1. 初识Impacket红队手中的“协议手术刀”如果你对内网渗透或者红队攻防演练感兴趣那你大概率听说过Impacket这个名字。我第一次接触它是在一个模拟内网攻防的靶场里当时为了横向移动折腾了半天直到一位前辈丢给我一句命令python3 smbexec.py domain/user:passwordtarget_ip然后我就拿到了一个交互式的shell。那一刻的感觉就像拿到了一把能直接打开内网大门的钥匙。简单来说Impacket是一个用Python编写的网络协议库。但别被“库”这个字眼骗了它远不止是给开发者调用的代码。它更像是一个精心打造的“协议手术刀”把Windows内网里那些复杂的通信协议——比如SMB文件共享、MSRPC远程调用、Kerberos认证——都给解剖得明明白白并且提供了可以直接拿来用的命令行工具。你不需要从零开始写代码去构造一个SMB数据包Impacket已经帮你把最复杂、最底层的部分都封装好了。它最厉害的地方在于对协议的原生支持。很多工具只是调用系统命令或者封装了更上层的操作但Impacket是从协议层实现的。这意味着它不依赖目标系统上是否存在某个特定的可执行文件比如psexec.exe而是直接通过“说”SMB或MSRPC的“语言”来与目标通信。这种特性让它在对抗AV杀毒软件和EDR终端检测与响应时往往有更好的隐蔽性和兼容性。我在实际测试中就发现一些基于行为检测的防护产品对系统自带的PsExec工具非常敏感但用Impacket的psexec.py却能悄无声息地执行命令。那么谁适合用Impacket呢首先是渗透测试人员和红队成员这是它的核心用户群用于授权范围内的安全评估。其次是安全研究人员和蓝队成员可以通过研究它的流量和行为更好地理解攻击手法从而构建防御策略。最后对Windows网络协议感兴趣的学习者也能从中获益匪浅它的源码是学习SMB、MSRPC等协议的绝佳教材。不过我必须强调所有技术都应在合法授权的范围内使用未经授权的测试是违法行为。2. 环境搭建与核心脚本概览工欲善其事必先利其器。用Impacket的第一步就是把它装好。官方推荐使用pipx进行安装这能避免和你系统里已有的Python包产生冲突。命令很简单python3 -m pip install pipx python3 -m pipx ensurepath # 重新打开终端后 pipx install impacket安装完成后所有的工具都在~/.local/bin目录下Linux/macOS或者Pipx的虚拟环境里。你可以直接运行比如psexec.py。如果你喜欢从源码探索也可以从GitHub克隆git clone https://github.com/fortra/impacket.git cd impacket pip install .安装过程一般很顺利但偶尔会遇到依赖问题最常见的是pycryptodomex。如果安装失败可以尝试先手动安装核心依赖pip install pycryptodomex pyasn1 pyOpenSSL ldap3。装好之后我们来看看Impacket到底给了我们哪些“武器”。它的工具脚本主要存放在examples目录下数量众多但我们可以按功能把它们分成几大类这样用起来心里才有谱。第一大类远程命令执行。这是内网横向移动的核心。psexec.py是最知名的它模仿了微软官方PsExec工具的原理通过服务控制器SCMR在远程主机上创建并启动一个服务来执行命令。smbexec.py的思路更巧妙它会在你的攻击机上启动一个临时的SMB服务器然后把命令执行的结果通过SMB写回这个服务器上的文件适合目标没有可写共享的情况。wmiexec.py是我个人非常喜欢的一个它利用Windows管理规范WMI来执行命令不需要在目标上落地任何文件非常隐蔽。atexec.py则是利用计划任务服务而dcomexec.py利用了分布式COMDCOM接口。这几个工具各有适用场景我后面会详细对比。第二大类凭证与票据操作。这部分主要围绕Kerberos协议。GetTGT.py和GetST.py可以分别请求票证授予票证TGT和服务票证ST。GetUserSPNs.py能枚举域内设置了服务主体名称SPN的账户这是寻找攻击路径的常用手段。secretsdump.py更是“神器”级别的存在它能通过多种技术如注册表、Volume Shadow Copy远程转储SAM数据库、LSA Secrets甚至整个NTDS.dit活动目录数据库的哈希值。第三大类协议客户端与信息收集。比如smbclient.py是一个功能完整的SMB客户端可以像使用FTP一样浏览共享、上传下载文件。lookupsid.py能通过SID枚举用户和组。rpcdump.py和samrdump.py可以分别枚举RPC端点和通过SAMR协议获取系统信息。第四大类中继攻击与服务器工具。ntlmrelayx.py是进行NTLM中继攻击的瑞士军刀可以将捕获的Net-NTLM哈希中继到其他服务如LDAP、SMB以达成攻击目的比如在域内创建高权限用户。为了让你更直观地了解这些核心工具我整理了一个快速参考表格工具类别核心工具示例主要功能常用场景远程执行psexec.py,smbexec.py,wmiexec.py在远程Windows主机上执行命令或获取Shell内网横向移动、权限维持凭证操作secretsdump.py,GetUserSPNs.py转储密码哈希、枚举Kerberos SPN凭证窃取、Kerberos攻击协议客户端smbclient.py,lookupsid.py文件操作、用户/组枚举信息收集、文件传输中继攻击ntlmrelayx.py执行NTLM中继攻击横向移动、权限提升在特定条件下3. SMB与MSRPC协议实战信息收集的基石在内网里SMB服务器消息块协议就像是“文件共享的普通话”而MSRPC微软远程过程调用则是“系统管理的方言”。Impacket在这两个协议上的实现为我们打开了一扇深入探测Windows系统的大门。我们先从最常用的smbclient.py说起。很多时候我们拿到一个跳板机需要快速了解内网其他主机的信息。smbclient.py就是一个完美的起点。它的用法和Linux下的smbclient命令很像但功能更强大支持哈希传递Pass-the-Hash。假设我们通过某种方式拿到了一个本地管理员账户的NTLM哈希LMHash:NTHash格式我们可以这样连接python3 smbclient.py -hashes aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4 administrator192.168.1.10连接成功后你会进入一个交互式界面。输入shares可以列出所有共享通常你会看到ADMIN$、C$、IPC$这些默认共享。使用use C$可以切换到C盘根目录的共享然后就能用ls、cd、get、put等命令像操作本地文件一样浏览和传输文件了。这里有个小技巧如果目标系统打了KB2871997补丁默认会禁止非RID 500的管理员账户比如你新建的admin进行哈希传递但内置的AdministratorRID 500账户通常不受此限制。光能传文件还不够我们得知道系统里有什么用户。这时候lookupsid.py就派上用场了。SID安全标识符是Windows中标识用户、组和计算机的唯一值。通过暴力枚举SID我们可以发现本地用户、域用户甚至内置账户。命令如下python3 lookupsid.py domain/user:password192.168.1.10或者使用哈希python3 lookupsid.py -hashes aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4 domain/administrator192.168.1.10运行后你会看到一串输出从SID 500内置管理员开始一直枚举到当前系统上的用户和组。通过SID的前缀比如S-1-5-21-...你还能判断出哪些是域用户如果连接的是域成员机。我曾在一次测试中通过这个脚本在一个看似普通的成员服务器上枚举出了几十个域用户账户为后续的密码喷洒攻击提供了目标列表。接下来是samrdump.py它通过MSRPC套件中的SAMR安全账户管理器远程接口与目标通信。这个脚本能提供比lookupsid.py更丰富的信息python3 samrdump.py 192.168.1.10注意samrdump.py有时不需要认证即可获取部分信息这取决于目标的配置 它会列出系统上的用户账户、组、别名以及共享资源。输出信息里会包含用户的RID、账户类型等对于快速绘制用户图谱非常有帮助。最后我们看看rpcdump.py和getArch.py。rpcdump.py用于枚举目标主机上开放的RPC端点这些端点就像是一个个可供调用的远程API接口。了解有哪些RPC接口可用有助于我们发现潜在的攻击面。而getArch.py则是一个简单但实用的小工具用于探测目标操作系统的架构是32位还是64位python3 getArch.py -target 192.168.1.10知道系统架构很重要因为后续如果你要上传后门或执行特定载荷必须匹配架构。这些基于SMB和MSRPC的脚本共同构成了内网信息收集的“侦察兵”它们动作轻、痕迹小是渗透测试前期不可或缺的环节。4. 横向移动多种远程执行方式的原理与选择拿到凭证密码或哈希后下一步就是尝试横向移动在更多机器上获得立足点。Impacket提供了多种远程执行命令的方式它们原理不同各有优劣。选对工具往往能决定攻击是否成功以及是否会被防守方发现。psexec.py经典但“吵闹”这是最像官方PsExec的工具。它的工作原理是通过SMB连接到目标的ADMIN$共享上传一个名为RemComSvc的服务二进制文件然后通过服务控制管理器SCMR接口创建并启动一个服务来运行这个二进制从而实现命令执行。执行完毕后它会清理服务并删除上传的文件。python3 psexec.py domain/administrator:Password123192.168.1.10它的优点是稳定、兼容性好。但缺点也很明显会在目标系统上创建服务、写入文件、产生大量的事件日志特别是事件ID 7045服务被创建。在现在稍具规模的蓝队监控下这种操作很容易触发告警。我一般只在测试初期或者确定环境监控较弱时使用它。smbexec.py更隐蔽的替代品smbexec.py的思路很巧妙。它不需要在目标上安装永久服务而是通过写入批处理文件.bat来执行命令。具体流程是1. 在攻击机上启动一个SMB服务器。2. 通过SMB在目标可写共享默认是C$上创建批处理文件其中包含要执行的命令并将输出重定向到攻击机SMB服务器上的一个文件。3. 通过服务控制或计划任务执行这个批处理文件。4. 从攻击机的SMB服务器读取输出文件。python3 smbexec.py domain/administrator192.168.1.10 -hashes aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4因为它最终也是通过服务来触发执行所以同样会产生服务相关的日志。但它上传的是文本批处理文件且执行流程更复杂有时能绕过一些基于二进制文件特征的静态检测。不过它对可写共享有依赖。wmiexec.py我的首选“低调”工具这是我最常用、也最推荐的横向移动工具。它利用Windows管理规范WMI的Win32_Process类来创建进程。WMI是Windows系统管理的标准接口其流量走的是135端口用于初始化和随机的动态高端口。python3 wmiexec.py domain/administrator:Password123192.168.1.10它的最大优点是无需在目标磁盘上写入任何文件所有操作都在内存中完成因此文件系统层面几乎没有痕迹。它产生的日志主要是WMI活动日志事件ID 4688进程创建以及事件ID 4104脚本块日志如果PowerShell被调用的话相对于服务创建日志这些日志的告警优先级在某些环境中可能较低。实测中它的隐蔽性是最好的。atexec.py利用计划任务这个工具通过MSRPC调用计划任务服务Task Scheduler来创建临时任务执行命令。python3 atexec.py domain/administrator:Password123192.168.1.10 whoami它同样不需要落地文件但会在计划任务日志中留下记录事件ID 106、140。适合在wmiexec被拦截或不适用的场景下作为备选。为了帮你快速决策我总结了一个对比表格工具依赖端口是否需要落地文件主要日志来源隐蔽性适用场景psexec.py445 (SMB)是服务创建(7045)、进程创建(4688)低兼容性测试、老旧环境smbexec.py445 (SMB)是批处理文件服务创建、进程创建中需要输出重定向、wmiexec不可用时wmiexec.py135 (WMI初始化) 高端口否WMI活动(4688)、PowerShell脚本(4104)高追求隐蔽性的首选atexec.py445 (SMB)否计划任务创建(106, 140)中作为wmiexec的备选方案在实际操作中我通常会先用wmiexec.py尝试如果因为防火墙策略135端口被阻或权限问题失败再依次尝试smbexec.py和psexec.py。同时一定要配合-codec gbk参数来处理中文系统的输出乱码问题例如python3 wmiexec.py administrator192.168.1.10 -hashes ... -codec gbk。5. 凭证攻击与中继从哈希传递到NTLM中继如果说横向移动是扩大战果那么凭证攻击就是获取“弹药”的核心手段。Impacket在这方面提供了从本地哈希提取到网络协议攻击的完整链条。secretsdump.py哈希提取的终极武器这个脚本的强大之处在于它支持多种提取方式几乎涵盖了所有可能的场景。最经典的用法是直接远程转储本地SAM哈希python3 secretsdump.py domain/localadmin:password192.168.1.10但更常用的是使用哈希进行身份验证Pass-the-Hash, PtHpython3 secretsdump.py -hashes aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4 domain/administrator192.168.1.10它会尝试多种技术顺序大概是1. 尝试从注册表读取SAM和SYSTEM hive。2. 尝试卷影拷贝服务VSS来复制NTDS.dit如果是域控。3. 使用DCSync技术需要域管理员权限直接从域控拉取哈希。输出结果会包含本地用户的NTLM哈希、缓存的域凭据如果该机器曾有用域账户登录过、以及LSA Secrets中的各种密码。LSA Secrets里可能包含服务账户密码、自动登录密码等宝贵信息。我印象最深的一次就是从一个普通域成员的LSA Secrets里找到了一个域管理员的明文密码直接拿下了整个域。ntlmrelayx.py中继攻击的自动化引擎NTLM中继是一种经典的攻击手法攻击者位于客户端和服务器之间截获客户端的NTLM认证请求然后将其“中继”到另一个服务器从而以客户端的身份访问第二个服务器。ntlmrelayx.py将这个攻击过程完全自动化了。 它的基本工作流程是1. 启动一个恶意的SMB或HTTP服务器等待客户端连接并发起NTLM认证。2. 捕获客户端的Net-NTLMv2哈希不是NTLM哈希无法直接用于PtH但可以用于中继。3. 将捕获的认证请求中继到指定的目标服务器。4. 根据预定义的“攻击”动作执行操作比如在目标服务器上执行命令、转储哈希或者最常用的——通过中继到域控的LDAP服务为捕获到的账户自身添加权限例如将其加入域管理员组。一个典型的攻击场景是在内网中通过LLMNR/NBNS投毒或WPAD劫持诱使一台主机向你的攻击机发起SMB连接认证。启动ntlmrelayx.pypython3 ntlmrelayx.py -t ldap://dc.domain.com -smb2support-t参数指定中继的目标这里中继到域控的LDAP服务。-smb2support启用对SMB2协议的支持。当有客户端被诱骗连接到你监听的SMB服务时ntlmrelayx.py会自动将其认证中继到域控并默认执行“DCSync攻击”为被中继的账户授予DCSync权限这样你后续就可以用该账户调用secretsdump.py的DCSync功能导出所有域用户哈希了。GetUserSPNs.py寻找Kerberos攻击路径Kerberos是Windows域的核心认证协议。服务主体名称SPN是Kerberos中用于标识服务实例的唯一名称。GetUserSPNs.py脚本可以查询域内所有注册了SPN的账户。python3 GetUserSPNs.py domain.com/user -dc-ip 192.168.1.1 -request-request参数会同时为找到的SPN请求服务票证ST。这些服务票证是使用对应用户的哈希加密的。如果域内存在弱密码攻击者就可以对这些票证进行离线破解尝试还原出用户密码。更关键的是如果配置了Kerberos约束委派攻击者可能利用其进行权限提升。这个脚本的输出是进行Kerberoasting攻击的第一步。在实际的内网渗透中这几类攻击往往是环环相扣的。你可能先用ntlmrelayx.py通过中继拿到一个普通域用户的权限然后用这个用户的权限运行GetUserSPNs.py发现一个服务账户离线破解其密码后发现该服务账户在某个服务器上有本地管理员权限进而用wmiexec.py横向移动到那台服务器最后用secretsdump.py提取该服务器的内存凭证或哈希可能就包含了更高权限的域账户信息。整个攻击链的构建Impacket都提供了相应的工具模块。6. 高级技巧与防御视角用了这么多年Impacket我也踩过不少坑积累了一些能让操作更顺畅、更隐蔽的经验。同时站在防御者蓝队的角度了解这些攻击手法也至关重要。实战中的小技巧与避坑指南输出编码问题在中文Windows系统上执行命令回显经常是乱码。务必在命令后加上-codec gbk参数例如wmiexec.py ... -codec gbk。哈希格式Impacket大部分工具使用LMHash:NTHash格式。如果只有NTLM哈希即NTHashLMHash部分用aad3b435b51404eeaad3b435b51404ee这个空LM哈希的固定值填充。如果目标系统禁用了LM哈希现代系统默认如此直接传递NTLM哈希即可。目标指定对于域环境用户名格式通常是域名/用户名如domain/john。对于工作组环境直接使用用户名如administrator。端口与协议记住psexec、smbexec、atexec等依赖SMB的工具需要目标开放445端口。wmiexec需要135端口用于WMI初始化和后续的动态高端口。确保你的跳板机到目标机的这些端口是通的。权限问题psexec和smbexec通常需要目标上的管理员权限才能创建服务或访问ADMIN$/C$共享。wmiexec也需要足够的权限来通过WMI创建进程。代理与隧道在内网穿透时你可能需要配合socks代理使用。Impacket工具本身不支持socks代理但你可以通过proxychains等工具来让流量走代理例如proxychains python3 wmiexec.py ...。从蓝队视角看Impacket攻击了解攻击是为了更好的防御。作为防守方应该关注哪些迹象来发现Impacket的利用呢网络流量特征SMB流量大量来自同一源IP的、针对不同内网主机的SMB连接445端口特别是使用了IPC$共享的空会话或认证会话随后紧跟svcctl服务控制或srvsvc服务器服务的MSRPC调用这很可能是psexec或smbexec。WMI流量135端口的DCOM激活请求随后跟随着大量动态高端口通常大于49152上的TCP连接并且传输的数据看起来是序列化的Microsoft特定协议这提示着wmiexec活动。身份验证模式监控NTLM认证日志如果发现大量使用NTLMv1或特定的、与Impacket默认配置一致的加密套件可能意味着攻击工具的使用。主机日志特征安全日志重点关注事件ID 4688进程创建查看可疑的父进程如wmiprvse.exe生成cmd.exe和命令行参数。psexec和smbexec会产生事件ID 7045服务创建服务名可能是随机的或特定的如BTOBTO。PowerShell日志如果攻击通过WMI调用了PowerShellwmiexec默认会会生成事件ID 4104脚本块日志其中包含执行的命令。计划任务日志atexec会创建计划任务对应事件ID 106、140。防御建议启用强认证在域环境中强制使用Kerberos认证并禁用NTLMv1尽可能减少NTLM的使用。Kerberos能有效防御NTLM中继攻击。实施网络分段严格限制SMB445、WMI135等管理协议在内网的访问范围遵循最小权限原则。服务器之间不应随意互通SMB。启用SMB签名对于所有域控和重要服务器强制启用SMB签名。这能有效防御SMB中继攻击ntlmrelayx.py的中继模式。加强日志监控集中收集和分析Windows安全日志、PowerShell日志等。建立针对服务异常创建、WMI远程进程创建、来自非管理员的计划任务创建等行为的告警规则。限制高权限账户避免域管理员账户在日常工作站上登录实施本地管理员权限管理LAPS定期更换本地管理员密码。进行威胁狩猎主动搜索环境中是否存在与Impacket工具默认参数相关的特征例如特定的服务名、WMI查询模式、或网络流量中的特定指纹。工具本身没有善恶关键在于使用者的意图。Impacket以其对协议的深度理解和实现成为了安全测试人员手中不可多得的利器。对于攻击方它提供了深入内网的多种路径对于防御方理解它的原理和特征是构建有效检测和响应能力的关键。真正的高手既要懂得如何利其矛也要知道如何固其盾。希望这篇从实战出发的解析能帮助你在无论是攻击模拟还是安全防御的道路上都走得更稳、更远。