企业官网建设流程全解析

1. 红队项目怎么定边界：先搞清楚咱们在测什么

很多朋友一听到“红队渗透测试”，第一反应就是“拿权限、翻内网、搞数据”，这个理解对了一半。真正落地的红队项目，第一步往往不是打点，而是坐下来把范围、规则、目标和底线聊清楚。这个环节要是偷懒，后面就算打得再漂亮，也可能白打，甚至惹出一堆麻烦。

先说说什么叫红队渗透测试。它不同于普通的漏洞扫描或者等保测评，红队更多是模拟真实攻击者的思路和手段，从外部或内部尝试突破企业的安全防线，最终验证的是“人、流程、设备”这套整体防御体系到底扛不扛得住打。普通渗透测试更像体检，红队更像一次“实战演习”——攻击方不设限太多，防守方也不知道具体哪天、从哪个方向被打。

我在做一个模拟项目X的红队评估时，客户给的目标范围是这样的：一个对外门户站点、一套办公OA系统、两个业务子系统，以及对应的内网网段。规则是：不能影响生产业务正常使用，不能触碰核心数据库的敏感数据，只能做验证性读取，不能拖库；允许社工，但禁止造成人员恐慌；整个项目周期两周，白天正常打，晚上不搞破坏性操作。

这套规则听起来简单，实操起来全是细节。比如“不能影响生产业务”，那SQL注入测试时就要格外小心，不能跑重型payload，不能对重要表做批量操作，一点偏差就可能把业务搞挂。再比如“只能验证性读取”，意味着你拿到数据库权限后，得克制住“想看看里面都有啥”的好奇心，点到为止。这个平衡把握不好，技术上再牛，客户也不会给你好脸色。

另外还要确认一件事：目标系统的所有权归属。很多中大型企业会有一堆外包系统、老旧系统、子子公司系统，域名和IP经常混在一起。红队测试前如果不把这些边界理清楚，很容易打到一个“不在范围内”的系统，轻则测试中止，重则涉及法律责任。我的习惯是：所有在测试中发现的、看似相关的资产，先记录下来，能确认的确认，不能确认的暂缓处理，绝不主动扩大战果去打“意外发现的系统”，这是红队的基本职业操守。

范围清楚了，接下来就是环境准备。这里有个关键点，很多人容易忽视：红队测试用的机器、IP、工具链，都需要提前规划好。用个人主力机器直接打，万一留下痕迹或者被防守方反制，麻烦不小。建议至少准备独立的虚拟机环境，攻击机和目标系统隔离，所有流量尽量走可控的代理链路。工具方面，我习惯提前把常用工具装好、配置好，比如端口扫描、Web探测、漏洞利用、内网穿透等各类工具集，并统一版本、统一配置，避免在实战中临时找工具耽误时间。

还有一点特别想提醒：别在没谈好“免责声明”和“授权书”的情况下就开打。正规的红队项目，授权文件、测试时间窗口、应急联系人、喊停机制是必须的。哪怕客户很急、关系很好，也要把流程走完。干这行，技术翻车可以复盘，授权缺失就是事故。这个底线，越资深的红队人员越会守。

2. 入口突破前的信息收集：决定你后续能走多远

边界和规则定了，正式进入技术环节。红队项目里最影响成败的，往往不是漏洞利用那一瞬间，而是前期信息收集的质量。信息收集做得越细，入口突破就越轻松；信息收集偷懒，后面每一步都像在摸黑走路。

2.1 从域名和IP开始摸家底

拿到目标范围后，第一步是域名和IP的资产梳理。对外门户有没有子域名、旁站、备用域名，这些都可能藏着意想不到的突破口。这个阶段主要做的事情包括：

• 子域名枚举：通过公开的证书透明度日志、DNS历史记录等方式，收集目标域名的所有子域名。经常能发现一些“隐藏”的测试环境、旧版系统、后台入口，这些系统的防护通常比主站弱得多。
• IP段归属确认：确认目标IP段里哪些是自建机房、哪些是云上资产，不同归属的防御水平差异很大，这会影响后续的打法选择。
• Web指纹识别：对探测到的Web系统做指纹识别，识别出使用的中间件、框架、CMS类型、版本号。指纹信息直接决定了漏洞利用的方向。

实际操作中，我常常会发现客户自己都不知道的“影子资产”。某次项目里，我在子域名枚举时发现一个老旧的管理后台，用的是早期版本的CMS，直接存在一个已知的远程代码执行漏洞。那个系统没有接入任何防护设备，相当于给攻击者留了一扇后门。这类资产往往就是红队能否快速突破的关键。

2.2 端口扫描和暴露面梳理

端口扫描是信息收集里最基础也最必要的一步。不是说把所有端口都扫一遍就完事，关键在于结合指纹识别，找到“有价值”的服务端口。

常规思路是：先快速全端口扫描，找出开放的端口清单，再做服务版本识别。重点关注的端口包括：

• 22/3389这类远程管理端口：一旦配合弱口令，基本就是直接进服务器的节奏。
• 80/443/8080等Web服务端口：这是打Web漏洞的主要目标。
• 3306/5432/6379等数据库或缓存服务端口：如果开放到公网，往往意味着配置存在风险。
• 各类中间件端口，比如一些企业级应用、消息队列、搜索引擎等。

这里给个实操建议：千万不要在扫描阶段就搞出太大动静。有些防守方会在边界设备上设置扫描检测规则，全速大规模扫描很容易触发告警。稳妥的做法是先做一轮低速、分散的探测，摸清目标的大致开放情况，再针对重点资产做精细扫描。红队强调的是隐蔽和精准，不是“大力出奇迹”。

另外，端口扫描的结果要和Web指纹、子域名信息结合起来看。比如你发现某个端口开着HTTPS服务，证书里可能带着域名信息，顺藤摸瓜又能发现一批关联资产。资产之间的联系越密，后续突破和横向的空间就越大。

2.3 入口系统的深度“摸点”

入口系统就是我们准备打的第一站。信息收集到这个层面，重点就从“有什么”转向“能怎么打”。我会关心这几个方向：

• 系统的登录态和认证方式：是自建账号体系还是接入了统一认证（如LDAP、OAuth），是否有注册功能，找回密码流程是否存在逻辑漏洞。
• 系统的功能模块和URL结构：大致浏览一下系统功能，从URL参数里找可能存在注入或越权的地方。很多系统的URL非常有规律，比如/user/info?id=123这样的结构，一眼就能看出可能存在的越权风险。
• 前端代码和接口文档泄露：不少系统会把接口文档、调试接口、内部注释留在前端代码里。浏览器开发者工具把JS文件翻一遍，经常能发现一些后端接口地址，这些接口的鉴权往往比页面更松。
• 历史漏洞情报：在漏洞平台和公开情报库里查看目标系统涉及的组件、框架有没有已公开的漏洞，直接对号入座。

有一次测试某企业的OA系统，登录页面上没什么异常，但在前端JS里发现了一个调试用的API接口，不需要鉴权就能读取用户列表和部分明文配置信息。顺着这个接口继续摸，又找到了一个上传点，最终通过文件上传拿下了服务器。入口突破有时候不靠多高深的技术，就看你愿不愿意把细节抠到位。

3. 突破防线拿到第一台机器：从漏洞到权限

信息收集到位后，进入关键的入口突破阶段。这个阶段的目标很明确：在目标网络里拿到第一台机器的控制权。第一台机器拿得越稳，后面内网横向的空间就越大。

3.1 弱口令和密码喷洒：先别急着上漏洞利用

很多人想到入口突破，第一反应是找漏洞打，但实战中弱口令仍然是成功率最高的入口。尤其是企业自建的系统、老旧的内部平台、运维后台，管理员安全意识稍微松懈，就特别容易用“Password123”“Admin@2023”这类口令。

密码喷洒和撞库不一样。撞库是用已知泄露的账号密码去试其他系统，而密码喷洒是拿一个常见的弱口令，去批量尝试大量账号，避免对单个账号频繁尝试触发锁定策略。这种方法在红队项目里非常实用。具体操作上，先用信息收集阶段拿到的有效账号名（可以从OA通讯录、公开信息、系统报错提示里捞到），组合一个常见的弱口令字典，以低频率、分布式的方式去试登录。

经验之谈：密码喷洒的时间间隔要控制得当，太频繁容易锁账号、触发风控，太慢又影响效率。我一般会先拿几个账号试水，观察目标系统的锁定策略和告警机制，再做调整。这个阶段如果能直接喷出有效账号，那入口突破就成功了一半，剩下的事情往往水到渠成。

3.2 Web漏洞利用：SQL注入、文件上传、反序列化

弱口令走不通或者没有暴露登录入口时，就要靠Web漏洞了。红队实战中最高频的几个Web漏洞方向，我列一下：

• 文件上传漏洞：很多系统的上传点只校验了文件后缀，没有校验文件内容和执行权限，导致可以上传WebShell获取服务器权限。漏洞利用的关键在于找到可写可执行的目录，以及绕过各种黑名单校验。
• SQL注入漏洞：存在参数拼接的查询点，尤其是一些搜索、排序、报表功能。通过报错注入、联合查询、布尔盲注等方式，可以获取数据库权限，进而读取敏感数据或者通过数据库写文件功能进一步拿系统权限。
• 反序列化漏洞：Java和PHP应用里最常见，通常藏在不显眼的接口调用里。反序列化利用链如果匹配到合适版本，可以直接远程执行命令。
• 未授权访问和越权漏洞：系统接口鉴权不严，直接访问后台、API接口，或者修改请求中的ID值读取他人数据。这类漏洞在信息收集阶段就值得关注。

实际利用时，必须养成随手记录的习惯：漏洞发现时间、利用方式、命令执行回显、当前权限，这些信息全都要存档。一方面便于写渗透报告，另一方面在权限丢失后能按图索骥重新拿回来。红队项目通常持续多天，第一天的入口可能在第二天被防守方堵上甚至踢掉，有记录才有补救的线索。我甚至见过有些红队人员在入口拿下后先把关键信息截图留档，再开始后续操作，这个习惯值得推广。

3.3 拿下入口之后：先稳一稳，别急着乱动

拿到第一台机器的权限后，很多人会兴奋地马上开始翻东西、横向摸服务器，这是大忌。正确做法是先稳住权限，做好三件事：

第一，确认当前权限的“质量”。是普通用户还是管理员？能不能通过提权拿到SYSTEM或者root？当前机器处于什么网络位置，能不能访问其他网段？先盘清楚家底再行动。

第二，做好权限持久化的准备。入口机器的权限如果丢失，后面整个项目都会陷入被动。可以建立一些隐蔽的持久化通道，但要克制使用，不要轻易在目标系统里留下太多明显痕迹。

第三，评估当前机器的“价值”。这台机器上有多少数据？能不能作为跳板访问核心系统？有没有域环境？这些信息决定了后续内网横向的优先级和方向。

在模拟项目X中，我通过OA系统的一个文件上传漏洞拿下了入口服务器权限，登录用户是个普通服务账号。先检查了本机管理员组和本地权限，用了一个内核提权漏洞把权限提到了SYSTEM。确认当前网段能访问内网核心交换机后，我没有急着横向移动，而是先在本地搜集了一些凭据信息，然后才开始规划内网的推进路径。

4. 内网信息收集与横向移动：拿下整个“域”才是关键

拿到第一台机器只是开始，红队项目的重头戏是内网横向。企业真正的核心数据和关键系统，几乎都在内网深处，边界上的服务器往往只是“敲门砖”。

4.1 内网信息收集：先弄清楚自己“在哪”

进入内网之后，最先要做的事情是定位。你以为自己进了一个很大的内网，其实可能只在一台孤立的服务器上，离核心资源十万八千里。内网信息收集的核心任务包括：

• 当前机器的网络配置：IP地址、所在网段、网关、DNS指向。DNS服务器往往是AD域环境的重要信号。
• 当前机器的用户和会话：本机有哪些用户、哪些用户登录过、有没有域用户会话。域管理员的会话如果能抓到，就有机会直接“偷”到域管的权限。
• 当前网段的存活主机和关键服务器：DHCP服务器、DNS服务器、文件服务器、打印服务器、数据库服务器。这些服务器通常有着更高的权限和更敏感的数据。
• 域环境探测：当前机器是否加了域，域名是什么，域控是哪台，当前用户是否有权限查询域信息。

比较实用的做法是：先通过本地命令收集当前机器的信息，再逐步扩展到整个网段的探测。越到内网深处，越要讲究“低噪音”，能用常规命令、系统自带功能完成的事情，就不要引入额外工具，减少被发现的风险。

4.2 凭据提取和横向移动三板斧

内网横向移动最核心的资产就是凭据。拿到合法凭据之后，横向移动从“猜密码”变成了“用钥匙开门”，难度完全不在一个级别。

我常用的凭据提取方式包括：

• 抓取本地用户的密码哈希：在Windows系统上通过特定技术从内存中提取明文密码或哈希，尤其要关注管理员账户和服务账户的凭据。
• 抓取浏览器保存的密码：很多内网员工习惯用浏览器记住各种系统密码，这些明文密码都是可以搜集的。
• 查找配置文件中的数据库连接信息：很多应用会把数据库账号密码写在配置文件里，拿到这些凭据就可以直连数据库。
• 提取AD域环境中的票据和凭据：在域环境中，有机会抓取到域用户甚至域管理员的认证信息，这是横向移动中最具价值的核心内容。

横向移动的执行思路，按优先级排列：

• 使用获取到的明文密码或哈希进行远程登录，从当前机器跳转到目标服务器。
• 通过计划任务或服务创建的方式，在目标机器上执行命令。
• 在内网共享中寻找可执行文件替换点，利用启动项和计划任务做自动执行。

这里面有一个经验值得特别注意：横向移动时尽量避免直接爆破RDP或者SSH，特别是3389端口，目标的内网感知系统对这种行为非常敏感。更隐蔽的方式是复用已有的管理通道，或者通过正当的管理协议端口（如WinRM、WMI）执行命令。用WMI或WinRM做横向移动，流量形态和正常管理操作非常接近，防守方很难察觉异样。

4.3 拿下域控：内网的终极目标

几乎所有红队项目里，域控（AD域控制器）都是内网横向的终极目标。拿下域控，相当于拿到了整个域内的“最高管理权限”，所有加入域的机器都可以被控制。这个阶段的核心工作包括：

• 定位域控服务器：通过DNS查询、当前机器的登录信息、内网扫描等方式找到域控的IP和主机名。
• 分析域内管理员组：查看哪些账号在域管理员组里，这些账号的登录行为往往是我们收集凭据的重点目标。
• 尝试利用域内系统自带的同步机制：在拿到域管权限后，可以通过卷影复制等方式导出域内的全部凭据信息，实现“一次拿全”。

在模拟项目X中，内网环境是一个单域结构。入口服务器可以访问内网网段后，我通过抓取本地凭据的方式，拿到了一个域用户的明文密码。随后利用域内信息查询，确定了域控的IP，再通过WinRM远程执行命令的方式，在域控上验证了当前凭据的权限。由于目标环境的域管理员在入口服务器上残留了会话信息，我利用会话信息完成了提权，最终获取了域控权限。整个过程几乎没有触发任何告警，比直接爆破高效得多。

这里必须再多说一句：拿下域控之后，自我保护更加重要。域控上的一举一动都会被安全团队重点监控，任何明显的异常行为都可能导致前功尽弃。这时候应该做的事是快速确认关键系统的访问路径和数据位置，而不是在域控上逗留太久。该收的收，该记录的记录，然后低调退场。

5. 常见问题与排查技巧实录

红队项目做多了，总会遇到各种“意料之外”。这里整理一些我实际踩过的坑和应对经验，就当是给同行的备忘录。

问题一：入口权限丢了怎么办？

入口权限被防守方发现并修复，是红队项目里最常见的事故。这时候不要慌，先回到信息收集记录里找备用入口——之前发现的旁站、测试系统、旧版本系统，都可以再试一次。更重要的是，平时做权限持久化时要留“后手”，比如通过合法管理通道保留的备用账号，或者埋在正常文件里的隐蔽连接通道，关键时刻都能救命。我一般会在入口阶段就考虑好“如果这里被发现，下一步去哪里”，提前规划路线，而不是事到临头再临时找路。

问题二：横向移动时命令执行不了或回显不完整？

内网机器的安全软件拦截、执行权限不足、网络策略限制，都可能导致横向移动失败。这时候先确认目标机器的操作系统版本和补丁情况，看有没有更适合的利用方式。如果命令被执行但回显不完整，可以尝试通过DNS查询或者HTTP请求外带数据的方式拿到执行结果，这会增加隐蔽性，但也要注意别把数据送错了地方、暴露自己。

问题三：密码喷洒触发了账号锁定，怎么办？

账号锁定是最常见的翻车现场，一旦触发，不仅当前目标打不进去，还会让防守方知道你“来过”。应对措施是：控制喷洒速度和频率，每个账号只试少数几个密码，间隔时间拉长。如果已经锁了账号，可以先放弃这条路径，换个系统继续，等锁定策略自动解除后再尝试。另外，优先选择那些没有对接AD域的自建系统做喷洒，这类系统的锁定策略往往更松散，成功率更高、风险更低。

问题四：权限拿到了，但网络不通，横向不动？

这种情况多半是目标网络做了VLAN隔离或防火墙策略。先确认当前机器的路由表，能访问哪些网段，哪些网段需要跳板。有时候需要“借道”中转服务器：先拿到中转服务器权限，再从那里跳转目标网段。网络拓扑图在红队项目里非常关键，一边横向一边画拓扑，往往能帮你找到最合理的推进路线。

问题五：内网有安全设备盯着，怎么降低存在感？

遇到内网有EDR、流量审计这类安全产品时，低调是第一原则。尽量使用系统自带管理协议（如PowerShell远程会话、WMI、WinRM）取代“上传扫描器+爆破”这种粗放方式，这些协议本身就容易融入正常管理流量中。还需要注意操作的时间分布，不要长时间高频率地发送异常请求，尽量把操作分散到不同的时间段和来源，降低聚集效应带来的告警概率。

6. 一些想说的实操体会

做红队渗透测试这几年，越深入越觉得这行考验的不只是技术，还有耐心、判断力和自控力。技术方案可以在一次次实战里磨炼，但有些意识和习惯，才是决定一个红队人员能走多远的核心。

第一，始终敬畏授权边界。红队测试的每一分钟都建立在合法授权的基础上，越过了这条线，不管技术水平多高，都是不可接受的。拿到权限后那一刻，最重要的不是“我还能看到什么”，而是“我的操作是否在授权范围内”。很多时候最难的，是在能肆无忌惮的时候管住自己的手。

第二，清晰完整的记录比技术本身更重要。一次项目做下来，过程记录、截图存档、时间线整理，这些枯燥的工作才是交付报告质量的根本。红队项目做多了，你就会发现，客户真正看重的，不只是你拿下了多少台机器，而是你能不能把攻击路径讲清楚，让对方知道自己该怎么补。好的攻击路径还原，比权限本身更有价值。

第三，对抗复盘是提升的最快路径。项目结束后，我会习惯性地复盘：哪些步骤走得太慢？哪些动作动静太大？哪些判断是“赌运气”而不是基于信息？红队测试本质上是攻击者和防守者的博弈，复盘的价值不在于“结果对错”，而在于找到自己判断链条中那些可以优化的环节。下次再遇到类似环境，就不需要重走弯路了。

最后再分享一个小技巧：测试过程中随手维护一张“资产-权限-口令”速查表，把已拿下的机器、有效的账号、可用的横向手段都记在一起。这张表在前几天的项目里可能只是备忘录，到了项目后期，它就是保证你全局不乱的“作战地图”。我自己不少次都是靠这张表，在权限丢失后快速恢复阵地、在混乱中重新定位目标的。干红队，脑子和习惯都比工具更重要。