内网横向移动检测与追踪技术.docxVIP

内网横向移动检测与追踪技术

1.概述

在内网渗透测试或安全攻击场景中，横向移动是指攻击者在获得内网某台终端或服务器的初始访问权限后，利用该权限作为跳板，向内网中的其他主机、服务或域控制器进行扩散的过程。

与初始入侵相比，横向移动更隐蔽、更难被发现，且是攻击者达成最终目标（如窃取核心数据、部署勒索软件）的关键步骤。因此掌握横向移动的原理、检测手段及追踪溯源技术对于防御者构建纵深防御体系至关重要。

2.常见的横向移动技术

横向移动主要依赖于网络服务、远程执行机制以及凭据窃取。

2.1基于服务类的移动

攻击者利用Windows提供的共享服务进行连接。

SMB(ServerMessageBlock)协议：

利用方式：通过\\TargetIP\ipc$建立空连接或匿名连接；利用admin$共享（通常指向C:\Windows）上传执行工具；使用psexec或wmiexec通过SMB传输命令。

核心机制：利用NTLM认证或Kerberos票据进行身份验证。

利用方式：PowerShell的Invoke-Command或Enter-PSSession命令。

特点：基于HTTP/HTTPS(5985/5986端口)，常被绕过防火墙，流量特征明显。

WMI(WindowsManagementInstrumentation)：