获课地址：789it.top/17347/

从“靶场小白”到“内网猎人”：我是这样快速拿下30个攻防演练的

决定报这门《内网渗透科技实训，白帽学院30个靶场沉浸式攻防演练》课程的时候，我心里其实挺虚的。

网络安全这个领域，我看了不少文章、刷了不少视频，“永恒之蓝”“哈希传递”“域管提权”这些词张口就来。但真给我一个陌生的内网环境，让我自己摸进去、横向移动、拿下域控——我承认，我连第一步“信息收集”都不知道该从哪里开始。

这就是“知道”和“做到”之间的距离。而30个靶场，恰恰就是用来填这段距离的。

作为一个正在这门课里摸爬滚打的学员，我想聊聊：如果想更快掌握这套攻防体系，应该把重点精力放在哪几个方面。 这些不是课程目录，是我自己踩过的坑、摔过的跤、以及爬起来之后总结的路。

一、 先学会“搭靶场”：环境是你最好的陪练

很多人拿到课程第一件事，就是急着去打靶场。我一开始也是这样——结果虚拟机网络不通、服务起不来、工具连不上，折腾一上午，连第一个靶场的入口都没摸到。

后来我才明白一个道理：搭环境的能力，本身就是渗透能力的一部分。 如果你连靶场都搭不出来，到了真实环境只会更懵。

我快速上手的做法是这样的：

把虚拟机网络模式彻底搞懂：NAT、桥接、Host-Only、内网隔离。我不满足于“知道区别”，而是亲手搭了三种不同的网络拓扑，用ping和tracert验证每一种模式下的连通性。这件事花了我一个下午，但它让后面所有靶场的网络理解都有了底子。

建立自己的“靶场快照流程”：每搭好一个环境，做一次干净快照；每打完一个阶段，再做一次快照。这样搞崩了随时可以回滚，不用从头再来。这个习惯看起来不起眼，但它让我敢大胆地在靶场里尝试各种“可能会搞崩系统”的操作——而大胆尝试，恰恰是进步最快的方式。

记一份“环境清单”：每个靶场的IP分配、开放端口、关键服务、脆弱点位置，我都记在一个Markdown文件里。这份清单后来成了我的“战场地图”，反复练习时不用每次都重新勘察。

记住：靶场是你最忠实的陪练。 好好搭建它、善待它，它才会回报你真正的成长。

二、 把“信息收集”练成肌肉记忆：别急着拿权限

这是我自己踩过最大的坑。

一开始打靶场，我总是忍不住想快点“拿下”。扫到个端口，就去搜漏洞；搜到个漏洞，就去砸exp。结果十次里有八次砸不动——不是版本不对，就是姿势不对，更多时候是我根本没搞清楚这个端口跑的是什么服务。

后来我被一个靶场卡了整整半天，最后发现解决办法其实很简单：先仔细做一遍信息收集。那次之后，我强迫自己改变顺序。

信息收集的“三条线”是我现在每次进入新环境必走的流程：

网络线：本机IP是多少？在哪个网段？能通哪些相邻网段？有没有双网卡？有没有路由转发？

主机线：开放了哪些端口？每个端口对应的服务是什么版本？有没有Web服务？Web服务的目录结构是怎样的？

身份线：当前是什么用户？属于哪个组？有没有域环境？域内有哪些用户和机器？

我不再追求“一把梭”，而是追求“把地图画全”。每次信息收集做完，我会在纸上画一张简单的拓扑图：这台机器的位置、能通哪里、开了什么服务。当这张图画完的时候，很多时候攻击路径已经自己浮现出来了——甚至不需要我去“找”。

核心认知：信息收集不是在“浪费时间”，而是在“让后面的时间不白费”。 这个道理我听别人说过很多遍，但只有自己卡过几次之后，才真正刻进了骨头里。

三、 横向移动：从“单机玩家”到“网络猎人”的关键一跃

如果你只会打单机——找到一个入口点，提权，结束——那你还不算会内网渗透。内网渗透的核心是横向移动：从一台机器跳到另一台，逐步扩大控制范围。

这门课的30个靶场里，有一大半都是训练横向移动的。我快速突破这个瓶颈的方法是：

建立一个“横向移动工具箱”：我把常用的横向移动手法分类整理——IPC$连接、PsExec、WMI、WinRM、计划任务、DCOM、SMBExec……每一种手法我都练到能不看笔记、手打命令完成。练熟了之后，遇到一个场景你不需要“想用什么方法”，手会自动去敲对应的命令。

学会“凭证收集和重用”：横向移动的核心不是技术，是凭证。进了第一台机器后，最优先的不是提权，而是翻东西——本地的哈希、内存中的明文凭证、浏览器保存的密码、SSH私钥、配置文件里的账号密码……我建了一个“翻东西清单”，每进一台新机器就按清单扫一遍，确保不错过任何潜在的凭证。

从“点到点”到“画路径图”：早期我只会“跳到下一台”。后来我学会了画攻击路径图——标出入点、每一步的凭证来源、跳转方法、最终目标。画多了，你会发现很多横向移动是有“模式”的，比如“拿到一个域用户的哈希，就能登录到域内一半的机器”。模式识别，才是高手和普通人的分水岭。

进阶的标志是什么？ 不是你能打多少个exp，而是你能在不知道任何漏洞的情况下，只靠合法的管理工具和收集到的凭证，在一个域内自由移动。这才是内网渗透“不用武器”的真正实力。

四、 域渗透：把“单个机器思维”升级为“整体域思维”

域环境是这门课的重头戏，也是最让人头疼的部分。单机渗透的经验，在域里往往不管用——域的策略限制、日志审计、集中管理，会让很多单机手法失效。

我学域渗透的心得，可以总结为“换三双眼睛看问题”：

第一双眼睛：普通域用户的眼睛。拿到一个普通域用户，能做什么？可以查询域内信息吗？可以枚举域管组吗？可以请求TGT吗？这门课教会我的最重要一件事：不要低估普通用户的权限。 很多域渗透的突破口，恰恰来自“没人觉得会有问题”的普通账户。

第二双眼睛：攻击者的眼睛。拿到一个账户之后，攻击路径怎么规划？是直接尝试攻击域控，还是先找域管登录过的机器？是哈希传递，还是票据传递？我每学一个新的域攻击手法（黄金票据、白银票据、DCSync、Skeleton Key等），都会在靶场里亲手打一遍，然后画一个“适用条件清单”——什么情况下这个手法能用，什么情况下不能用。

第三双眼睛：防御者的眼睛。这是我后来才养成的习惯，但非常重要。每学会一种域攻击手法，我马上去查：检测方案是什么？日志里会留下什么痕迹？如何加固能让这种攻击失效？这个习惯让我从一个“单纯搞破坏”的状态，进化到了“能发现问题也能解决问题”的状态。

域渗透最关键的思维转变是： 你不是在打一台机器，你是在和一个系统对抗。域控只是一个节点，整个域的策略、信任关系、管理习惯才是真正的战场。

五、 建立自己的“作战手册”和“武器库”

学这门课的过程中，我发现一个规律：真正拖慢我的，从来不是“不知道怎么做”，而是“知道但记不清命令”。

于是我开始建立两样东西，现在看来是我学习过程中最有价值的产出：

第一样：作战手册（按场景组织的笔记）

我不再按“漏洞名称”记笔记，而是按“我想做什么”来组织：

“如何在不知道任何凭证的情况下，从外网打进第一台机器？”

“进入一台Windows机器后，优先翻哪五个地方找凭证？”

“拿到一个普通域用户后，如何枚举域管登录记录？”

“如何在不触发常见EDR的情况下，横向移动到另一台机器？”

每一条都是“场景 -> 命令/工具 -> 注意事项”。这份手册越积越厚，但查起来越来越快。遇到一个场景，不用想，直接翻对应章节。

第二样：武器库（按平台和用途分类）

不是攒一堆工具就完了，而是按场景组织：

信息收集类（针对Windows、Linux、域分别有哪些）

提权类（按系统版本分类）

横向移动类（按认证方式分类）

凭证操作类（Mimikatz的各种命令，一条条整理好）

最重要的是，我花了时间把每个工具的常用参数摸清楚，而不是依赖“--help”现查。渗透的时候，手速和熟悉度直接决定了你能不能抢在某个条件变化之前完成操作。

六、 从“打完算完”到“复盘建模”：每一次靶场都要产出“可迁移的能力”

这是我从这门课里学到的最有价值的一课，也是我想重点分享的。

很多人打完一个靶场，看看WriteUp，“哦原来是这么打的”，然后就下一个了。这种打法，打完30个靶场，你还是你，没有真正进化。

我给自己定了一条铁律：每个靶场打完，必须产出三样东西：

攻击路径图：从第一步到最后一步，每一跳用的是什么技术、什么凭证、什么工具。画完之后，找一条更短的路径——如果有，说明我第一次打得不够聪明。

三条可迁移的经验：这个靶场教会我的、可以用到其他靶场甚至真实环境的通用知识。比如“原来通过注册表可以RDP的历史连接记录”“原来Windows事件日志里的某个ID可以用来发现横向移动”。这些经验是我知识库的增量，是真正带走的东西。

一个“如果我是蓝队”的加固清单：这个靶场的脆弱点，如果我要加固，应该怎么做？能检测到什么程度？这个练习让我的视角从纯粹的攻，扩展到了攻防兼备。

当我把这30个靶场每个都产出这三样东西的时候，我发现我不再需要依赖任何WriteUp。面对一个新环境，我知道第一步做什么、第二步做什么、遇到什么情况用什么方法——这不是“背”出来的，是30次沉淀之后长在脑子里的能力。