1. 引言护网行动与红队定位护网行动HW行动是国家级的网络安全实战攻防演练旨在通过模拟真实攻击检验防守单位的防护能力。红队作为攻击方需要在规定时间内尽可能突破目标防线、获取关键权限并完成指定任务目标。本文从红队视角出发系统梳理护网行动从前期准备到最终撤离的完整流程帮助安全从业者理解红队作战的标准化打法与关键要点。需要特别强调的是本文所有内容仅用于合法的安全测试、攻防演练与教学研究场景。任何未经授权的攻击行为均属违法请务必在获得明确授权的前提下开展测试工作。2. 护网行动整体流程概览护网行动红队工作通常可分为五个核心阶段每个阶段都有明确的目标、任务与交付物。整体流程如下前期准备阶段明确授权范围、组建团队、制定作战计划、准备工具与基础设施。信息收集阶段对目标进行资产测绘、指纹识别、暴露面梳理建立攻击面地图。漏洞探测与利用阶段针对收集到的资产进行漏洞扫描、验证与利用尝试获取初始立足点。权限维持与横向移动阶段巩固已获取的权限在内网中横向移动向核心目标推进。收尾与撤离阶段完成目标后清理痕迹、恢复系统、输出报告并安全撤离。下面逐一展开每个阶段的具体操作要点。3. 前期准备阶段前期准备是护网行动成功的基础。这一阶段的核心任务是明确边界、组建团队并完成资源准备避免在实战中因授权不清或工具缺失而陷入被动。3.1 明确授权与规则红队行动开始前必须与组织方确认以下关键信息授权范围明确允许测试的 IP 段、域名、系统与业务范围避免触碰禁区。时间窗口确认攻防演练的起止时间以及每日允许攻击的时间段。禁止事项了解哪些行为被明确禁止如不得破坏生产数据、不得影响业务可用性等。应急联络机制确认出现意外情况时的上报与叫停流程。3.2 团队组建与分工一个完整的红队通常包含以下角色队长统筹全局负责决策、资源调配与对外沟通。外网攻击组负责互联网侧资产的渗透与突破。内网渗透组负责进入内网后的横向移动与核心目标突破。情报与支持组负责信息收集、工具开发、漏洞情报跟踪与后勤保障。3.3 工具与基础设施准备红队需要提前准备并验证以下基础设施C2 服务器部署命令与控制服务器用于管理已控主机需做好隐蔽与防溯源。VPN 与跳板机确保攻击源 IP 的隐蔽性与可用性。漏洞利用工具集整理并验证常用漏洞利用工具、WebShell、免杀木马等。字典与指纹库准备常用弱口令字典、路径字典以及 Web 指纹识别库。4. 信息收集阶段信息收集决定了后续攻击的精准度与成功率。护网时间有限信息收集必须高效、全面且有优先级。4.1 资产测绘资产测绘的目标是尽可能完整地梳理目标单位的互联网暴露面包括子域名收集通过证书透明度日志、DNS 爆破、搜索引擎、第三方情报平台等途径收集子域名。IP 段梳理通过 ASN 归属、ICP 备案信息等确定目标单位的 IP 段。端口与服务识别对目标 IP 进行全端口扫描识别开放的服务与版本信息。Web 资产指纹识别 Web 应用的中间件、框架、CMS 类型与版本为后续漏洞探测提供方向。4.2 暴露面分析在资产测绘的基础上需要进一步分析哪些资产最有可能成为突破口互联网暴露的高危服务如未授权的 Redis、MongoDB、Elasticsearch 等。老旧系统与边缘设备VPN 设备、防火墙、路由器等边界设备往往是薄弱环节。第三方系统OA、邮件系统、HR 系统等第三方部署的业务系统常存在已知漏洞。供应链入口目标单位使用的第三方组件、开源框架是否存在已知漏洞。4.3 敏感信息收集通过公开渠道收集目标单位的敏感信息往往能带来意外收获GitHub 泄露搜索目标单位在 GitHub 上泄露的代码、配置文件、密钥等。网盘与文库搜索目标单位泄露的文档、内部资料。招聘信息从招聘信息中推断目标单位的技术栈与内部系统。员工信息收集员工姓名、邮箱、手机号等为后续钓鱼与弱口令攻击做准备。5. 漏洞探测与利用阶段在完成信息收集后红队进入漏洞探测与利用阶段。这一阶段的目标是找到并利用漏洞获取目标系统的初始立足点。5.1 漏洞扫描与验证漏洞扫描是发现问题的第一步但扫描结果需要人工验证避免误报Web 漏洞扫描使用自动化工具扫描 SQL 注入、XSS、文件上传、命令执行等常见 Web 漏洞。主机漏洞扫描对目标主机进行系统漏洞扫描识别未修补的高危漏洞。弱口令检测对常见服务SSH、RDP、MySQL、Redis 等进行弱口令尝试。已知漏洞利用针对识别出的组件版本检索并验证已知漏洞的利用方式。5.2 常见突破口根据护网实战经验以下方向是红队最常利用的突破口边界设备漏洞VPN、防火墙、堡垒机等边界设备一旦被攻破往往直接进入内网。Web 应用漏洞SQL 注入、文件上传、反序列化等漏洞可导致直接获取服务器权限。钓鱼攻击通过钓鱼邮件投递恶意附件或链接诱导员工点击获取凭据或植入木马。供应链攻击利用目标单位使用的第三方组件或服务的漏洞进行突破。5.3 获取初始立足点成功利用漏洞后红队需要尽快建立稳定的初始立足点获取权限通过漏洞利用获取 WebShell、反弹 Shell 或系统权限。权限提升在目标主机上进行本地提权获取更高权限如 root 或 SYSTEM。建立持久化植入后门或创建隐蔽账号确保权限不因重启或修复而丢失。回连 C2让目标主机回连 C2 服务器建立稳定的控制通道。6. 权限维持与横向移动阶段获取初始立足点后红队的核心任务转向内网渗透巩固权限、扩大战果、向核心目标推进。6.1 内网信息收集进入内网后需要快速摸清内网环境网络拓扑识别内网网段、路由关系与关键服务器位置。主机与端口对内网主机进行扫描发现开放的服务与潜在攻击面。域环境信息识别是否存在域环境收集域控、DNS、DHCP 等关键信息。凭据收集从已控主机中提取本地密码哈希、明文密码、浏览器保存的凭据等。6.2 横向移动横向移动是红队在内网中扩大战果的关键手段Pass-the-Hash利用抓取到的 NTLM 哈希直接进行横向认证无需破解明文密码。Pass-the-Ticket利用 Kerberos 票据进行横向访问。远程执行通过 WMI、PsExec、计划任务等方式在目标主机上执行命令。漏洞利用利用内网主机的已知漏洞如 MS17-010 永恒之蓝进行横向突破。6.3 权限维持在横向移动过程中红队需要持续巩固权限防止被防守方清除多路径持久化在不同主机上建立多种持久化方式避免单点失效。隐蔽通信使用加密流量、DNS 隧道等方式隐藏 C2 通信。权限分离将关键权限分散到多台主机避免一台主机被清理导致全线崩溃。7. 收尾与撤离阶段护网行动接近尾声时红队需要有序收尾确保不留下安全隐患并输出高质量报告。7.1 痕迹清理在授权范围内红队应尽量清理攻击痕迹避免对防守方造成误导日志清理清除攻击过程中产生的系统日志、Web 访问日志、安全设备告警记录。工具清理删除上传的 WebShell、木马、工具文件。账号清理删除创建的隐蔽账号恢复被修改的系统配置。持久化清理移除植入的后门与计划任务确保系统恢复原状。7.2 报告输出护网行动的核心交付物是高质量的攻防报告报告应包含攻击路径复盘完整还原从信息收集到最终突破的每一步攻击路径。漏洞详情列出发现的所有漏洞包括危害等级、复现步骤与修复建议。防守短板分析总结防守方在监测、响应、处置等方面的不足。改进建议针对发现的问题提出具体的加固与改进建议。7.3 复盘总结行动结束后红队内部应进行复盘总结沉淀经验与教训战术复盘分析哪些攻击手法有效、哪些无效优化后续攻击策略。工具沉淀整理实战中验证有效的工具与脚本形成可复用的工具库。知识沉淀将实战中发现的新的漏洞利用方式、绕过技巧整理成知识文档。8. 红队实战要点与常见误区结合护网实战经验以下要点值得红队成员特别关注时间管理护网时间有限应优先攻击高价值、高成功率的突破口避免在低价值目标上耗费过多时间。隐蔽性优先在可能的情况下优先选择隐蔽的攻击手法减少被防守方发现的风险。信息共享团队内部应建立高效的信息共享机制避免重复劳动与信息孤岛。备份与记录每一步攻击操作都应做好记录便于后续复盘与报告输出。同时红队成员应避免以下常见误区过度依赖自动化工具自动化工具会产生大量误报关键环节仍需人工验证与判断。忽视防守方的监测能力护网期间防守方会部署大量监测设备红队应时刻假设自己的行为已被监测。只攻不守红队也应关注自身基础设施的安全防止被防守方反制溯源。9. 结语护网行动是检验和提升网络安全防护能力的重要实战演练。红队作为攻击方通过系统化的流程、专业的技术与严谨的作风帮助防守方发现短板、完善防御。本文梳理的流程框架覆盖了护网行动从准备到撤离的完整链路希望能为参与护网行动的安全从业者提供有价值的参考。最后再次强调所有攻防技术都必须在合法授权的前提下使用共同维护网络空间的安全与秩序。