内网测试checkList

信息收集

网络拓扑：通过已有跳板扫描内网网段、路由、VLAN。
资产发现：存活主机、开放端口、域控、文件服务器、数据库等。
账号/凭证：抓取本机 Hash、票据、浏览器缓存、配置文件，收集邮箱、社工库泄露口令。
域信息（若存在）：域管列表、组策略、OU、信任关系、LDAP 查询结果。
工具：fscan、arp-scan、nmap、PowerView、BloodHound、Adfind。

漏洞扫描与验证

自动化扫描：使用 Nessus、OpenVAS、Nuclei 等对目标系统执行漏洞、配置核查。
手工验证：排除误报，确认可利用的高危漏洞（如 MS17-010、WebLogic、Log4j）。
弱口令检查：RDP、SSH、WinRM、MySQL、Redis、VNC 等常见服务。

初始立足点（Initial Foothold）

利用远程代码执行、弱口令、钓鱼、U 盘等方式获取第一台内网主机权限。
上传 WebShell、C2 Beacon、Meterpreter 或 Cobalt Strike 载荷，建立持久通道。

横向移动

凭证复用：PTH、PTT、PTK、明文口令，利用 PsExec、WMI、WinRM、RDP、SSH 扩散。
漏洞扩散：MS17-010、BlueKeep、SMBGhost、Citrix ADC、Confluence RCE 等。
跳板代理：在已控主机搭建 Socks5 代理或 MSF autoroute，实现全内网可达。
目标：占领更多工作站、服务器，最终逼近域控或核心业务系统。

权限维持与清理

维持：黄金/白银票据、Skeleton Key、DCShadow、计划任务、服务、启动项、注册表、WMI Event。
日志清理：使用 Mimikatz “event::drop”、wevtutil、覆盖或删除安全日志。
后门：Cobalt Strike Beacon、Metasploit Meterpreter、SSH Key、WebShell、VPN 账号。

数据收集与影响分析

抓取关键数据库、文件服务器、代码仓库、邮件、OA 与财务系统数据。
记录攻击路径、耗时、被检测次数，评估潜在业务影响与合规风险。

输出报告与加固建议

报告：执行摘要、风险综述、攻击路径图、高危漏洞明细、复现步骤、截图、日志。
修复建议：补丁升级、网络分段、强制 MFA、收紧域管登录、域控加固、EDR/NDR 部署、日志审计、安全意识培训。
复测：协助客户完成漏洞修补后再次验证，确认风险已闭环。