内网渗透测试：攻击真正要害的系统

拿下本地管理员后，下一站是 Domain Admin。本篇覆盖破解 LM 哈希、复用的服务账户口令，以及捕获活跃 Domain Admin 会话等手法。

配置不当的 SQL Server 链接服务器（Linked Servers）可被攻击者用来在数据库链接网络中穿行、越权读取数据乃至部署 shell。文章介绍通过 sysservers 表、sp_linkedservers 与 SSMS 枚举链接，以及评估链接可达性与权限时的关键设置。

定位运行 Domain Admin 进程主机的 5 种方法：先查本地，再向域控制器查询活动用户会话、扫描远程系统任务、枚举 NetBIOS 信息、用 PSExec 对远程系统喷洒令牌——这是迁移到 DA 进程窃取凭据的前提。

NetSPI 的 Scott Sutherland 介绍如何安全地审计 Active Directory 弱口令：先识别域，再枚举域控制器、用户和密码策略，最后执行字典攻击。文中演示 ipconfig、nbtstat、Nmap 等工具的具体用法，并指出约九成环境至少存在一个弱口令或默认口令账户。

Scott Sutherland 分享了在 SQL Server 中快速定位敏感数据的脚本：TSQL 脚本 FindDataByKeyword.sql 无需 SYSADMIN 权限，按关键字搜索各数据库中匹配的列并抽样数据；另提供 Metasploit 辅助模块 mssql_findandsampledata.rb 作为封装，适合 PCI 渗透测试取证。

SQL Server Express 默认将连接权限授予 BUILTIN\Users 组，而 NT AUTHORITY\Authenticated Users 又包含全部域用户和计算机账户，导致域内任何用户都能连接开启了 TCP 监听的默认实例，进而可能接触敏感数据并横向扩展。作者给出攻击演示与修复建议。