核心認知：入侵 = 未授權訪問 = 利用漏洞 + 權限提升 + 持久化

新手必須建立完整攻擊鏈認知：**信息收集 → 漏洞掃描/挖掘 → 漏洞利用 (獲取 Shell) → 權限提升 (提權) → 內網橫向移動 → 持久化/痕跡清理 → 數據竊取/破壞**。每一環都是防禦切入點。

階段一：信息收集與漏洞發現

端口掃描 — 敲門磚

• 工具：Nmap (神器) `nmap -sS -sV -O -A -p- target` (SYN掃描、版本檢測、OS指紋、腳本掃描、全端口)。
• SuperScan (圖形化、Windows 經典)、Masscan (極速全網掃描)、ZMap (學術研究)。
• 重點關注：135/139/445 (SMB/RPC), 3389 (RDP), 1433 (MSSQL), 3306 (MySQL), 5432 (PostgreSQL), 6379 (Redis), 27017 (MongoDB), 80/443/8080/8443 (Web), 22 (SSH), 21 (FTP), 25/110/143/993/995 (郵件), 53 (DNS), 161/162 (SNMP)。

漏洞掃描 — 精準定位

• 商業：Nessus (標杆), Qualys Guard, OpenVAS (開源), Nexpose, X-Scan (國產經典), AWVS (Web 專項), AppScan (Web/移動)。
• 策略：大範圍輕量掃描 (僅端口+服務識別) → 重點資產深度掃描 (認證掃描、插件全開) → 驗證排除誤報 → 風險定級 → 修補閉環。

階段二：漏洞利用獲取 Shell

Shell 類型與獲取途徑

權限提升 (提權) — 從低權限到 SYSTEM/root

• Windows： 內核漏洞 (MS16-032, MS17-010, CVE-2021-1732...)、服務配置錯誤 (不可信路徑、弱權限、DLL 劫持)、令牌竊取/偽造 (RottenPotato, JuicyPotato, PrintSpoofer, RogueWinRM)、AlwaysInstallElevated、UAC 繞過 (EventViewer, FodHelper, CMSTP, SDCLT...)、啟動項/計劃任務/服務修改 (需寫入權限)。
• Linux： 內核漏洞 (Dirty Cow/CVE-2016-5195, Dirty Pipe/CVE-2022-0847, PwnKit/CVE-2021-4034)、SUID 二進制錯誤配置、sudo 錯誤配置 (NOPASSWD, 輸入輸出重定向、環境變量劫持)、容器逃逸 (CVE-2019-5736, CVE-2022-0811)、Cron 定時任務、LD_PRELOAD 劫持、Capabilities 濫用。

階段三：內網橫向移動與域滲透 (核心高地)

• 信息收集： `net view /domain`, `nltest /domain_trusts`, `adfind`, `BloodHound` (圖譜分析攻擊路徑)、`SharpHound` 收集器。
• 憑證獲取： Mimikatz (lsass 內存讀取明文/NTLM Hash/Kerberos Ticket)、`sekurlsa::logonpasswords`, `sekurlsa::pth` (Pass-the-Hash), `sekurlsa::ptt` (Pass-the-Ticket)、Procdump + Mimikatz 離線、LSASS 進程轉储 (comsvcs.dll, wer.dll, SQLDumper, 任務管理器)。
• 橫向移動： PsExec / PAExec / Smbexec / Wmiexec / AtExec / Dcomexec / RDP / SSH / WinRM (Invoke-Command) / SCM (服務創建) / Scheduled Tasks / COM/DCOM (MMCE, ShellWindows, WMI)。核心：重用憑證 (Hash/Ticket) 而非密碼。
• 域提權： Kerberoasting (請求 SPN TGS 票據離線爆破)、AS-REP Roasting (不需預認證賬號)、GPP cpassword (SYSVOL XML 解密)、DCSync (模擬域控同步獲取所有 Hash)、Golden/Silver Ticket (偽造 TGT/TGS)、DCShadow (惡意域控推送變更)、委派攻擊 (非約束/約束/資源型委派)。
• 持久化： Skeleton Key (修改域控內存攔截密碼)、DSRM 賬號密碼同步、AdminSDHolder/ACL 後門、WMI 事件訂閱、組策略腳本、計劃任務、服務、鍵值 (Run/RunOnce/Winlogon/IFEO/AppInit_DLLs)。

工具箱精選 (持續更新)

Win98 歷史注腳：不再是攻擊平台，亦非防禦目標

Win98 無內核級安全模型、無 ACL、無服務架構、無 IPC$/RPC/NTLM、無審計日志、TCP/IP 協議棧極簡陋。**無法作為現代滲透測試跳板，亦無防禦價值**。歷史原因保留：共享密碼破解 (NetPass), 嗅探 (無交換機環境), 郵件/木馬投放。現代環境**強制要求 Win10/11 / Server 2016+ / Linux 內核 5.x+**。

常見問題速查 (FAQ)

流光/冰河/灰鴿子被殺毒軟件報毒怎麼辦？

它們**就是**木馬/遠控工具，殺毒軟件報毒是正確行為。**紅隊演練需申請白名單/加簽名/免殺重構**，非授權環境嚴禁使用。

IPC$ 連不上怎麼辦？

檢查：目標開放 445/139、LanmanServer 服務運行、防火牆放行、賬號屬於 Administrators/Backup Operators、密碼正確、無安全策略禁用空連接 (`RestrictAnonymous=1`)、無 IPsec 阻斷。錯誤碼 5/51/53/67/1219/1326/1792/2242 含義詳見原文。

如何打開目標 IPC$？

前提：已獲取目標 **管理員權限 Shell** (SQL xp_cmdshell, RCE, WebShell 提權, 木馬, RDP, SSH)。執行 `net share ipc$` 或 `net start lanmanserver`。

字典從哪來？

SecLists (GitHub), Probable-Wordlists, 弱口令字典 (top1000, rockyou.txt), 針對性生成 (公司名+年份+符號, 鍵盤走勢, 拼音組合) — 工具: Crunch, Hashcat mask, John rules, CUPP (社工字典)。

給新手的三條鐵律

1. 合法授權是底線： 未經書面授權測試即犯罪 (中國刑法 285/286/287 條)。參加合法項目 (HW/紅藍對抗/賞金計劃/CTF/授權滲透)。
2. 基礎決定上限： TCP/IP 協議棧、作業系統原理 (內存/文件系統/進程/線程/同步/網絡棧)、編程 (C/Python/Go/Assembly/PowerShell)、數據結構與算法、**英閱讀技術文檔/RFC/源碼能力**。
3. 實戰出真知： 搭建靶場 (VulnHub, Hack The Box, TryHackMe, Attack-Defense, 範圍靶場, 內網模擬環境 AD/Exchange/SharePoint/SQL/ADCS)，完整打通攻擊鏈、複現 CVE、編寫 Exploit/腳本/工具、輸出報告、複盤改進。

安全之路，漫漫長途，**腳踏實地、合法合規、持續學習、知行合一**。