内网横向移动全套思路总结｜SMB/WMI/WinRM/SMBexec 多种横向方式对比

🔒免责声明：本文内容仅用于授权内网渗透、红队演练、网络安全学习研究。依据《网络安全法》，没有获得书面授权，禁止对任何内网主机进行横向、探测、攻击操作，非授权内网渗透属于违法行为。文中命令、攻击手段仅供学习，禁止直接复制应用于非授权环境。

摘要
在内网渗透、护网红蓝对抗当中，拿到一组账号密码或者 NTLM 哈希之后，下一步就是横向移动。很多同学会混淆 psexec、smbexec、wmiexec、wmic、WinRM 各个工具，搞不清楚它们底层协议、端口、利用条件、痕迹日志、OPSEC 噪音。同样一组凭据，有的工具直接访问拒绝，有的可以拿到 system 权限；有的落地文件容易被杀软拦截，有的无文件执行更加隐蔽。

本文完整梳理 Windows 内网主流横向移动技术：基于 SMB 协议的 PsExec、SMBexec；基于 DCOM/WMI 的 WMIexec；基于 WinRM (PSRemoting) 的 evil‑winrm；同时补充 atexec、DCOM、计划任务、RDP 横向；对每一种技术拆解底层原理、端口条件、使用命令、日志痕迹、优缺点、红蓝对抗 OPSEC；制作横向移动对比总表；梳理实战高频报错与排错方案；给出红队选型思路，同时提供蓝队检测与加固方案。

MITRE‑ATT&CK 映射：T1021.002 SMB/Windows Admin Shares，T1021.003 Windows Remote Management，T1021.004 WMI，T1021.001 Remote Desktop Protocol，T1021.006 DCOM。

1. 什么是内网横向移动，横向移动前置基础条件

1.1 横向移动概念

横向移动（Lateral Movement），攻击者拿到内网某一台主机凭据之后，利用 Windows 自带管理协议，访问内网其他机器，在远程机器执行命令、获取 shell，扩大控制范围，向域控、核心业务服务器跳转。

核心：全部横向技术几乎都是滥用 Windows 原生管理协议，流量和正常管理员运维流量高度相似，所以传统 IDS 很难直接拦截。

1.2 通用前置条件

1. 拥有目标机器有效凭据：明文账号密码，或者 NTLM 哈希；绝大多数横向方式要求目标本地管理员权限，普通域用户默认无法执行远程命令执行横向；
2. 网络层面端口可达，防火墙没有拦截对应协议端口；
3. UAC 远程令牌过滤问题：Windows 默认对本地管理员账号做 UAC 远程过滤，本地管理员远程登录拿到过滤令牌，权限受限，返回 Access Denied；域管理员账号不受该限制。

注册表开关：LocalAccountTokenFilterPolicy，值设置为 1，可以关闭本地管理员远程 UAC 过滤，目标机器需要修改该注册表。

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System 新建DWORD LocalAccountTokenFilterPolicy = 1

1.3 凭据传递方式

• 明文账号密码；
• Pass‑the‑Hash (PtH) 哈希传递：使用 NTLM 哈希认证，不需要明文密码；impacket 全套工具支持‑hashes LM:NTLM参数；
• Pass‑the‑Ticket (PTT) 票据传递：导入 Kerberos ccache/kirbi 票据，使用 Kerberos 认证，工具增加‑k参数。

2. 基于 SMB 协议横向：PsExec 原理与实战

PsExec 最早是 Sysinternals 微软官方工具，后来 impacket 实现跨平台版本 psexec.py，是最经典的内网横向手段，底层依赖 SMB 协议 445 端口，访问 ADMIN$ 管理共享。

2.1 原理流程

1. 攻击者通过 SMB 连接目标 445 端口，访问ADMIN$（C:\Windows）共享；
2. 上传一个临时服务二进制文件到C:\Windows\目录；
3. 通过 SCM 服务控制管理器，远程创建 Windows 服务，指向上传的 exe；
4. 启动服务，服务运行权限为 NT AUTHORITY\SYSTEM；
5. 通过命名管道接收命令回显；
6. 会话结束之后尝试删除上传的 exe 文件，删除服务。

关键点：会向磁盘写入二进制文件，这是 PsExec 最大的缺点，很多 EDR、杀毒对 RemComSvc 特征重点查杀。

2.2 端口与条件

• 端口：TCP 445（SMB）；
• 条件：目标开启 SMB，ADMIN$ 管理共享开启；凭据具备目标本地管理员权限；防火墙放行 445。

2.3 impacket‑psexec 常用命令

#明文密码 impacket‑psexec domain/admin:'Password@123'@192.168.1.30 #Pass‑the‑Hash哈希传递，LM部分为空，写冒号加NTLM哈希 impacket‑psexec domain/administrator@192.168.1.30 ‑hashes :aad3b435b51404eeaad3b435b51404ee:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx #Kerberos票据传递，‑k，不需要密码，需要dc‑ip，适合域环境 impacket‑psexec ‑k ‑dc‑ip 192.168.1.100 domain/admin@192.168.1.30

Windows 原生 psexec（Sysinternals）：

psexec \\192.168.1.30 ‑u administrator ‑p Password@123 cmd.exe

2.4 日志与痕迹

1. 事件 ID7045：系统服务安装事件，记录新创建服务名称、二进制路径；这是 PsExec 最重要告警日志，蓝队重点监控 7045 事件；
2. 4624 登录事件，登录类型 3（网络登录）；
3. 磁盘留下临时 exe 文件，即使执行删除，部分情况下会留下残留。

2.5 优缺点

✅优点：拿到完整交互式 SYSTEM shell；兼容性极强，几乎所有 Windows 系统全部支持；
❌缺点：噪音大，落地二进制文件，7045 日志非常明显；EDR、杀毒很容易拦截；如果 ADMIN$ 共享被关闭，直接无法使用。

实战提示：现在护网环境很多 EDR 直接拦截 psexec 上传行为，红蓝对抗尽量少优先使用 psexec。

3. SMBexec 详解：无二进制落地的 SMB 服务执行

很多同学混淆 PsExec 与 SMBexec，两者同样基于 SMB、SCM 服务控制管理器，最大区别：SMBexec 不会上传任何 exe 二进制到磁盘。

3.1 底层原理

smbexec.py 不上传程序，创建 Windows 服务的时候，服务的 binPath 直接填写cmd.exe /c 命令字符串。服务启动调用 cmd 执行指令；输出结果写入目标机器临时共享下的临时文件，攻击者通过 SMB 读取临时文件拿到回显；每执行一条命令会创建、删除一次服务。执行结束自动删除服务，磁盘不会遗留 exe 文件。

重点：没有文件落地，规避大量针对 psexec 服务二进制的杀毒检测；但是依旧操作 SCM 服务，依然产生 7045、7036 服务事件日志。

3.2 端口与条件

• 端口：TCP 445；
• 条件：开启 SMB，IPC(共享可用；目标本地管理员权限；**不需要ADMIN)共享 **，这点对比 psexec 是巨大优势，如果 ADMIN 被关闭，smbexec 依旧可以工作，依赖 IPC$。

3.3 常用命令

#明文 impacket‑smbexec domain/admin:'Password@123'@192.168.1.30 #哈希传递 impacket‑smbexec domain/admin@192.168.1.30 ‑hashes :xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx #指定执行单条命令，不进入交互shell impacket‑smbexec domain/admin:'Password@123'@192.168.1.30 ‑c "whoami"

3.4 日志痕迹

• 每执行一条命令生成一对事件 ID：7045（安装服务）、7036（服务停止）；短时间批量大量 7045 日志，是 smbexec 典型特征；
• 4624 类型 3 网络登录事件；
• 磁盘无 exe 落地，会短暂生成临时输出文件，执行完成自动清理。

3.5 优缺点

✅优点：无二进制落地，规避 psexec 的 exe 查杀；不需要 ADMIN(，只要IPC)可用即可；拿到 SYSTEM 权限；
❌缺点：每一条命令新建销毁服务，会爆发大量 7045 日志，日志噪音依旧很高；shell 半交互式，部分复杂交互式程序执行效果差。

对比总结：PsExec 落 exe；SMBexec 不落 exe，两者都操作 SCM 服务，都会产生服务安装事件。

4. WMI/WMIexec 横向移动（DCOM 协议）

WMI Windows 管理规范，Windows 原生运维管理组件，底层跑 DCOM/RPC 协议，是红队非常喜爱的相对隐蔽的横向手段。

4.1 原理

WMI 远程调用Win32_Process类，在远程主机直接创建进程；进程运行在wmiprvse.exe进程上下文。不需要创建 Windows 服务，不会产生 7045 服务安装日志，噪音相比 SMB 系列低很多。

impacket 的 wmiexec.py 实现该能力；Windows 自带 wmic.exe 也可以调用 WMI 远程执行，但是原生 wmic 没有回显。

4.2 端口条件

• TCP135 端口（DCOM RPC 端点）+ RPC 动态高位端口；防火墙如果拦截动态端口，WMI 直接失败；
• 需要目标本地管理员权限；DCOM 组件防火墙规则放行。

坑点：很多企业防火墙放行 135，但是拦截 RPC 动态端口范围，wmiexec 连接超时。

4.3 wmiexec.py 命令示例

#明文 impacket‑wmiexec domain/admin:'Password@123'@192.168.1.30 #PtH哈希传递 impacket‑wmiexec domain/admin@192.168.1.30 ‑hashes :xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx #执行单条命令 impacket‑wmiexec domain/admin:'Password@123'@192.168.1.30 ‑c "ipconfig /all"

Windows 原生 wmic 命令（无回显）：

wmic /node:"192.168.1.30" /user:admin /password:Password123 process call create "cmd.exe /c calc.exe"

4.4 日志痕迹

• 不会产生 7045 服务事件，这是 WMI 最大优势；
• 4624 登录类型 3 网络登录；
• 进程日志：wmiprvse.exe 创建 cmd 子进程；
• 如果开启 WMI‑Activity 日志，会记录 WMI 操作；Windows 默认该日志没有完全开启，很多环境不会记录 WMI 调用行为，所以隐蔽性优于 SMBexec、psexec。

4.5 优缺点

✅优点：不操作服务控制管理器，无 7045 日志；无文件落地；隐蔽性好；
❌缺点：依赖 135+RPC 动态端口，防火墙很容易阻断；shell 半交互式；部分杀毒监控 wmiprvse 异常进程创建；UAC 本地管理员远程过滤同样生效。

红蓝对抗 OPSEC 建议：防火墙允许 135 与动态端口的前提下，优先选择 wmiexec，噪音低于 SMB 系列横向。

5. WinRM（PowerShell Remoting）evil‑winrm 完整实战

WinRM 是 Windows 远程管理服务，PowerShell Remoting 基于 WinRM，现在域内服务器大量开启该服务。协议端口 5985 (HTTP)、5986 (HTTPS 加密)。

5.1 原理

WinRM 微软原生远程管理协议，专门用于 PowerShell 远程会话，攻击者认证成功之后获取完整 PowerShell 交互式 shell，权限取决于登录凭据权限。

注意：Windows 桌面版 WinRM 默认关闭；Windows Server 服务器版本很多环境会开启 WinRM 服务。

5.2 端口条件

• HTTP：TCP 5985；HTTPS 加密：TCP 5986；
• 需要目标开启 WinRM 服务，防火墙放行对应端口；本地管理员权限。

5.3 evil‑winrm（Kali 工具）使用

#明文 evil‑winrm ‑u administrator ‑p 'Password@123' 192.168.1.30 #哈希传递PtH evil‑winrm ‑u administrator ‑H 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx' 192.168.1.30 #域账号Kerberos票据登录 evil‑winrm ‑u admin ‑d company.local ‑k ‑dc‑ip 192.168.1.100 192.168.1.30

Windows 本机 PowerShell 远程交互：

Enter‑PSSession ‑ComputerName 192.168.1.30 ‑Credential administrator

5.4 日志痕迹

• WinRM 专属事件日志：Microsoft‑Windows‑WinRM/Operational；事件 ID 91、168；
• 4624 登录事件，登录类型 3；
• PowerShell 日志模块会记录执行的脚本命令。

5.5 优缺点

✅优点：完整交互式 PowerShell shell，体验最好；流量支持 HTTPS 加密；协议属于正常运维协议；拿到管理员直接高权限；
❌缺点：默认桌面版 Windows 没有开启 WinRM；服务器如果没有开启该服务就无法利用；PowerShell 日志会记录执行命令，容易被 EDR 监控。

6. 其他小众横向手段：atexec、DCOM、远程计划任务、RDP

6.1 atexec.py（impacket 套件）

底层调用 AT 服务 / 计划任务，远程创建一次性计划任务执行命令，执行完成删除任务。
端口：445，IPC$。

impacket‑atexec domain/admin:'Password@123'@192.168.1.30 "whoami"

日志：事件 ID4698（计划任务创建）。
特点：不依赖 ADMIN(，只要IPC)；不会获取持续交互 shell，只能单次执行一条命令，适合上传载荷，不适合拿 shell。

6.2 DCOM dcomexec.py

DCOM 组件远程调用，端口 135+RPC 动态端口，和 WMI 底层同样 DCOM。

impacket‑dcomexec domain/admin:'Password@123'@192.168.1.30

缺点：防火墙容易拦截动态 RPC 端口；真实环境成功率不如 wmiexec。

6.3 远程 schtasks 计划任务横向

Windows 原生 schtasks 命令，通过 SMB IPC 远程创建计划任务执行 payload。

schtasks /s 192.168.1.30 /u admin /p Password@123 /create /tn "mytask" /tr "C:\payload.exe" /sc once /st 12:00 schtasks /s 192.168.1.30 /run /tn "mytask"

日志：4698 任务创建事件。只能单次执行命令，无持续 shell。

6.4 RDP 远程桌面横向

端口 TCP 3389；拿到凭据之后登录远程桌面，图形化会话横向。
工具 kali：xfreerdp。

xfreerdp /v:192.168.1.30 /u:admin /p:'Password@123'

特点：交互式图形桌面；但是需要账号被加入远程桌面用户组；普通域用户如果被加入 Remote Desktop Users 组就可以登录，不需要本地管理员权限，这是 RDP 和其他横向最大区别。
日志：4624 登录类型 10（RDP 登录）。

实战场景：很多时候我们拿到普通域账号，没有本地管理员，无法 psexec/wmiexec，但是该账号在远程桌面用户组，可以 RDP 登录机器，这是非常常见的跳板路径。

7. 多种横向移动技术完整对比总表

核心解读：

1. 只要操作 Windows 服务 SCM（PsExec、SMBexec），一定会爆出 7045 高危事件，蓝队重点监控；
2. WMI/WinRM 不会产生 7045，噪音更低，优先红队选择；
3. RDP 是唯一一个可以不需要本地管理员权限的横向方式，只要账号属于 Remote Desktop Users 组。

8. 红队实战选型：不同场景应该选择哪一种横向方式

场景 1：445 开放，135 端口防火墙拦截，ADMIN$ 共享被关闭

选型：SMBexec。psexec 依赖 ADMIN(无法使用，smbexec只需要IPC)，虽然有 7045 日志，但是网络条件允许下唯一 SMB 方案。

场景 2：445 放行，135 端口全部放行，目标服务器，EDR 查杀严格，尽量减少告警

选型：优先 wmiexec。不产生 7045 服务日志，无文件落地，噪音最小。

场景 3：目标服务器开启 WinRM 5985 端口

选型：evil‑winrm，拿到完整 PowerShell 交互式 shell，体验最好。

场景 4：只能执行单条命令，不需要交互式 shell，上传执行载荷

选型：atexec.py，远程计划任务单次执行命令。

场景 5：拿到普通域账号，没有目标机器本地管理员权限，但是账号允许 RDP 登录

选型：RDP xfreerdp 横向。psexec/wmiexec 全部要求本地管理员，普通账号执行直接 Access Denied，RDP 作为跳板入口。

场景 6：域环境，有 Kerberos ccache 票据，不用 NTLM 哈希

所有 impacket 工具全部支持‑k 参数，使用 Kerberos 认证，避开 NTLM 相关告警。

❌不推荐优先使用 PsExec 的场景：护网红蓝对抗环境，EDR 普遍监控 7045 事件与 RemComSvc 二进制。

9. 实战高频报错排错合集（访问拒绝、UAC 远程过滤、端口防火墙）

报错 1：STATUS_ACCESS_DENIED / 0x80070005 Access Denied

原因分三类：

1. 账号不是目标主机本地管理员，绝大多数横向工具必须本地管理员；
2. 使用本地管理员账号登录，触发 UAC 远程令牌过滤，返回拒绝；域管理员账号不受限制；
   修复：目标机器添加注册表LocalAccountTokenFilterPolicy=1；或者更换域管理员账号。
3. DCOM/WMI 权限不足，DCOM 组件没有开放远程激活权限。

报错 2：wmiexec 连接超时，卡在连接阶段

原因：防火墙放行 TCP135，但是拦截 RPC 动态高位端口；WMI 必须同时允许 135+RPC 动态端口。
解决方案：切换 SMB 系列横向（smbexec/psexec），不走 DCOM 135。

报错 3：psexec 报错 ADMIN$ share not found

目标主机关闭 ADMIN$ 管理共享，psexec 无法运行；更换 smbexec，只依赖 IPC$。

报错 4：smbexec/wmiexec 执行成功，但是命令没有回显

1. 目标系统语言版本问题；
2. 网络代理 proxychains 不稳定，SMB 数据包丢包；
   解决：关闭代理直接访问；或者使用‑c参数执行单条命令测试连通。

报错 5：PtH 哈希传递返回 STATUS_LOGON_FAILURE

1. NTLM 哈希复制错误，格式LM:NTLM，LM 为空写冒号；
2. 账号禁用、账号锁定；
3. 目标开启 SMB 签名强制，impacket 部分版本 PtH 在强制 SMB 签名环境失败。

报错 6：proxychains 代理环境下横向工具大量报错

proxychains 对 SMB、RPC 复杂协议兼容性差，优先使用 beacon 的 rportfwd 端口转发代替全局 proxychains。

10. Pass‑the‑Hash 哈希传递在各个横向工具当中使用说明

PtH 哈希传递不需要明文密码，拿到 NTLM 哈希即可完成认证，是内网渗透非常关键技术。

• impacket 套件（psexec/smbexec/wmiexec/atexec/dcomexec）统一参数：‑hashes LM_HASH:NTLM_HASH，LM 为空就写‑hashes :xxxxxxxxxxxx；
• evil‑winrm 参数：‑H 后面填写NTLM哈希；
• 注意：PtH 使用 NTLM 认证；如果目标域控制器、服务器开启强制 SMB 签名，部分 PtH 攻击失效。

区分：PtH 哈希传递（NTLM） vs PTT 票据传递（Kerberos ccache/kirbi），‑k 参数走 Kerberos 认证，不需要哈希密码。

11. 红队 OPSEC 注意点：护网环境怎么降低横向行为告警

1. 尽量减少 PsExec 使用，7045 事件属于蓝队高危告警指标；优先 wmiexec、WinRM，规避 7045 日志；
2. smbexec 每一条命令都会新建销毁服务，不要循环疯狂执行大量命令，会产生密集 7045 日志，极易 SIEM 告警；
3. WMI 依赖 RPC 动态端口，防火墙环境优先预判端口连通性，不要反复重放造成大量连接日志；
4. 能用 Kerberos 票据（‑k）就尽量不用 NTLM 哈希传递，减少 NTLM 异常登录日志；
5. 横向不要批量全网扫描执行，针对明确目标执行；大量主机短时间出现 4624 登录，触发账号爆破告警；
6. RDP 横向尽量模拟真实运维登录时间，不要凌晨大量 RDP 登录；RDP 登录类型 10 日志会被重点监控。

12. 蓝队视角：各个横向技术对应的日志 ID、检测手段

关键安全事件日志汇总

1. 7045：新服务安装，检测 PsExec、SMBexec，最高优先级告警；只要非运维时段出现 7045，高度可疑入侵行为；
2. 4698：计划任务创建，检测 atexec、schtasks 远程任务；
3. 4624 登录事件：
   • Logon Type 3：网络登录，SMB/WMI/WinRM；
   • Logon Type10：RDP 远程桌面登录；
4. WinRM 日志：Microsoft‑Windows‑WinRM/Operational ID91、168；
5. WMI 日志：开启 WMI Activity 日志，记录 WMI 远程调用行为，默认未启用，建议安全加固开启该日志。

蓝队检测策略

1. SIEM 告警规则：监控非工作时间 7045 服务安装事件；监控短时间大量连续 7045/7036（smbexec 特征）；
2. 监控异常账号跨主机 4624 登录，域管理员账号登录普通业务工作站；
3. 审计 DCOM/WMI 远程激活权限；防火墙收紧 RPC 动态端口范围；
4. 开启 WMI 活动日志，收集 WMI 调用行为；
5. 监控异常 RDP 登录（Type10），告警异常源 IP、异常时间；
6. EDR 监控 wmiprvse.exe、svchost 异常派生 cmd/powershell 子进程。

13. Windows 内网横向加固防御方案

1. 最小权限原则：普通域账号不要赋予业务服务器本地管理员权限；域管理员账号禁止登录普通工作站；
2. 防火墙策略：非必要环境限制 135 RPC 端口、445SMB 端口；仅运维管理网段可以访问服务器管理端口；
3. 关闭不需要 WinRM 服务；如果业务需要 WinRM，限制来源 IP 白名单；
4. 关闭本地管理员远程 UAC 过滤的注册表LocalAccountTokenFilterPolicy，默认不要开启；
5. 域控制器开启强制 SMB 签名，抵御 PtH 哈希传递攻击；
6. 安全日志配置：开启 WMI‑Activity 日志，任务计划程序操作日志，完整留存事件日志；SIEM 集中收集所有服务器安全事件；
7. 收紧 DCOM 组件远程激活权限，非管理员禁止 DCOM 远程启动对象；
8. RDP 远程桌面：开启登录失败锁定，RDP 做 IP 白名单，严格管控 Remote Desktop Users 组成员，避免普通账号具备 RDP 登录权限。

14. 面试高频考点整理

1. PsExec 与 SMBexec 的核心区别？
   答：PsExec 上传 exe 二进制落地磁盘；SMBexec 不落地二进制，binpath 直接写 cmd 命令。两者都依赖 SCM 服务管理器，都会产生 7045 服务安装事件；PsExec 需要 ADMIN(共享，SMBexec仅需要IPC)。
2. WMIexec 原理，端口，优缺点？
   底层 DCOM/WMI，端口 TCP135 + RPC 动态高位端口；远程调用 Win32_Process 创建进程，进程 wmiprvse.exe；不产生 7045 服务日志，隐蔽性优于 SMB 系列；缺点防火墙很容易拦截 RPC 动态端口，shell 半交互式。
3. RDP 横向和其他横向最大差异是什么？
   PsExec/SMBexec/WMIexec/WinRM/DCOM 都要求目标本地管理员权限；RDP 只需要账号属于 Remote Desktop Users 远程桌面用户组，普通域用户也可以 RDP 登录机器，不需要本地管理员权限。
4. 什么是 UAC 远程令牌过滤 LocalAccountTokenFilterPolicy？
   Windows 默认本地管理员账号从网络远程登录，会被过滤降权，返回 Access Denied；域管理员不受影响；修改注册表 LocalAccountTokenFilterPolicy=1 关闭过滤，风险很高，不建议生产开启。
5. 护网红蓝对抗，横向移动 OPSEC 怎么选择工具？
   优先避开产生 7045 日志的 PsExec、SMBexec；网络允许条件优先 WMIexec、WinRM；减少大量重复执行命令；尽量使用 Kerberos 票据认证代替 NTLM 哈希传递。
6. atexec 原理？可以拿到交互式 shell 吗？
   atexec 远程创建一次性计划任务，只能单次执行一条命令，不能持续交互 shell，适合下发 payload。
7. 各个横向工具对应的关键告警日志 ID？
   PsExec/SMBexec 产生 7045；atexec 计划任务 4698；SMB/WMI/WinRM 登录 Type3（4624）；RDP 登录 Type10（4624）。

15. 全文总结

内网横向移动全部技术，本质都是滥用 Windows 原生管理协议 SMB、DCOM‑WMI、WinRM、RDP。

• SMB 家族（PsExec、SMBexec）：依赖 445 端口，操作服务管理器，7045 日志是致命告警，PsExec 存在二进制落地风险；
• WMIexec：基于 DCOM，噪音更低，但是受 RPC 动态端口防火墙限制；
• WinRM：PowerShell 远程，交互体验最好，但是需要目标预先开启该服务；
• RDP：特殊点，允许非管理员账号登录，实战中经常作为普通域账号跳板。

实战渗透不要死磕 psexec，拿到凭据之后，根据目标防火墙开放端口、EDR 防护等级灵活切换横向工具。

对于防守方：7045、4698 是入侵最重要告警特征，同时审计 DCOM/WMI、WinRM 权限，做好网络防火墙端口管控，最小权限账号管理，能够极大遏制内网横向移动攻击。

再次提醒，所有操作仅限授权演练，非授权内网渗透属于违法行为。

了解网络安全，首先要搞清楚下面这些前提

• 网络安全到底包含哪些技术？是否需要会编程？
• 网络安全行业有哪些职业方向？“我”该如何选择？
• 网络安全的职业发展和成长路线是什么？

如果你是准备学习网络安全（黑客）或者正在学习，下面这些你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】