在当今这个信息化高度发达的时代，企业的网络环境已经与过去完全不同。二十年前，企业内网可能只是一些简单的办公网络，几台服务器承担着文件共享和邮件收发的任务；而如今，企业的内网往往是一个错综复杂的生态系统，数以百计甚至上千台设备相互连接，承载着核心业务、财务系统、人事管理、生产控制乃至客户关系等最关键的环节。
随着这种复杂性的提升，信息安全问题也随之加剧。外部攻击的防线逐渐完善，防火墙、入侵检测、WAF、EDR 等防御体系被一层层叠加，外网正面的突破变得越来越困难。然而，一旦攻击者突破防线进入到企业内部，他们便会发现：真正有价值的目标大多在内网。域控制器、数据库、财务凭证、邮件档案、源代码库，这些都成为攻击者关注的目标。
这就引出一个核心问题：为什么如今我们很少见到专门针对 .NET 内网安全攻防 的系统化资料？原因在于，安全领域的公开研究大多聚焦在漏洞、工具和框架本身，而忽略了 .NET 这一庞大生态中潜藏的攻防技巧。于是，我们看到很多红队在实战中往往直接依赖现成工具，却缺乏对 .NET 底层机制的理解；很多蓝队在做防御时，只关注传统的攻击行为，却对基于 .NET 的特性绕过无从下手。
因此，这份 《.NET内网安全攻防》电子报刊 的诞生，是基于现实困境的必然选择。用于解决在为那些真正关心内网安全的人，提供一个完整、深入、持久的知识体系，让攻防不再停留在表面。
我们可能在某个安全论坛上看到一段提权的脚本，也可能在培训课程中学习过如何通过 SMB 横向移动。但这些知识往往是零散的，就像一个个孤立的点。学习者在面对它们时，常常无从下手，难以串联成完整的知识图谱。
而这份报刊所追求的，是用连续、成体系的内容，将这些点连成线，再逐渐扩展成面。我们希望读者在阅读的过程中，不只是学会一两个工具的使用，而是能真正理解 .NET 在内网攻防全链条中的价值与作用。
更重要的是，报刊这种形式天然适合沉淀与传承。与零散的帖子相比，报刊更像一本不断更新的文章，有清晰的章节结构，有完整的逻辑递进。每一期的内容，既是独立的文章，也是整体知识体系的一部分。随着时间推移，订阅者手中会逐渐积累起一份厚重的资料，而这份资料，不仅能在当下帮到他们，也能在未来很长一段时间里成为反复查阅的参考。
为了让安全研究者真正建立起完整的框架，我们将内容划分为[8个方向]，这八个方向，几乎覆盖了内网渗透的整个生命周期。
1） .NET 安全防御绕过
2） .NET 本地权限提升
3） .NET 内网信息收集
4） .NET 内网代理通道
5） .NET 内网横向移动
6） .NET 目标权限维持
7） .NET 数据传输外发
8） .NET 目标痕迹清理
从最初的突破，到信息收集，再到横向扩展与持久化控制，直至最后的数据外发与痕迹清理，每一个环节都有其独特的难点，而在这些难点中，.NET 技术往往扮演着不可替代的角色。
2.1 .NET安全防御绕过
在防御绕过部分，我们会深入剖析 .NET 如何与 Windows 安全机制交互。很多人只知道通过 PowerShell 绕过 AMSI，却不知道 .NET 运行时本身也提供了大量机会。通过 IL 代码的修改、反射调用的滥用、甚至 AppDomain 的拆解，攻击者完全可以避开常规防御。这不仅仅是技巧问题，更是对运行时本质的理解。
2.1.1 通过反射技术实现Rundll32绕过
在攻防对抗中，攻击者常利用 .NET 提供的反射技术，通过动态加载外部 DLL 并调用其中的任意方法，实现灵活且隐蔽的恶意代码执行。这种技术无需提前绑定目标代码，能够有效规避静态检测，同时模仿类似 rundll32.exe 的行为，进一步提高攻击链的隐匿性。
通过加载诸如 Sharp4Library.dll 的组件并动态调用其方法，攻击者可以轻松实现任意指令执行，为渗透测试和实际攻击提供强大的支持。
2.1.2 通过内存加载实现无文件落地
在当今愈发严苛的防护环境中，磁盘落地行为成为安全设备重点监控的对象。传统的执行方式，如将 EXE 上传到服务器再运行，极易被杀软、EDR 捕获。为解决此问题，安全研究者引入了一项极具红队价值的特性 —— 远程 .NET 程序的内存加载与执行。
本文将对该功能的核心代码进行拆解和讲解，解析其中关键 API 的使用逻辑，并演示如何实现一次无落地、纯内存加载、具备参数传递能力的 .NET 执行流程。
2.1.3 通过文件映射技术实现进程注入
在红队实战中，传统的内存注入技术，比如通过 VirtualAllocEx和 CreateRemoteThread 的组合实现注入，已逐渐失去其隐蔽性。这些 API 的调用行为特征明显，极易被 EDR、HIDS等安全产品捕获并拦截。
为了规避传统注入方式的不足，研究人员开始探索更为隐蔽且系统化的技术路径。其中，文件映射注入作为一种经典且低检测率的技巧，通过利用 Windows 内核对象机制实现跨进程内存共享与代码执行，从而绕过传统注入路径，达成无声执行的效果。
2.1.4 通过父进程欺骗绕过终端防护
渗透测试与红队行动中，父进程欺骗（PPID Spoofing）是一项关键技术，目的在于打乱终端检测系统（EDR）对进程行为链的正常感知。
通过精心构造的 STARTUPINFOEX 结构攻击者可以将任意恶意子进程伪装为由可信父进程，比如 explorer.exe、svchost.exe，从而有效规避基于行为关联的检测策略。结合挂起态创建、远程注入等方式，PPID Spoofing 成为红队在高对抗环境下实现隐蔽执行、混淆溯源路径的重要战术手段。
2.2 .NET内网权限维持
在权限维持阶段，我们会展示如何利用 .NET 的签名特性和程序集加载机制，实现更隐蔽的持久化。传统的注册表 RunKey 或服务劫持已经很容易被蓝队监控，而把恶意代码包装进一个微软签名的宿主中，则能轻松规避大部分检测。
2.2.1 通过屏保劫持技术实现维持
在 Windows 操作系统中，攻击者通常会利用各种持久化手段，确保恶意代码或者程序能够在系统重启后继续执行。本文将详细分析扩展名劫持 和 屏保劫持这两种持久化技术的原理、代码实现及其防御方法。
扩展名劫持是一种通过修改 Windows 注册表，使特定文件类型在被打开时执行攻击者指定的命令的技术。Windows 通过注册表关联不同的文件扩展名与其默认打开方式，比如.txt 文件默认由记事本打开的。
2.2.2 通过隐藏的任务计划实现维持
计划任务作为持久化的机制之一，也被用在红队行动中。但常见的利用方法在被安全软件阻断的同时，也没有达到隐藏效果，并提高了被发现的风险。所以需要深入理解利用计划任务，规避风险，达到持久控制。
在 Windows 中，可以使用 at.exe 和 schtasks.exe 两种命令行工具来创建计划任务。两者的功能和适用范围有所不同。
2.2.3 通过WaitFor实现权限维持
Waitfor.exe 是操作系统自带的一个命令行工具，位于System32目录下，主要用于在 Windows 环境中实现信号或者事件的等待和同步功能，可以用于脚本和批处理文件中，控制程序的执行顺序或在特定条件下暂停执行，使得 Waitfor.exe 成为系统管理、自动化任务和定时任务中的一个重要工具。
在我们接收到名为 dotNetMatrix 的信号后，使用启动本地计算器进程。这里使用了 && 符号，该符号是一个逻辑运算符，用于连接两个命令，表示如果前一个命令成功执行，则执行后一个命令。
2.2.4 通过注册表UserInit实现维持
在红队活动中权限维持是一个关键环节，需要确保即使目标系统重新启动，攻击者仍然能够保持对系统的访问权限。
string keyName = "Userinit";
string customExecutablePath = @"C:\windows\system32\calc.exe";
string newUserInitValue = $"C:\\windows\\system32\\userinit.exe,{customExecutablePath}";
利用Windows注册表中的UserInit键，攻击者可以实现权限维持。本文将详细介绍如何通过修改UserInit键的值来启动自定义可执行文件，从而实现权限维持。
2.3 .NET内网信息收集
信息收集阶段则是内网渗透的基础。域内用户关系、组策略分布、信任域链路，都是后续横向渗透的前提。很多红队习惯直接使用 BloodHound，但如果目标环境对可疑进程有检测，那么自己编写一个基于 .NET 的信息收集器，既能规避检测，又能针对性地输出想要的数据。
2.3.1 通过命令执行查找出网主机
在红队活动中，信息收集是内网渗透测试的首要步骤，了解内网中哪些主机可以连通外部网络，是攻击者成功渗透的关键之一。本文将介绍如何通过.NET代码执行 nslookup 命令来进行内网信息收集，并快速找到可以出网的主机。
利用.NET结合 nslookup 命令进行内网信息收集，是一种有效且隐蔽的方式，适用于红队活动中的快速发现可出网主机。然而，这也提醒我们，在日常的网络安全防护中，需要高度重视对DNS流量的监控和分析，以防止内网信息的泄漏。
2.3.2 通过DirectorySearch执行LDAP查询
在 Windows 域环境中，LDAP是一种常见的目录服务协议，允许客户端通过查询 AD 来获取组织结构、用户信息、计算机对象等。
在内网渗透和红队测试中，Active Directory 是一个重要的信息收集目标。通过 LDAP 查询，可以快速枚举域内的用户、主机、组、权限等敏感信息，为后续的横向移动和权限提升打下基础。本文将详细介绍如何使用 System.DirectoryServices 命名空间下的 DirectorySearcher 执行 LDAP 查询，并输出查询结果。
2.3.3 通过命令行解密web.config配置
在.NET应用系统中，保护数据库连接字符串的安全性至关重要。.NET 提供了一种通过 DataProtectionConfigurationProvider 加密连接字符串的方法，以防止敏感数据泄露。
然而，在内网信息收集阶段，只需在目标主机上运行aspnet_regiis.exe这个命令行工具即可完成解密，获取数据库连接的明文字符串。
2.3.4 通过API函数实现键盘日志记录
在红队渗透测试中，信息收集是最重要的初期阶段之一。通过精确地获取目标系统上的信息，红队能够识别潜在的攻击路径，并为后续的攻击提供有价值的数据。在这其中，键盘记录器作为一种常见的攻击手段，可以有效地收集用户输入的信息，帮助攻击者获取目标用户的敏感数据，如登录凭据、系统操作命令等。
本文将探讨键盘记录器在内网渗透中的应用，以及如何通过开发和利用键盘记录器工具，收集关键数据。我们将重点分析其在红队渗透阶段的实际使用场景，并探讨其技术实现方法。
2.4 .NET本地权限操作
在本地权限操作中，我们会探讨如何利用 .NET 的 P/Invoke 功能，安全而稳定地调用底层 Win32 API，进而实现 Token 窃取与提权。这里不仅涉及经典的 Potato 系列，还包括对 Windows 内核机制的理解。与传统脚本工具不同，用 .NET 实现提权具有天然的隐蔽性，因为它往往不会被安全团队的关键字匹配检测到。
2.4.1 通过Winlogon进程提升SYSTEM
在内网渗透环境中，获得 SYSTEM 权限是攻击链中的关键一环。通过分析 Windows 系统中对高权限进程的访问机制，我们发现利用 SYSTEM 账户运行的关键进程的访问令牌，可以伪装为操作系统内核，启动具有最高权限的进程。
在 .NET 中一般情况下，通过 WindowsPrincipal 和 WindowsIdentity 的组合，检测当前进程是否以管理员权限运行，具体代码如下 IsAdministrator 方法。
2.4.2 通过COM接口绕过UAC
2.4.3 通过反序列化绕过UAC
2.4.4 不安全的令牌特权
2.5 .NET数据传输外发
2.5.1 通过SharpZip打包文件
2.6 .NET目标痕迹清理
最后的痕迹清理，我们不会仅仅停留在删除日志这么简单的层面，而是会讲解如何从 .NET 程序集缓存、CLR 临时文件、内存残留等角度，真正做到反取证。
2.6.1 通过伪造时间实现痕迹清理
在渗透测试和红队活动中，攻击者经常会使用一些技术来伪造文件的时间戳，以掩盖入侵痕迹和避免被检测。文件的创建时间、最后访问时间和最后修改时间是操作系统记录的重要文件元数据。
通过篡改这些时间戳，攻击者可以掩盖其活动时间，避免被安全审计系统发现。本文将详细介绍如何伪造文件的时间戳，并通过具体的代码示例来说明其实现过程。
2.6.2 通过wevtutil进程实现痕迹清理
在渗透测试或攻击活动中，清理日志是一项关键的操作，用于掩盖攻击者的行为，避免被防御者发现和追踪。
Windows 系统的事件日志是安全分析和取证的重要依据，而通过 .NET 程序调用 wevtutil 命令，可以高效地清空所有的系统日志，这种方法具有较强的隐蔽性，能够绕过大部分传统的日志分析工具，为攻击者提供了一种强有力的反取证手段。
这份报刊最大的特色在于 [稀缺与系统]，目前几乎没有公开的资料能像这样，专门针对 .NET 内网攻防做全面总结。很多红队在渗透时，遇到目标是 .NET 环境，往往只能靠现成工具硬拼，而无法灵活应对。而订阅这份报刊，你就能逐步掌握别人不具备的独家技能。
其次是 [长期更新] ，不同于一次性的培训课程，这份报刊是长期维护的。每周都会有新内容，随着时间推移，你能不断积累新的知识。对于任何希望在安全领域持续成长的人来说，这种稳定的更新节奏才是真正有价值的。
再者是 [价格优势，原价 899 的内容，现在仅需 69 元买断] 。这个价格几乎是象征性的，更多的是希望通过低门槛，让更多人能够接触到这份报刊。与此同时，每增加 50 人涨价 10 元的策略，请感兴趣的大伙赶紧订阅，超值！
这份报刊并不是为某一个群体量身打造的，而是面向所有希望提升 .NET 内网攻防技能的人。对于红队人员，能提供新的思路与技巧，让你不再局限于常见的框架；对于蓝队人员，能让你更好地理解攻击逻辑，进而提升防御效果；对于 .NET 开发者，则是一份关于安全的启蒙，让你红队的角度审视自己的代码。
信息安全从业者
已经在安全行业工作的同学，希望快速提升 .NET 内网相关漏洞原理和渗透思路综合能力，在企业内成为核心安全专家。
红队/蓝队成员
参与过渗透测试、红蓝对抗或者国家护网行动，希望通过掌握 .NET 平台下的内网渗透技术知识点，提升实战攻击与防御水平。
企业开发者/架构师
从事 .NET 项目开发，希望提前规避潜在的内网安全问题，提升自身安全开发能力，为团队构建更安全的系统架构。
在校学生与转型人员
想要进入网络安全行业、参与实习/求职的同学，以及计划从安全服务岗位转型到内网实战的人士。
免责声明：此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。任何未经授权的网络渗透、入侵或对他人网络破坏的活动而造成的直接或间接后果和损失，均由使用者为自身的行为负责并承担全部的法律和连带责任，与本号及作者无关，请务必遵循相关法律法规。本文所提供的工具仅用于学习和本地安全研究和测试，禁止用于其他方面。
无论你是零基础小白，还是有一定开发或安全经验，本报刊都能为你提供适合的成长路径。我们希望通过这份报刊，帮助读者逐步从初学者成长为专家。起初，你可能只是想了解一些基本的防御绕过技巧，但随着阅读的深入，你会逐渐建立起完整的知识体系，最终能够独立构建自己的攻防框架。
订阅方式非常简单：只需点击链接 https://xiaobot.net/p/dotNetAttack，或扫描报刊附带的二维码即可。
订阅后，请关注公众号“dotNet安全矩阵”，发送订单截图与微信号，我们会邀请你加入专属交流群。在群里，你不仅能和其他读者交流心得，还能第一时间获得我们的答疑与案例分享。
目前，已经有超过 300 位朋友抢先预定。根据规则，每增加 50 人，价格就会上涨 10 元。如果你希望用最低的价格获取这份长期更新的资料，现在就是最好的时机。
信息安全是一场永不停歇的战斗。外部防御越发坚固，内网渗透就越显关键；常规工具越来越普及，独特的技能才愈加珍贵。《.NET内网安全攻防》电子报刊，不仅是一份资料，更是一次长期的学习旅程。它将带你深入 .NET 的世界，理解其中的攻防逻辑，掌握别人无法轻易获得的技能。
原价 899 的专栏，现在只需 69 元即可永久买断。这不是一次简单的促销，而是我们希望能让更多人以最低的门槛，走上真正的学习之路。机会从不会等待犹豫的人。现在，就订阅我们的报刊，与我们一起探索 .NET 内网安全的无限可能。
