| 一、信息收集 | 1. 内网存活主机探测（ARP/ICMP 扫描） | 利用 ARP 广播或 ICMP 请求识别活跃主机，无扫描特征或特征弱 | arp-scan、fping、nmap -sn | 1. 部署内网防火墙，限制非授权主机的 ARP 扫描请求2. 开启主机防火墙，拦截异常 ICMP 包3. 禁用不必要的网络协议（如 NetBIOS） |
| 2. 域环境信息枚举（用户 / 组 / DC 查询） | 利用 Windows 域协议（LDAP/SMB）查询域内敏感信息，构建攻击路径 | BloodHound、PowerView、net 命令 | 1. 限制普通用户读取域内用户列表、组信息的权限2. 开启 LDAP 访问审计，监控异常查询行为3. 定期使用 BloodHound 自查域权限漏洞 |
| 3. 主机信息探测（补丁 / 进程 / 服务） | 读取系统补丁列表、进程、服务配置，寻找未打补丁漏洞或弱权限服务 | WinPEAS、LinPEAS、systeminfo | 1. 建立补丁管理机制，定期更新系统和应用补丁2. 最小化服务权限，禁止普通用户读取敏感进程信息3. 部署 EDR 工具，监控异常信息收集行为 |
| 二、横向移动 | 1. 哈希传递攻击（PTH） | 利用 Windows NTLM 认证漏洞，直接使用哈希代替明文密码登录其他主机 | mimikatz、Impacket（psexec.py） | 1. 禁用 NTLM 认证，强制使用 Kerberos 认证2. 开启远程主机的 SMB 签名，防止哈希窃取3. 限制管理员账户在普通主机登录，避免哈希泄露 |
| 2. 票据传递攻击（PTT） | 伪造 Kerberos 票据（TGT/TGS），模拟域用户身份访问域内服务 | mimikatz、Rubeus | 1. 定期更换 KRBTGT 账户密码，防止黄金票据伪造2. 开启 Kerberos 票据审计，监控异常票据请求3. 限制票据的有效时间，缩短攻击窗口期 |
| 3. 远程服务利用（WMI/WinRM/SSH） | 利用开放的远程管理服务，执行命令或获取 shell | evil-winrm、wmiexec.py、SSH 暴力破解工具 | 1. 禁用不必要的远程服务（如 WMI、WinRM），仅在必要主机开启2. 为 SSH/WinRM 设置强密码，禁止密码复用3. 限制远程服务的访问 IP，仅允许管理网段连接 |
| 4. 漏洞利用（永恒之蓝 / PrintNightmare） | 利用未打补丁的系统漏洞，远程执行恶意代码获取权限 | Metasploit、searchsploit | 1. 紧急修复高危漏洞（如 MS17-010、CVE-2021-34527）2. 部署网络入侵检测系统（IDS），拦截漏洞利用流量3. 对关键服务（如 SMB、打印服务）进行流量监控 |
| 三、权限提升 | 1. Windows 系统漏洞提权 | 利用内核或服务漏洞，突破用户权限限制，提升至 SYSTEM 权限 | wesng、PrivescCheck | 1. 定期扫描系统漏洞，优先修复权限提升类漏洞2. 限制普通用户的进程创建权限，禁止加载恶意驱动3. 部署应用白名单，仅允许可信程序运行 |
| 2. Linux SUID/sudo 提权 | 利用 SUID 文件或 sudo 配置漏洞，获取 root 权限 | LinPEAS、find 命令 | 1. 定期清理不必要的 SUID/SGID 文件（chmod u-s 文件名）2. 严格配置 sudoers 文件，限制普通用户的 sudo 权限3. 禁止 root 账户直接登录 SSH，使用普通用户 + sudo 提权 |
| 3. 服务配置错误提权 | 修改权限过高的服务二进制路径，重启服务执行恶意代码 | sc 命令、注册表编辑器 | 1. 检查服务权限配置，禁止普通用户修改服务路径2. 对系统关键服务（如 RPC、Windows Update）进行权限加固3. 开启服务变更审计，监控服务配置的异常修改 |
| 四、持久化控制 | 1. 隐藏账户 / 启动项持久化 | 创建隐藏管理员账户或修改注册表启动项，实现开机自启 | net 命令、注册表编辑器 | 1. 定期审计本地账户和域账户，排查隐藏账户（如带 $ 后缀的账户）2. 监控注册表启动项的变更，禁止非授权程序添加自启项3. 启用账户登录审计，记录所有账户的登录行为 |
| 2. 黄金 / 白银票据持久化 | 伪造 Kerberos 票据，长期控制域内资源，无需重复攻击 | mimikatz | 1. 定期轮换域管理员和 KRBTGT 账户密码2. 部署 Kerberos 票据监控工具，检测伪造票据的使用3. 限制域管理员的权限范围，避免权限滥用 |
| 3. SSH 密钥 / 计划任务持久化 | 植入 SSH 公钥或添加定时任务，实现无密码登录或定期执行后门 | ssh-keygen、crontab | 1. 定期检查~/.ssh/authorized_keys文件，删除未知公钥2. 监控 crontab 和系统计划任务的变更3. 对 SSH 登录进行 IP 限制和行为审计 |
| 五、数据窃取 & 痕迹清理 | 1. 敏感数据窃取（密码 / 文件） | 提取内存中的密码哈希、下载 NTDS.dit 等敏感文件 | mimikatz、LaZagne | 1. 启用内存保护机制，防止进程内存被读取2. 对敏感文件（如 NTDS.dit）进行加密存储3. 部署数据防泄漏（DLP）系统，监控敏感数据的传输 |
| 2. 日志清理 | 删除系统日志、安全日志，掩盖攻击痕迹 | wevtutil、history 命令 | 1. 将系统日志同步到远程日志服务器，防止本地删除2. 开启日志访问审计，禁止普通用户修改或删除日志3. 定期检查日志完整性，排查日志缺失或篡改情况 |
