4.5 利用mimikatz获取内网域内windows服务器密码 39
6.4.6 攻击阶段小结 39
6.5 探索感知阶段攻击过程 39
6.5.1 内网网段存活主机探测 39
6.5.2 攻击阶段小结 39
6.6 传播阶段攻击过程 39
6.6.1 利用SMB暴破攻击内网windows服务器 39
6.6.2 利用PTH攻击域控服务器 39
6.6.3 利用zerologon攻击域控服务器 39
6.6.4 攻击阶段小结 39
6.7 持久化阶段攻击过程 39
6.7.1 通过MSF控制不出网linux服务器 39
6.7.2 通过MSF控制出网linux服务器 39
6.7.3 攻击阶段小结 39
6.8 恢复阶段攻击过程 39
6.8.1 将服务器上的木马进行删除 40
6.8.2 攻击阶段小结 40
6.9 实践积累知识点总结 40
7 内网渗透综合实战：vulnstack4 41
7.1 环境简介与环境搭建 41
7.2 探索发现阶段攻击过程 41
7.2.1 nmap对靶场入口ip进行端口扫描及服务探测 41
7.2.2 2001端口web应用框架及版本识别 41
7.2.3 2002端口web应用框架及版本识别 41
7.2.4 2003端口web应用框架及版本识别 41
7.2.5 攻击阶段小结 41
7.3 入侵和感染阶段攻击过程 41
7.3.1 利用永恒之蓝漏洞检测攻击工具攻击445端口 41
7.3.2 利用struts2漏洞检测攻击工具攻击web应用 41
7.3.3 利用tomcat框架漏洞攻击web应用 41
7.3.4 利用phpmyadmin应用漏洞获取服务器权限 41
7.3.5 攻击阶段小结 41
7.4 攻击和利用阶段攻击过程 41
7.4.1 struts2 应用服务器环境识别 42
7.4.2 struts2应用docker服务器逃逸 42
7.4.3 tomcat应用服务器环境识别 42
7.4.4 tomcat应用docker服务器逃逸 42
7.4.5 phpmyadmin应用服务器环境识别 42
7.4.6 phpmyadmin应用服务器权限提升 42
7.4.7 利用msf配置内网代理 42
7.4.8 利用mimikatz获取内网windows服务器密码 42
7.4.9 攻击阶段小结 42
7.5 探索感知阶段攻击过程 42
7.5.1 内网服务器端口扫描 42
7.5.2 内网域服务器信息收集 42
7.5.3 攻击阶段小结 42
7.6 传播阶段攻击过程 42
7.6.1 利用MSF攻击域控服务器445端口SMB服务器 42
7.6.2 通过PTH攻击域内服务器 42
7.6.3 攻击阶段小结 43
7.7 持久化阶段攻击过程 43
7.7.1 通过msf持久化控制服务器 43
7.7.2 攻击阶段小结 43
7.8 削减防御阶段 43
7.8.1删除linux服务器登录日志 43
7.8.2 攻击阶段小结 43
7.9 恢复阶段攻击过程 43
7.9.1 将服务器上的木马进行删除 43
7.9.2 攻击阶段小结 43
7.10 实践积累知识点总结 43
8 内网渗透综合实战：vulnstack5 44
8.1 环境简介与环境搭建 44
8.2 探索发现阶段攻击过程 44
8.2.1 GUI扫描工具对靶场入口ip进行端口扫描 44
8.2.2 攻击阶段小结 44
8.3 入侵和感染阶段攻击过程 44
8.3.1 对ThinkPHP V5.0框架服务进行批量漏洞扫描 44
8.3.2 利用ThinkPHP V5.0 RCE漏洞攻击web服务器 44
8.3.3 对mysql数据库服务进行弱口令爆破攻击 44
8.3.4 攻击阶段小结 44
8.4 攻击和利用阶段攻击过程 44
8.4.1 利用cmd webshell传输cobalt strike上线木马 44
8.4.2 抓取web服务器上保存的操作系统凭证 44
8.4.3 攻击阶段小结 44
8.5 探索感知阶段攻击过程 44
8.5.1 使用cobalt strike对内网段进行扫描 45
8.5.2 攻击阶段小结 45
8.6 传播阶段攻击过程 45
8.6.1 使用psexec将域控服务器上线到cobalt strike 45
8.6.2 攻击阶段小结 45
8.7 持久化阶段攻击过程 45
8.7.1 通过metasploit持久化控制服务器 45
8.7.2 通过cobalt strike持久化控制服务器 45
8.7.3 攻击阶段小结 45
8.8 恢复阶段攻击过程 45
8.8.1 攻击阶段小结 45
8.9 实践积累知识点总结 45
9 内网渗透综合实战：vulnstack6 46
9.1 环境简介与环境搭建 46
9.2 探索发现阶段攻击过程 46
9.2.1 nmap对靶场入口ip进行服务扫描 46
9.2.2 攻击阶段小结 46
9.3 入侵和感染阶段攻击过程 46
9.3.1 对web服务进行目录扫描 46
9.3.2 利用反序列化漏洞攻击Typecho CMS 46
9.3.3 利用弱口令漏洞攻击Typecho CMS 46
9.3.4 通过phpstudy nginx解析漏洞攻击Typecho服务器 46
9.3.5 攻击阶段小结 46
9.4 攻击和利用阶段攻击过程 46
9.4.1 利用ms16-075漏洞对Typecho服务器进行提权 46
9.4.2 获取Typecho服务器保存的系统凭证 46
9.4.3 通过cobalt strike或metasploit构建内网代理 46
9.4.4 攻击阶段小结 47
9.5 探索感知阶段攻击过程 47
9.5.1 将工具代理进入内网对已知内网段进行探测 47
9.5.2 攻击阶段小结 47
9.6 传播阶段攻击过程 47
9.6.1 利用zerologon漏洞攻击域控服务器 47
9.6.2 通过PTH攻击上线域控服务器到cobalt strike 47
9.6.3 攻击阶段小结 47
9.7 持久化阶段攻击过程 47
9.7.1 通过metasploit持久化控制服务器 47
9.7.2 通过cobalt strike持久化控制服务器 47
9.7.3 攻击阶段小结 47
9.8 恢复阶段攻击过程 47
9.8.1 攻击阶段小结 47
9.9 实践积累知识点总结 47
10 内网渗透综合实战：vulnstack7 49
10.1 环境简介与环境搭建 49
10.2 探索发现阶段 49
10.2.1 目标服务器端口扫描 49
10.2.2 81端口web应用框架及版本识别 49
10.2.3 攻击阶段小结 49
10.3 入侵和感染阶段 49
10.3.1 利用Laravel RCE漏洞攻击服务器81端口 49
10.3.2 利用redis未授权访问漏洞攻击服务器6379端口 49
10.3.3 攻击阶段小结 49
10.4 攻击和利用阶段 49
10.4.1 Laravel服务器环境识别 49
10.4.2 Laravel docker服务器权限提升 49
10.4.3 Laravel docker服务器逃逸 49
10.4.4 利用msf搭建内网路由 49
10.4.5 利用mimikatz获取内网windows服务器密码 50
10.4.6 攻击阶段小结 50
10.5 探索感知阶段 50
10.5.1 通过内网代理进行内网服务器端口扫描 50
10.5.2 内网服务器8080端口web应用框架及版本识别 50
10.5.3 攻击阶段小结 50
10.6 传播阶段 50
10.6.1 利用通达OA 漏洞攻击内网服务器8080端口web应用 50
10.6.2 利用MS17-010漏洞攻击内网服务器445端口SMB服务 50
10.6.3 通过PTH攻击域控服务器 50
10.6.4 攻击阶段小结 50
10.7 持久化阶段 50
10.7.1 通过msf持久化控制服务器 50
10.7.2 通过cobal strike持久化控制服务器 50
10.7.3 攻击阶段小结 51
10.8 削减防御阶段 51
10.8.1 删除linux服务器登录日志 51
10.8.2 攻击阶段小结 51
10.9 恢复阶段 51
10.9.1 将服务器上的木马进行删除 51
10.9.2 攻击阶段小结 51
10.10 实践积累知识点总结 51
11 内网渗透综合实战：暗月项目七 52
11.1 环境简介与环境搭建 52
11.2 探索发现阶段攻击过程 52
11.2.1 nmap对靶场入口ip进行服务扫描 52
11.2.2 攻击阶段小结 52
11.3 入侵和感染阶段攻击过程 52
11.3.1 对web服务进行目录扫描 52
11.3.2 利用任意用户密码重置漏洞攻击siteserver 52
11.3.3 利用siteserver后台getshell漏洞攻击服务器 52
11.3.4 攻击阶段小结 52
11.4 攻击和利用阶段攻击过程 52
11.4.1 siteserver服务器ms16-075漏洞提权 52
11.4.2 获取siteserver服务器保存的系统凭证 52
11.4.3 通过cobalt strike或metasploit构建内网代理 52
11.4.4 攻击阶段小结 52
11.5 探索感知阶段攻击过程 53
11.5.1 将工具代理进入内网对已知内网段进行探测 53
11.5.2 攻击阶段小结 53
11.6 传播阶段攻击过程 53
11.6.1 利用通达OA多个漏洞对OA服务器进行攻击 53
11.6.2 将不出网的OA服务器上线cobalt strike 53
11.6.3 获取OA服务器保存的系统凭证 53
11.6.4 域网段信息收集与域控服务器定位 53
11.6.5 使用psexec攻击域控服务器 53
11.6.6 攻击阶段小结 53
11.7 持久化阶段攻击过程 53
11.7.1 通过metasploit持久化控制服务器 53
11.7.2 通过cobalt strike持久化控制服务器 53
11.7.3 攻击阶段小结 53
11.8 恢复阶段攻击过程 53
11.8.1 攻击阶段小结 53
11.9 实践积累知识点总结 54
12 内网渗透综合实战：暗月ack123 55
12.1 环境简介与环境搭建 55
12.2 探索发现阶段攻击过程 55
12.2.1 nmap对靶场入口ip进行服务扫描 55
12.2.2 攻击阶段小结 55
12.3 入侵和感染阶段攻击过程 55
12.3.1 对web服务进行目录扫描 55
12.3.2 使用ueditor编辑器漏洞攻击web服务器 55
12.3.3 攻击阶段小结 55
12.4 攻击和利用阶段攻击过程 55
12.4.1 绕过360全家桶上线web服务器到cobalt strike 55
12.4.2 绕过360全家桶对web服务器进行提权攻击 55
12.4.3 metasploit会话传递到cobalt strike 55
12.4.4通过cobalt strike或metasploit构建内网代理 55
12.4.5 攻击阶段小结 55
12.5 探索感知阶段攻击过程 56
12.5.1 web服务器敏感文件信息搜集 56
12.5.2 将工具代理进入内网对已知内网段进行探测 56
12.5.3 攻击阶段总结 56
12.6 传播阶段攻击过程 56
12.6.1 通过mssql数据库权限提权到系统权限 56
12.6.2 绕过火绒上线mssql服务器到cobalt strike 56
12.6.3 利用ms16-075漏洞对mssql服务器进行提权 56
12.6.4 对web服务器2进行jwt token爆破攻击 56
12.6.5 通过phpmyadmin对web服务器2进行getshell 56
12.6.6 将不出网的web服务器2上线到cobalt strike 56
12.6.7 通过cobalt strike的进程注入获取web服务器2的域用户会话 56
12.6.8 域网段信息收集与域控定位 56
12.6.9 使用SPN攻击获取域控服务器权限 56
12.6.10 攻击阶段小结 56
12.7 持久化阶段攻击过程 57
12.7.1 通过metasploit持久化控制服务器 57
12.7.2 通过cobalt strike持久化控制服务器 57
12.7.3 攻击阶段小结 57
12.8 恢复阶段攻击过程 57
12.8.1 攻击阶段小结 57
12.9 实践积累知识点总结 57
