从踩坑到打通，我熬了三个通宵总结的血泪经验
嘿，说真的，写这篇内网靶场通关指南之前，我盯着屏幕愣了好一会儿——因为回想自己第一次进内网靶场那会儿，简直惨不忍睹，扫端口扫了一晚上，结果发现目标机器压根没开几个服务，白激动一场，所以今天这篇内网靶场通关指南，我不打算跟你拽什么高大上的术语，就想像哥们儿坐一块儿撸串那样，把该踩的坑、该绕的弯,一条一条给你唠明白。
先说个前提啊：内网靶场通关指南这玩意儿，真不是看一遍就能通关的秘籍，它更像是一张地图，地图给你了，路还得你自己走，我第一次照着网上那些“速通教程”操作，结果卡在权限提升那一步整整两天，气得我差点把键盘拍了，后来才明白，内网靶场通关指南里最容易被忽略的，恰恰是信息收集这个“笨功夫”。
信息收集：别急着上手，先摸清地形
你知道吗？很多新手（包括当初的我）一进靶场就急着掏工具，nmap一顿扫，扫完就冲，拜托，这可是内网啊！内网靶场跟外网最大的区别就是——你面对的可能是一整片网段，机器之间还有信任关系，所以内网靶场通关指南的第一条铁律：先用fscan或者nmap把存活主机、开放端口、服务版本摸个底朝天。
我当时犯的错就是只扫了C段，结果漏掉了B段里一台关键域控，后面做横向移动的时候直接懵了，记住啊，内网靶场通关指南里反复强调的“先画拓扑再动手”，真不是废话，用arp-scan、netdiscover先定位存活主机，再针对性扫端口，效率能翻好几倍，还有，别忘了看看有没有Web服务——很多内网靶场的入口就藏在一个不起眼的80端口后台里。
立足点：拿到第一个shell别嘚瑟
好，假设你通过Web漏洞或者弱口令拿到了第一台机器的shell，恭喜！但先别急着庆祝，内网靶场通关指南在这一步有个超级重要的提醒：先稳住，做信息收集，看看当前用户权限、有没有域内信息、能不能读到配置文件里的密码，我见过太多人拿到shell就急着传工具横向，结果触发防护规则，直接被踢出来——那感觉，就跟打游戏存档没了似的,想哭都来不及。
这时候该干嘛？升级shell（用python -c反弹个tty）、查系统补丁、看有没有保存的凭据（cmdkey /list、mimikatz抓一波），对了，内网靶场通关指南里有个小技巧我特别爱用：翻翻用户目录下的.bash_history或者PowerShell历史记录，经常能捡到管理员留下的“礼物”。
横向移动：别只会psexec
说到横向，哎，这可是内网靶场通关指南的重头戏，很多人一上来就psexec，结果被防火墙拦得死死的，其实横向移动的手法多了去了：WMI、WinRM、SMB relay、甚至计划任务,关键是要看目标机器的端口开放情况和补丁状态。
我印象特别深的一次，靶场里一台机器开了445但关了135，psexec死活连不上，后来换了smbexec才搞定，所以内网靶场通关指南建议你：手上至少备三四种横向工具，别在一棵树上吊死，还有啊，别忘了凭据复用——内网里同一个密码到处用的坏习惯,简直是给你送分。
权限提升与域控：最后一步最磨人
到了提权阶段，内网靶场通关指南的忠告是：别迷信exp，先手工查whoami /priv、systeminfo，看看有没有SeImpersonate这类好用的特权，土豆家族（JuicyPotato、RoguePotato）该上就上，但注意系统版本别搞错,我就因为用错版本浪费了一下午。
至于打域控，那更是考验耐心。内网靶场通关指南里我强烈建议你先把BloodHound跑起来，把域内关系图看清楚，找最短攻击路径，有时候一条Kerberoasting就能撕开口子，有时候得靠ACL滥用慢慢磨，别急,内网靶场就是用来磨性子的。
写在最后
说实话，写完这篇内网靶场通关指南，我自己又复盘了一遍当初的笔记，内网靶场通关这事儿，真没什么捷径，就是信息收集做扎实、工具备齐全、心态放平稳，你要是照着这篇内网靶场通关指南一步步来，不敢说一次通关，但至少能少熬两个通宵——信我,这已经是我能给你的最大善意了哈哈。
哦对了，通关之后记得写报告啊！别像我第一次似的，打完就忘，回头连自己怎么进去的都说不清楚，那才叫真的白打，加油吧,靶场里见！