最近我把一套 Windows 7 工作站 Windows Server 2008 域环境的实验靶场重新完整跑了一遍从虚拟机搭建、域用户初始化到信息收集、权限提升、横向移动最后拿下域控权限整个流程做下来还是有不少值得写下来的细节。这套环境现在看起来“老旧”但恰恰是因为它足够经典很多单位至今还在跑着类似的遗留系统做渗透测试时遇到这类组合的概率并不低。如果你刚接触内网渗透或者正在准备一次规范授权的实战练习这篇文章可以帮你把从 0 到 1 的路径完整捋顺。之所以强调“教学专用”是因为整个实验必须在你自己搭的虚拟化环境里进行系统镜像也要用正规渠道获取。我在下面写的所有操作默认你已经拿到了明确的测试授权并且只在隔离网络中执行。文章会尽量把每一步背后的原理和判断逻辑讲清楚而不是只丢几条命令这样你换到别的内网场景时也能举一反三。1. 为什么偏偏是 Win7 2008经典域环境的实验价值1.1 老系统不等于落后现实中的遗留资产场景很多人会觉得 2025 年了还研究 Windows 7 和 Server 2008 是不是有点过时但真实情况恰恰相反。医疗系统、学校机房、制造业产线、部分政企单位以及大量对接老旧业务系统的内部网络仍然保留着一批 2008 甚至更早的服务器终端也大量混用 Win7、Win10。对渗透测试从业者来说这种组合不是“考古”而是实实在在的经典业务场景。从技术角度看Windows 7 和 Server 2008 R2 是同一个内核代际NT 6.1它们之间的协议交互、认证机制、组策略模型非常一致比混入新版系统更容易讲清楚域环境的底层逻辑。比如 Kerberos 认证过程、NetBIOS 名称解析、SMB 服务的依赖关系在新系统上虽然有所改动但核心思路一脉相承。在这套老环境里把原理吃透再去看新系统的加固和检测手段会轻松很多。1.2 硬件资源要求与虚拟化选型搭建这套实验环境不需要很强的物理机。我用的是 VMware Workstation你在 VirtualBox 里也能跑但注意 VirtualBox 对老系统的 Guest Additions 支持略麻烦VMware 整体更顺手。建议三台虚拟机虚拟机角色操作系统内存磁盘网络模式域控制器Windows Server 2008 R21.5-2GB40GB仅主机模式工作站Windows 7 SP11.5-2GB30GB仅主机模式攻击机Kali Linux滚动版2GB40GB仅主机模式网络建议全部放在“仅主机模式”确保和物理网络隔离。如果你用的是 VMware可以自定义一个 VMnet比如192.168.10.0/24网段三台机器都挂进去。千万不要把这个实验网桥接到公司局域网或者带公网的网络里一是合规问题二是老系统一旦真正暴露出去很容易被自动化扫描盯上。安装系统时有个小细节Windows Server 2008 R2 默认不带 USB 3.0 驱动如果你用较新的物理机或者 VMware 默认虚拟 USB 控制器安装界面可能认不到安装盘。解决方法是把 VMware 的虚拟 USB 控制器改成 USB 2.0或者直接挂 ISO 镜像安装不要依赖 U 盘启动。这类看起来不起眼的小坑往往最耽误时间。2. 实验环境搭建从模板机到域控的全流程2.1 域控制器的角色配置与关键参数先装 Server 2008 R2安装完成后设置静态 IP。我的规划是域控192.168.10.10计算机名DC01工作站192.168.10.20计算机名WIN7-PC攻击机192.168.10.30计算机名KALI域控的 DNS 一定要指向自己也就是192.168.10.10因为域环境极度依赖 DNS 解析域控、定位 Kerberos 服务等。很多人初次搭域环境失败十有八九是 DNS 没配好或者网卡里残留了其他 DNS 地址导致成员机找不到域控。接下来通过服务器管理器添加 Active Directory 域服务角色然后运行dcpromo提升为域控。这里我一般直接新建一个域根比如lab.local功能级别可以直接选 2008 R2不勾选 DNS Server 的话系统会提示建议勾选后续域内名称解析会省很多事。需要注意dcpromo执行完成后系统会自动重启重启后确认三项内容第一whoami是否能识别当前域身份第二DNS 正向查找区域里是否自动生成了lab.local的 SOA 和 NS 记录第三事件查看器里没有关键报错。很多教程只说“运行 dcpromo 即可”实际排错时你会发现 DNS 区域缺失是头号问题。2.2 工作站的域加入与用户铺底Win7 工作站安装后设置静态 IPDNS 指向192.168.10.10。然后右键计算机属性—更改设置—更改计算机名把“隶属于”改成“域”并填入lab.local系统会弹窗要求输入一个有权限加入域的账户这里用域管理员临时认证即可。加入域成功后会提示重启。重启后登录界面会多一个“其他用户”入口说明这台机器已经能看到域了。做完最基本的域搭建我习惯在域控上创建若干实验用户模拟真实内网的用户结构admin.chen域管理员组的成员模拟运维账号user.zhang普通域用户工作站本地管理员组额外加入user.li普通域用户无本地管理员权限创建用户时记得设置符合实验需要的密码策略。我故意把user.zhang的密码设成弱口令模拟现实里运维图省事留下的薄弱点同时也为了后面验证弱口令在域环境里的渗透价值。这一步还要注意组策略的影响。默认 Domain Users 组可以登录域内所有工作站这就引出一个真实场景里常见的问题普通用户能不能登录域控默认策略里 Domain Users 是有权从网络访问域控、甚至可以本地登录的生产环境如果要加固第一步就是改掉这个默认策略但实验环境先保留原状方便我们复现真实世界的常见配置缺陷。3. 渗透准备攻击机配置与信息收集管线3.1 Kali 攻击机的基础配置与网卡模式Kali 安装后首先要确认它能和域控、工作站互通可以简单 ping 一下192.168.10.10和192.168.10.20。如果不同网段检查 VMnet 的 DHCP 设置和网卡 IP。攻击机的网卡我建议用“仅主机模式”而不是 NAT这样流量不会跑到物理机的真实网关里。Kali 系统更新源可以顺手换成校内源或者默认源但注意信息收集阶段需要的工具一般都在预装包里不需要额外安装什么大东西。后面的测试主要依靠 Nmap、Metasploit、enum4linux、smbclient、impacket 套件这些经典工具。如果是自己手工搭建的实验网避免用 Kali 自带的 DHCP 客户端自动获取 IP因为你并不知道网关和 DHCP 范围具体是什么手动设置静态 IP 会更明确。3.2 存活探测与端口枚举的节奏控制信息收集是内网渗透里最容易被轻视的环节我见过不少人上来就跑全端口扫描扫半天发现主机都不在线纯属浪费生命。正确节奏是三步走。第一步存活发现用 ARP 扫描或者 ICMP 扫描确认网段里有哪些机器在线。例如nmap -sn 192.168.10.0/24这一步能很快列出 IP、MAC 地址和厂商信息一般一眼就能认出哪台是虚拟机的 Windows。第二步端口扫描针对存活 IP 做常见端口扫描。对 Windows 内网机器我通常会重点关注 135、139、445、3389、53、389、80、443 这些端口。可以在命令里把常规 TOP 1000 端口全部跑一遍但输出结果要学会按服务类型归类nmap -sS -sV -O -p 1-1024 192.168.10.10 192.168.10.20-sS是同步扫描隐蔽性较好-sV是为了识别服务版本-O是识别操作系统指纹。不过注意-O对虚拟机识别不一定准确有时候会把 2008 认成 Vista 或者 Win7这都是正常情况。第三步针对找到的关键端口做细节探测。比如看到 445 开放就可以先确认 SMB 服务的信息nmap --script smb-os-discovery -p 445 192.168.10.10这个脚本能拿到操作系统的具体版本和域信息在后续打点阶段非常有用。信息收集阶段最核心的思路是“不要急着打先把目标的服务关系摸清楚”。域控开放的端口通常包含 389LDAP、53DNS、88Kerberos而普通工作站一般只开放 135/139/445/3389。如果一台机器同时开放了 389 和 88基本可以确定就是域控接下来所有攻击重心都会往它身上靠。4. 打点与漏洞利用从普通工作站切入域内4.1 传统 SMB 服务的脆弱面分析Windows 7 和 Server 2008 最出名的“老毛病”就是 SMB 服务的历史漏洞尤其是 MS17-010 这个经典的“永恒之蓝”。在真实渗透测试里只要内网里还有没打补丁的 Win7 或者 2008这类漏洞就非常可能成为最直接的突破口。不过我不建议大家把这套实验环境里的 SMB 漏洞当成唯一手段因为实战里你不一定总能碰到没有修复的系统。更值得训练的是判断逻辑看到 445 端口开放后先做版本探测如果确认是老系统再检查是否存在可利用的 SMB 漏洞。这里的“检查”不是直接拿攻击模块往目标上梭哈而是先跑一个 Nmap 脚本nmap --script smb-vuln-ms17-010 -p 445 192.168.10.20脚本会返回是否存在该漏洞的状态。如果目标未打补丁漏洞利用的权限通常能直接拿到 SYSTEM 权限如果打过了补丁就要赶紧转换思路去看弱口令、未授权共享这些更“务实”的路径。这里有一个很常见的误区拿到 SYSTEM 就觉得无敌了。实际域环境里SYSTEM 权限只是工作站上的最高权限不代表域内横行你需要先把注意力收回到“这台机器和域控是什么关系”。4.2 服务漏洞利用后的权限落地与立足点确认利用漏洞拿权限之后第一步不是急着往域控冲而是先把当前会话信息完整确认一遍。比如在 Meterpreter 会话里看当前用户上下文、所在工作组/域、网络接口、路由表顺便确认过防软件状态。很多 Windows 7 实验机上不一定有杀毒但真实内网里可不一定所以你要训练自己养成“先进来先观察”的习惯。对实验环境来说用 Metasploit 建立会话比较直观能省去不少 Seminal 控制需求。建立会话后建议先获取一个稳定的控制端把当前主机的架构和权限等级记录下来。如果会话只是普通权限可以通过内核漏洞或服务漏洞提权到 SYSTEM这在 Win7 上可选择的路径很多。拿到 SYSTEM 权限后我通常会顺手做一件事抓取本地用户 hash 并解密。Windows 系统会将本地 SAM 数据库里的密码散列存储拿到散列表之后可以离线破解这样后续即使会话丢了也能用凭据重新登回来。这个习惯在真实环境里非常重要因为渗透测试中“会话掉线”几乎不可避免能多留一条后路就别嫌麻烦。不过要反复提醒自己这一步拿到的是“工作站”的凭据不是域控的。5. 纵向提权与横向移动从工作站走向域控5.1 本机提权的常见路径与判定逻辑如果漏洞利用拿到的会话权限不够就需要先在本机做提权。我处理这类问题时有一个固定的排查顺序当前用户是否在本地管理员组如果是直接用管理员令牌执行后续命令。系统是否存在已公开的本地提权漏洞比如 Win7/2008 上经典的 MS16-032 等但具体能不能用取决于补丁情况。是否存在不安全的服务路径或服务权限如果某个以 SYSTEM 运行的服务可被普通用户修改那就直接改它的执行路径来完成提权。计划任务、注册表自动登录、缓存的凭据是否泄露了管理员密码对新手来说最容易理解的入口就是“服务配置错误”。你可以去看系统里所有服务的启动路径和运行账户如果发现某个服务以 SYSTEM 权限运行但它的可执行目录是普通用户可以写入的那就是一个非常标准的提权链路。这里给你一个判断方法在所有服务里筛选出可执行文件位于非系统路径比如C:\Users\、C:\Temp\的服务。这类服务基本上是“裸奔”的因为服务以 SYSTEM 权限启动替换它的可执行文件就等于直接获得 SYSTEM 权限。这条路径比内核漏洞稳定很多也是我在真实测试里更依赖的路径。5.2 凭据获取与域内横向移动的手段工作站拿到 SYSTEM 权限后下一步就是尝试获取域内凭据。最经典的方法是读取 LSASS 进程内存从中解析出缓存的登录凭据。这个操作在实际内网测试中非常常见因为域用户在登录工作站时会缓存一部分认证信息抓下来之后直接就能复用。可以先用whoami确认当前权限然后在抓取凭据之前先看目标主机上是否有域用户登录过。最简单的方式是切换系统用户时看登录界面是否出现过其他域账户或者直接用命令列举当前回话中的用户。抓取凭据和横向移动的工具手段很多我不建议一条路走到黑。通常我会按照“最小依赖”原则来选择方法能用系统自带命令解决就不上工具非上工具不可时才用体积小、功能单一的。Windows 环境自带的一些远程管理机制本身就非常适合横向移动比如通过 Windows 服务创建一个远程服务来执行指令这种方式既能拿到 SYSTEM 权限又不容易被当成恶意行为直接拦截。横向移动的策略是“能少打一台就少打一台”。拿到一组凭据后先不要急着扫全网先针对域控和几个关键服务器试一下成功就立即收手因为每一次登录尝试都会产生 4624/4625 登录日志打得太猛反而容易打草惊蛇。在我自己搭的这套环境里一般用普通域用户 本地管理员账户分别去探测域控的开放端口和管理共享确认当前凭据是否有足够权限。6. 接管域控验证边界突破的最终目标6.1 域控提权的思路整理域控是整个域环境的核心拿到域控权限意味着你控制了所有域用户和域内机器的认证体系。实验环境里我习惯的思路是这样用已获取的域管理员凭据直接登录域控这也是最常见的“管理员把自己锁在门外”之后的反面教材。如果只有普通域用户凭据就要检查域控上是否存在可利用的服务漏洞或错误配置。域上如果存在 GPO 写权限异常也能通过修改组策略在域内机器上执行指令但这需要更高权限的上下文。不管前面走了多少步最终你总要面对“如何证明已经接管域控”这个问题。我的习惯是在域控上执行一条返回域管理员组的命令比如net group Domain Admins /domain这条命令能直接看到当前域里有哪些域管理员账户如果输出里包含了你在工作站上获得到的那个账户那就说明至少有一条可行的提权路径是通的。需要注意的是域控通常开启 Windows 防火墙3389 远程桌面不一定直接开放。测试时即便有管理员权限也要先确认远程管理通道是否畅通。你可以用本机的 Windows 远程管理组件WinRM来进行域控的远程管理这种通道在 Windows 2008 里默认是开启的而且比远程桌面更轻量。6.2 痕迹清理与事后复盘教学实验可以不改痕迹但如果你的目的是练一套完整的渗透测试流程那就必须在接管域控后做一次痕迹清理。我理解很多纯学习向的人不太在意这一环节但作为专业测试把日志处理干净和把测试过程记录完整是同样重要的工作能力。我在复盘中一般记录这几个关键节点什么时间点用什么方式进入了哪台机器、获取到了哪个层级的权限、拿到的关键凭据是什么、横向移动的路径依赖了哪些条件。整理完再回头看你会发现整个链路其实是由几个脆弱点串联起来的单独看每个点都不算致命组合起来才形成了完整攻击链。这也是我反复强调实验环境要搭地干净的原因。如果你不清楚初始状态是什么最后复盘时就会分不清哪些告警是搭建环境时产生的哪些是攻击行为产生的这种混淆会严重影响你对测试结果的分析。7. 合规底线与防御视角别只学攻击不看防守7.1 授权范围与法律红线不管这篇文章里的技术看起来多“炫”有一条底线必须放在最前面未经授权对任何非自有系统的渗透测试都是违法行为哪怕只是做一次端口扫描也一样。在国内相关法规里这一块的红线非常明确。我说的“自有系统”包括你付费购买了云服务器、来自己维护的物理机也包括你担任安全测试岗位时获得了书面授权并约定了测试范围的系统。如果你在真实单位里做检测请务必确认授权文书上写明了测试 IP 段、测试时间、允许使用的手段范围。整个测试过程中也要随时记录操作日志方便出问题时自证清白。对于初学者最稳妥的学习路径就是在自己的虚拟机里反复练习搭配一些公开的靶机平台或者本地搭建的靶场不碰任何线上系统。把技术练好未来进了正规团队再做合规的攻防演练。7.2 针对这套环境的检测与加固建议从防守方视角看这套环境里的攻击链能走通其实主要靠三个脆弱点未修复的 SMB 漏洞、弱口令、过度信任的内网网络。想加固这套环境优先做以下几步关闭不需要的 SMB 服务端口尤其不要在没有审计的情况下把工作站和域控的 445 端口直接暴露在内网里。强制所有域用户密码复杂度禁止密码永不过期定期做密码喷洒自检。域控和管理员账号开启 Kerberos 策略审计及时发现异常登录行为。工作站本地管理员密码不能全网统一否则一台被突破等于全网被突破。部署针对日志和流量接入层的监控告警重点关注同一账号短时间内多次登录失败的事件。平时做安全测试时我拿到一个系统会先看它的补丁更新和账户策略因为这两个直接决定攻击成本。如果对方把密码策略做强、把不必要服务关掉很多经典的攻击路径都会自然失效。这也是为什么老系统虽然漏洞多但只要基础加固做得好实际被突破的难度会大幅上升。这套“Win7 2008”的实验环境对学习内网渗透的价值就在于它足够简单简单到你能看清每一个环节是如何一环扣一环的。以后你再遇到一个大型域环境脑子里浮现的应该是今天这套小模型的放大版思路完全一致只是规模更大、防御更多。我个人经验是把这套环境吃透后再去做新系统的测试你会发现自己关注的重点从“怎么打进去”慢慢变成了“为什么能打进去”这才是从脚本小子到安全从业者之间最关键的一步跨越。