很多人一上来就搜「怎么打内网」，结果工具装了一堆，却不知道先学什么、学到什么算过关。这篇文章把内网渗透相关学习拆成一条能看懂、能照着走的全链路：每一阶段写清学习细节、推荐工具、目标要求，并附知识点小结。
重要声明：本文仅用于合法授权的学习、竞赛靶场、企业红蓝对抗与防御加固。未经授权扫描、入侵、窃取数据属于违法。请始终在自建靶场或明确授权环境中练习。
一、先建立正确地图：内网渗透在学什么？
把整条链路理解成「从外到内、从点到面、从拿到立足点到理解业务风险」：
1
2
3
4
| 基础功 → 信息收集 → 漏洞认知与验证（合法靶场）
→ 立足点与权限理解 → 内网侦察与横向概念
→ 身份/凭证安全 → 持久化与痕迹（防御视角）
→ 报告、复盘与加固建议
|
内网渗透学习的核心不是「背命令」，而是搞懂：
- 网络与身份如何组成企业内网
- 攻击者通常在哪些环节找突破口（从而你才能防护）
- 如何用工具把现象看清楚、把证据记完整
- 如何把发现写成可落地的修复建议
二、学习前准备（0 阶段）
2.1 学习细节
| 细节 |
做什么 |
学到什么算过关 |
| 法律与职业伦理 |
读《网络安全法》要点、公司授权流程、NDA 常识 |
能说清「什么能做、什么绝对不能做」 |
| 学习环境 |
准备一台性能尚可的电脑，开启虚拟化 |
能稳定跑 2～4 台虚拟机 |
| 笔记体系 |
用 Obsidian / Notion / 博客记录命令与踩坑 |
每次实验有「目标-步骤-结果-结论」 |
| 英语与文档 |
能读工具 README、官方文档标题级信息 |
不依赖视频也能查官方说明 |
2.2 推荐工具
| 工具 |
用途 |
| VMware Workstation / VirtualBox / Hyper-V |
搭本地靶场 |
| Vagrant（可选） |
批量拉起实验机 |
| Git + VS Code / Cursor |
管理笔记与脚本 |
| draw.io / Excalidraw |
画网络拓扑 |
2.3 学习目标
- 能独立画出「攻击者视角」与「防御者视角」两条学习路线图
- 明确自己只在授权环境练习
2.4 知识点小结
- 授权是红线；没有授权就没有「渗透测试」
- 内网相关学习必须建立在可重复的实验环境上
- 笔记比收藏夹更重要：安全是积累型能力
三、阶段 1：计算机与网络硬基础（约 3～6 周）
没有基础直接学内网，会感觉所有工具都在「变魔术」。
3.1 学习细节
| 模块 |
学习细节 |
目标要求 |
| 操作系统 |
Windows 用户/组/权限、服务、进程、注册表概念；Linux 用户权限、systemd、文件权限、日志位置 |
能解释 Administrator/SYSTEM、root、sudo 的差异 |
| TCP/IP |
IP、子网掩码、网关、DNS、NAT；TCP/UDP 区别；三次握手概念 |
能手算简单网段，看懂抓包里的五元组 |
| 常用协议 |
HTTP(S)、DNS、SMB、RDP、SSH、LDAP（知道各自干什么） |
听到端口号能联想到常见服务 |
| 路由交换基础 |
二层/三层、VLAN、ACL 概念 |
理解「同网段」与「跨网段」为什么难易不同 |
3.2 推荐工具 / 资料
| 工具或资料 |
用途 |
| Wireshark |
看懂数据包长什么样 |
| tcpdump |
Linux 命令行抓包入门 |
ipconfig / ip a / route / ping / tracert |
系统自带网络诊断 |
| 《计算机网络：自顶向下》或同等入门书（选读） |
体系化补网络 |
3.3 实践小任务（合法）
- 在两台虚拟机间配置不同网段，观察能否互通
- 用 Wireshark 抓一次本机访问网页的 DNS + HTTPS（只观察，不破解）
- 列出你实验室虚拟机的开放端口与对应服务名称
3.4 知识点小结
- 端口 ≠ 漏洞，端口只是服务入口
- 内网难，往往难在身份、分段、监控，不只是「少打一个补丁」
- 先会排障，再会谈安全
四、阶段 2：安全基础与 Web 入门（约 4～8 周）
多数「进内网」的故事，起点仍是某个对外服务或业务系统。先建立 Web 与常见漏洞的正确概念。
4.1 学习细节
| 细节 |
内容 |
目标要求 |
| HTTP 基础 |
方法、状态码、Cookie、Session、JWT 概念 |
能读懂一次登录请求的结构 |
| OWASP Top 10 |
注入、失效访问控制、配置错误、组件漏洞等类别 |
能用自己的话解释每一类风险与防护思路 |
| 身份认证 |
弱口令、爆破防护、MFA、SSO 概念 |
知道「认证」和「授权」不是一回事 |
| 安全编码意识 |
输入校验、最小权限、密钥不进仓库 |
能在 Code Review 里指出高危味道 |
4.2 推荐工具
| 工具 |
用途 |
学习时注意 |
| Burp Suite Community |
拦截与观察 HTTP |
仅对授权靶场使用 |
| OWASP ZAP |
开源替代/补充 |
适合入门自动化感知 |
| browser DevTools |
看前端请求与存储 |
每天都该会 |
| sqlmap（了解即可） |
理解自动化检测思路 |
不要对未授权目标使用 |
| DVWA / Juice Shop / WebGoat |
合法漏洞练习靶场 |
优先本地 Docker 部署 |
4.3 学习目标
- 独立搭建至少 1 个 Web 靶场并完成基础关卡
- 能写一份「漏洞描述 + 影响 + 修复建议」的迷你报告（无需攻击细节炫技）
- 理解：外网突破只是序章，内网才是企业真实风险面
4.4 知识点小结
- Web 安全的本质是信任边界被突破
- 学会分类（OWASP）比死记某个 payload 更重要
- 防御侧重点：输入校验、鉴权、补丁、密钥与配置治理
五、阶段 3：实验环境与「类真实内网」搭建（约 1～2 周，贯穿全程）
内网渗透学不好，十有八九是没有像样的内网可练。
5.1 学习细节
建议逐步搭一套「迷你企业」：
| 角色 |
示例系统 |
目的 |
| 攻击机 |
Kali / Parrot 或硬加固的 Ubuntu + 工具集 |
统一操作台 |
| 域控（可选进阶） |
Windows Server + AD |
学身份与域概念 |
| 成员机 |
Win10/11 加入域 |
学横向与权限模型 |
| 业务机 |
一台 Linux + Web/数据库 |
学混合环境 |
| 网段设计 |
办公网 / 服务器网（可用虚拟交换机隔离） |
学分段思维 |
5.2 推荐工具
| 工具 |
用途 |
| DetectionLab / GOAD / 自建 AD 实验（任选其一，量力而行） |
接近真实的 AD 实验场 |
| Docker + docker-compose |
快速拉起靶场应用 |
| snapshots（虚拟机快照） |
练坏了可一键回滚 |
5.3 学习目标
- 能画出自己实验室的 IP 规划与机器角色图
- 每次实验前打快照，实验后复盘再还原
- 养成「先备份、再动手」的职业习惯
5.4 知识点小结
- 好环境 = 可重复 + 可回滚 + 接近真实
- AD（Active Directory）是很多企业内网的「身份中枢」，后面几乎所有进阶都绕不开它
- 先求「跑得通」，再求「像真网」
六、阶段 4：信息收集与资产画像（约 2～4 周）
无论攻防哪一侧，看不见资产就谈不上安全。
6.1 学习细节
| 细节 |
学什么 |
目标要求 |
| 主机发现 |
存活主机、网段扫描概念 |
能解释扫描噪声与业务影响 |
| 端口与服务识别 |
常见端口对应服务 |
看到 445/3389/22/389/443 能说用途 |
| 操作系统与指纹 |
粗粒度识别思路 |
知道误报很常见 |
| 目录/站点结构 |
Web 资产梳理 |
能输出站点地图级清单 |
| 人员与邮箱等 OSINT（仅公开信息） |
理解社工风险 |
不做未授权采集 |
6.2 推荐工具
| 工具 |
典型用途 |
| Nmap |
主机/端口/服务探测（授权范围内） |
| Masscan（了解） |
超大规模探测的工程思路 |
| RustScan（可选） |
加速端口发现的一种方式 |
| FOFA / Hunter / Shodan（公开资产检索） |
理解暴露面，仅用于授权或自学演示数据 |
| Amass / Subfinder 等（外网资产） |
子域名与资产发现概念 |
| NetExec（原 CrackMapExec，了解） |
内网场景下的批量运维/安全检测生态 |
6.3 学习目标
- 对实验室整网输出一份「资产表」：IP、主机名、开放端口、服务、负责人（自己标注）
- 能说明：为什么生产环境不能随便全网扫
6.4 知识点小结
- 信息收集的质量，决定后面所有判断的上限
- 被动收集（日志、已有 CMDB、流量）往往比莽扫更专业
- 防御者要做的是：资产台账、暴露面收敛、扫描白名单与变更窗口
七、阶段 5：漏洞理解、利用边界与权限模型（约 4～8 周）
这一阶段最容易学歪。正确目标是：理解漏洞类别、影响面、验证方式与修复，而不是追求「万能利用」。
7.1 学习细节
| 细节 |
内容 |
目标要求 |
| 漏洞生命周期 |
发现→验证→修复→复测 |
能写标准漏洞工单字段 |
| 权限模型 |
普通用户、管理员、SYSTEM/root、服务账号 |
能解释「提权」在防御上意味着什么 |
| 补丁与版本 |
怎么查组件版本、怎么对照公告 |
会用官方公告，不靠谣传 |
| 配置型风险 |
弱口令、匿名访问、调试接口未关 |
能独立做安全基线检查清单 |
| 云与混合（拓展） |
IAM、安全组、元数据风险概念 |
知道现代内网不只有机房 |
7.2 推荐工具（偏验证与管理）
| 工具 |
用途 |
| Nessus / OpenVAS / Nuclei（模板扫描） |
理解自动化检测能力边界 |
| Lynis / SoftPerfect 等基线类工具（按平台选） |
主机加固检查入门 |
| GitHub Advisory / NVD / 厂商安全中心 |
查漏洞情报 |
| BloodHound（AD 关系分析，进阶） |
理解域内攻击路径可视化（在实验域中练习） |
7.3 学习目标
- 能区分：扫描器告警 ≠ 可利用 ≠ 业务可接受风险
- 对每个发现给出：影响、前提条件、修复优先级、验证方法
- 拒绝「只交截图、不交修复」的坏习惯
7.4 知识点小结
- 渗透测试的交付物是风险与改进，不是工具输出原文
- 权限是内网的货币：控身份往往胜于控单机
- 修复优先级通常看：可利用性 × 资产重要性 × 暴露程度
八、阶段 6：内网侦察、横向移动「概念层」与身份安全（约 6～12 周）
这是「内网渗透」名称的核心段。学习重点放到机制与防护，练习限制在实验域。
8.1 学习细节（务必按机制学）
| 主题 |
你要搞懂的问题 |
目标要求 |
| Windows 认证 |
本地 SAM、域账号、Kerberos/NTLM 各自解决什么问题 |
能画出「用户登录到访问文件」的简图 |
| 票据与凭证风险 |
为何凭证会被盗用、缓存凭据危险在哪（概念） |
能提出对应防护：Credential Guard、减少管理登录等 |
| 横向移动常见通道 |
SMB、WinRM、RDP、PsExec 类远程执行的管理用途与风险 |
能从防御视角写监测思路 |
| 特权组 |
Domain Admins、Enterprise Admins 等 |
知道特权账号应如何管控 |
| 委派、ACL、SPN 等 AD 对象 |
只要求建立「目录服务里有复杂信任关系」的认知 |
能看懂 BloodHound 图上的节点含义（实验环境） |
| Linux 横向 |
SSH 密钥、sudo、共享账号 |
能做 Linux 侧最小权限设计 |
8.2 推荐工具（实验域）
| 工具 |
学习用途 |
| BloodHound + SharpHound/采集器 |
看清域内关系与危险路径 |
| Impacket 套件（了解模块职责） |
理解远程管理协议如何被脚本化 |
| Rubeus / Mimikatz（仅实验机） |
认知凭证攻击面；同步学防御与检测 |
| Sysmon + ELK / Splunk / Wazuh |
从蓝队视角看「攻击长什么样」 |
| Microsoft 官方文档：AD DS、Kerberos |
正本清源 |
8.3 学习目标
- 在实验 AD 中：能解释一条「从普通用户到高权限」的路径图（机制层面）
- 能写出至少 10 条内网加固建议（账号分层、LAPS、分段、加固、监控）
- 会用「假设被突破一台机」做桌面推演（Tabletop）
8.4 知识点小结
- 现代内网攻防主战场常在身份，不是永恒的 0day
- 横向移动很多是「合法工具被滥用」（Living off the Land）
- 最好的学习法：红队动作与蓝队检测成对出现
九、阶段 7：持久化、痕迹、取证意识与蓝队反击（约 2～4 周）
只学「进去」不学「留下什么、怎么查」，成长会畸形。
9.1 学习细节
| 细节 |
内容 |
目标要求 |
| 持久化概念 |
启动项、计划任务、服务、账户、GPO 等类别 |
能按系统列出检查清单 |
| 日志源 |
Windows Security/Sysmon、Linux auth/audit |
知道去哪找登录与进程线索 |
| 取证基础 |
时间线、易失性数据、磁盘镜像概念 |
不做破坏性操作，先保全证据 |
| 应急响应流程 |
发现→遏制→根除→恢复→复盘 |
能写出 1 页 IR 流程 |
9.2 推荐工具
| 工具 |
用途 |
| Sysinternals Suite（Autoruns、Process Explorer 等） |
Windows 排查 |
| OSSEC / Wazuh / Elastic |
日志与检测入门 |
| Volatility（了解） |
内存取证概念 |
| Velociraptor（了解） |
规模化取证/响应平台思路 |
9.3 学习目标
- 在实验机故意制造「异常登录/异常服务」后，能用日志把它找出来
- 输出一份《主机排查检查表》
9.4 知识点小结
- 攻防不对称：攻击成功一次即可，防御需长期正确
- 检测工程（Detection Engineering）是长期高价值方向
- 「看不见」往往比「防不住」更危险
十、阶段 8：报告、沟通与工程化（贯穿全程，专项 1～2 周）
10.1 学习细节
一份合格报告通常包含：
- 项目背景与授权范围
- 方法论与限制说明
- 发现列表（风险评级标准写清楚）
- 每个问题的影响、复现条件（适度）、修复建议、复测结果
- 总结与管理建议（给领导看得懂的版本）
10.2 推荐工具
| 工具 |
用途 |
| Markdown / Word / Typora |
写报告 |
| 截图工具 + 标注 |
证据呈现 |
| CVE/CVSS 计算器（辅助） |
评级参考，不可机械套用 |
| 项目管理：看板（GitHub Projects 等） |
跟踪复测 |
10.3 学习目标
- 能把技术问题翻译成业务语言：「可能导致什么损失」
- 修复建议必须可执行（谁做、怎么做、如何验证）
10.4 知识点小结
- 渗透测试是咨询服务，不是黑客表演
- 评级争议很常见：用事实与影响说话
- 复测闭环比初测发现更体现专业度
十一、推荐学习顺序总表（可打印）
| 顺序 |
阶段 |
建议时长 |
核心工具关键词 |
过关标准（一句话） |
| 0 |
伦理与环境 |
3～7 天 |
虚拟机、笔记 |
有实验室、知红线 |
| 1 |
网络与系统基础 |
3～6 周 |
Wireshark、系统命令 |
能排通网、懂权限 |
| 2 |
Web 与安全基础 |
4～8 周 |
Burp、Juice Shop |
独立靶场+迷你报告 |
| 3 |
搭内网靶场 |
1～2 周起 |
AD 实验环境 |
有可回滚迷你内网 |
| 4 |
资产与信息收集 |
2～4 周 |
Nmap、资产表 |
输出完整资产画像 |
| 5 |
漏洞与权限认知 |
4～8 周 |
扫描器、情报源 |
会评级与修复建议 |
| 6 |
身份与内网机制 |
6～12 周 |
BloodHound、Sysmon |
能讲清路径与加固 |
| 7 |
检测与应急 |
2～4 周 |
Sysmon、Wazuh |
能查日志与列清单 |
| 8 |
报告与工程化 |
贯穿 |
文档工具 |
能交付可复测报告 |
十二、每日 / 每周怎么学才快
12.1 每日（工作日 1.5～2 小时）
- 30 分钟：看官方文档或一小节结构化教程（拒绝只刷短视频）
- 60 分钟：靶场动手，只围绕一个小目标
- 15 分钟：写笔记「今天搞懂了什么 / 明天卡点是什么」
12.2 每周
- 1 次：画拓扑或攻击路径图（机制图，不是炫耀图）
- 1 次：写短文或发博客（教是最好的学）
- 1 次：从蓝队角度问「如何检测我刚做的事」
12.3 常见弯路
| 弯路 |
更好的做法 |
| 只收藏工具不练习 |
每个工具对应一个实验目标 |
| 跳过网络基础 |
基础返工成本更高 |
| 只学进攻不看日志 |
成对学习，进步翻倍 |
| 在真实互联网「练手」 |
立刻停止；改用靶场 |
| 追求 0day 炫技 |
先掌握身份、配置、补丁与检测 |
十三、证书与进阶方向（可选，不迷信）
| 方向 |
可参考认证/路径 |
说明 |
| 安全运营 / 蓝队 |
Security+、蓝队相关实践 |
就业面广 |
| 渗透 / 红队 |
OSCP 等实战型（量力） |
重动手与报告 |
| 业务安全 / 攻防 |
企业内部项目经验 |
往往胜过证书 |
| 云安全 |
厂商云安全认证 |
与内网身份知识互补 |
证书是里程碑，不是能力本身。可演示的实验笔记 + 报告样本往往更有说服力。
十四、全链路知识点总复习（速记版）
- 红线：授权、范围、数据保护、报告保密
- 基础：网络分层、地址与端口、进程权限、认证授权
- 外网序章：暴露面、Web 风险分类、安全配置
- 资产：看不见就管不住；扫描有业务代价
- 漏洞：类别、前提、影响、修复、复测
- 内网核心：身份、目录服务、分段、横向通道、特权治理
- 蓝队镜像：日志、检测、应急、加固基线
- 交付：说清风险与改进，形成闭环
十五、给你的 30 天入门打卡（可直接照做）
| 天数 |
任务 |
| D1～D3 |
搭虚拟机，写学习仓库 README，抄一份授权声明模板 |
| D4～D10 |
网络基础 + Wireshark 每天一个小实验 |
| D11～D18 |
部署 Juice Shop 或 DVWA，做完基础关并写 3 个问题的修复建议 |
| D19～D23 |
用 Nmap 对实验室做资产表（仅实验网） |
| D24～D28 |
阅读 AD 基础文档，画一张「用户-组-机器」关系图 |
| D29～D30 |
写一篇学习复盘（可以就发在如升楼） |
写在最后
学好网络安全，尤其是内网方向，靠的不是「神秘工具包」，而是：
扎实基础 + 合法靶场 + 成对理解（进攻机制与防护检测）+ 可持续的笔记与报告能力。
把本文当作地图：每一阶段完成「目标要求」再往下走，你会走得慢一点，但会稳得多。也欢迎你在评论区留下自己的实验室拓扑与阶段打卡，我们一起把学习变成可复用的方法论。
守法是底线，好奇是燃料，体系是引擎。祝你在授权的世界里，把安全真正学明白。