导言
在网络安全这场无声的博弈中，最致命的威胁往往并非来自外部的猛烈攻击，而是源于内部防线的悄然瓦解。当攻击者突破边界，横向移动便成为其深入核心、窃取数据、部署勒索软件的关键一步。它如同潜伏在暗处的猎手，利用合法凭证与系统工具，在看似平静的内网中悄无声息地蔓延，将单点失守演变为全局沦陷。因此，能否及时发现并有效阻断横向移动，已成为衡量一个组织安全防御能力的关键标尺。这不仅是一场技术的较量，更是一场关于可见性、响应速度与纵深防御策略的全面考验。面对勒索病毒造成的数据危机，您可随时通过添加我们工程师的技术服务号（data338）与我们取得联系，我们将分享专业建议，并提供高效可靠的数据恢复服务。
全图侦察与权限提权
一、 全图侦察：绘制“数据藏宝图”
当攻击者通过弱口令RDP或Web漏洞（如ERP/OA漏洞）初次立足后，他们面对的是一个陌生的环境。此时，他们会立即启动侦察程序，目的是在最短时间内识别出“什么最值钱”以及“数据在哪里”。- 精准识别核心业务数据攻击者通常对中国企业的IT架构非常熟悉。他们不会浪费时间浏览系统文件，而是直接搜索特定的目录和文件后缀：
-
- 财务与ERP数据：他们会重点搜索用友（.ufdata, .lst）、金蝶（.ais, .bak）等财务软件的账套文件。这些文件一旦丢失，企业的财务核算将彻底瘫痪。
- 数据库文件：扫描服务器上的.mdf（SQL Server主数据文件）、.ldf（日志文件）和.ibd（MySQL数据文件）。
- 关键文档：利用搜索命令（如dir /s /b *.xlsx）查找包含“合同”、“报价”、“客户”、“密码”等关键词的文件。
- 网络拓扑测绘攻击者会使用系统自带命令（如net view、arp -a）或第三方工具（如Advanced IP Scanner）来扫描内网。
-
- 寻找域控：他们会尝试定位域控制器（AD），因为控制了域控就意味着控制了域内所有计算机的权限。
- 发现文件服务器：寻找存放共享文件的NAS或文件服务器，这些通常是数据最集中的地方。
二、 权限提权：窃取“万能钥匙”
仅仅拥有普通用户或某个特定服务的权限是不够的。为了执行删除备份、全网加密等高破坏性操作，攻击者必须获取最高权限（SYSTEM或Domain Admin）。- Mimikatz：内存中的“窃贼”这是攻击者最常用的工具。Windows系统为了用户体验，会将登录用户的凭据（密码或哈希值）缓存在内存（LSASS进程）中。
-
- 抓取凭证：攻击者运行Mimikatz，直接从内存中提取出管理员甚至域管理员的明文密码或NTLM哈希。
- 票据传递攻击：即使不知道密码，他们也可以窃取Kerberos票据（Golden Ticket），伪装成合法管理员。
- 利用系统漏洞提权如果无法抓取到密码，攻击者会利用操作系统未修补的本地提权漏洞（如PrintNightmare、JuicyPotato等）。
-
- 效果：通过这些漏洞，他们可以将一个普通的Web服务权限（如IIS用户）瞬间提升为系统最高权限（SYSTEM），从而获得对服务器的完全控制权。
三、 横向移动：从“单点突破”到“全网沦陷”
拿到管理员凭证后，攻击者不再局限于最初入侵的那台机器。他们会利用“通行密钥”在内网中自由穿梭。- 远程桌面与WMI攻击者使用获取到的管理员账号，通过RDP（远程桌面）或WMI（Windows管理规范）远程登录到内网的其他服务器。由于使用的是合法凭证，这些操作在防火墙和杀毒软件看来是“正常”的管理行为，极难被察觉。
- 组策略分发这是最高效的传播方式。一旦攻击者控制了域控，他们可以修改组策略（GPO）。
-
- 批量部署：通过组策略，攻击者可以将勒索病毒或后门程序推送到域内成百上千台计算机上。
- 统一执行：设定在特定时间（如周五晚上）统一触发，瞬间导致整个企业的IT系统瘫痪。
四、 为什么这一步至关重要？
“全图侦察与权限提权”直接决定了勒索攻击的破坏上限。- 如果没有这一步：病毒可能只加密了一台非核心服务器的数据，企业可以通过简单的隔离和恢复来止损。
- 完成了这一步：攻击者已经掌握了企业的“命门”。他们不仅加密了所有核心数据（财务、生产、客户），还删除了所有服务器的本地备份和卷影副本。此时，企业面临的不再是“部分数据丢失”，而是“整体业务停摆”的灭顶之灾。
如果您的系统被勒索病毒感染导致数据无法访问，您可随时添加我们工程师的技术服务号（data338），我们将安排专业技术团队为您诊断问题并提供针对性解决方案。
怎么发现并阻止横向移动？
发现并阻止横向移动是防御勒索软件（如.zasd、.rox）最关键的一环。一旦攻击者开始横向移动，意味着他们已经突破了边界，正在内网中寻找核心资产（如域控、数据库、备份服务器）。
要打赢这场“内网保卫战”，你需要建立一套“可见、可控、可阻断”的防御体系。以下是结合最新安全实践的详细指南：
本站文章均为91数据恢复专业数据团队根据公司业务案例，数据恢复工作中整理发表，部分内容摘自权威资料，书籍，或网络原创文章，如有版权纠纷或者违规问题，请即刻联系我们删除，我们欢迎您分享，引用和转载，我们谢绝直接复制和抄袭，感谢！
联络方式：
客服热线：400-1050-918
技术顾问：133-188-44580 166-6622-5144
邮箱：91huifu@91huifu.com
微信公众号 
售前工程师1 
售前工程师2 
粤公网安备 44030502006563号