文章总结： 本文档为近源渗透技术培训教材，系统阐述其概念、成因、实施方法论、攻击类型与防御建议。核心观点是近源渗透利用物理距离突破传统网络边界，结合社会工程学与多域协同攻击，效率高且隐蔽性强。文档提出构建物理-逻辑纵深防御体系，强调物理安全与信息安全协同管理，为红队攻击与蓝队防御提供参考框架。
综合评分： 82
文章分类： 渗透测试,红队,安全意识,安全建设

深度剖析：近源渗透技术（上）

原创

小安伴你行
小安伴你行

小安伴你行

2026年9月6日 10:06
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

摘要

本文档是信息安全部门内部技术培训教材，从攻防双重视角系统阐述了近源渗透（Physical/Proximity Penetration）的理论基础、实施流程与防御对策。全文共分为六章：第一章界定了近源渗透的基本概念与威胁本质；第二章分析了近源渗透产生的深层动因与攻击面演进逻辑；第三章详细讲解了近源渗透的实施方法论，覆盖目标勘察与信息收集、权限获取与持久化驻留、后渗透处理三个阶段；第四章梳理了常见的近源渗透类型与典型攻击手法；第五章分享了四个真实近源渗透案例的完整攻击链与复盘分析；第六章从组织层面提出了近源渗透防御体系的构建建议。本文档旨在帮助安全团队深入理解近源渗透的攻击逻辑，进而构建有效的物理-逻辑纵深防御能力。

第一章近源渗透概述

1.1 什么是近源渗透

近源渗透（Proximity Penetration / Physical-adjacent Penetration Testing），是攻击者通过物理接近目标系统、网络或人员，绕过传统网络安全边界防护，获取目标信息系统未授权访问权限的攻击行为或安全测试活动。

与传统远程网络渗透不同，近源渗透的核心特征是新增了「物理距离」这一攻击维度。攻击者不再受限于从互联网远端发起攻击，还可以利用物理世界中所有可利用的攻击面——包括但不限于办公场所出入口、智能门禁系统、无线网络信号、USB接口与外设、丢弃的文件与硬件、内部人员信任关系等——突破组织的安全防线。

从攻击链模型（Cyber Kill Chain）来看，近源渗透通常出现在攻击链的早期阶段，即侦察与武器化阶段，目标是获取目标环境的「初始立足点」（Initial Foothold）。一旦攻击者在物理层面获得接入权限，后续的内网横向移动、权限提升、数据窃取等操作都会更易实施，也更难被检测发现。

1.2 近源渗透的本质特征

近源渗透具有以下核心特征：

1. 优先突破物理边界

传统安全体系通常将大量资源投入到网络边界防护（防火墙、IDS/IPS、WAF等），而物理安全与信息安全往往分属不同部门管理，由此形成了“安全缝隙”。近源渗透正是利用这一缝隙，从物理世界切入目标数字系统。

2. 多域协同攻击

一次完整的近源渗透，往往需要交叉利用物理安全域、无线网络域、终端安全域、人员管理域等多个安全域的防护漏洞。攻击者不会拘泥于单一技术路径，而是会根据现场情况灵活组合多种攻击手段。

3. 深度集成社会工程学

在近源渗透中，社会工程学并非辅助手段，而是核心攻击向量。攻击者需要通过伪装身份、获取目标信任、利用人性弱点，获得物理接触目标的机会。

4. 隐蔽性强

由于近源渗透发生在物理层面，传统网络安全监控设备（如NIDS、SIEM）通常无法感知到攻击的存在。攻击行为往往可以伪装成“正常物理访问”或“合法无线连接”，极难被检测和溯源。

5. 权限获取效率高

一旦攻击者在物理层面接入目标网络（如通过Rogue Device、网络接口插拔、Wi-Fi接入等），就可以直接绕过多层网络边界防护，快速进入内网核心区域。

1.3 近源渗透与传统渗透测试的关系

| | | |
| — | — | — |
| 维度 | 远程网络渗透 | 近源渗透 |
| 攻击发起位置 | 互联网/远程 | 物理接近目标 |
| 主要攻击面 | Web应用、网络服务、漏洞利用 | 物理设施、无线网络、人员、外设 |
| 边界防护穿越 | 需突破防火墙、WAF等 | 绕过或绕行网络边界 |
| 检测难度 | 中等（有网络日志） | 高（物理行为难记录） |
| 技能要求 | 漏洞挖掘、exploit开发 | 社工、硬件、无线、网络综合 |
| 授权范围 | 网络与应用层 | 物理+网络+人员，需更广授权 |

近源渗透并非对远程渗透的替代，而是对传统渗透测试的重要补充。在实战攻防演练中，红队通常会结合使用远程渗透与近源渗透，构建起多维度的立体攻击体系。

第二章近源渗透的成因与动因

2.1 为什么会有近源渗透

近源渗透作为一种攻击形态，其存在有着深刻的技术与组织根源，理解这些根源，是构建有效防御体系的前提。

2.1.1 安全边界外移导致的物理面暴露

随着企业数字化转型推进，IT基础设施的物理覆盖范围大幅扩张，办公场所中部署了大量物联网设备，包括智能门禁、智能灯光、环境传感器，此外还有无线接入点、自助终端、会议室投屏设备等。每一个新增的物理接入点，都对应着一个潜在攻击面。在物理攻击面持续扩张的背景下，传统“内网即安全”的假设已经不再成立。

2.1.2 物理安全与信息安全的”管理割裂”

在大多数组织内，物理安全，包括门禁、监控、安保巡逻，由行政部门或安全保卫部门负责管理，信息安全则由IT或安全部门管理。两个部门之间缺乏协同联动机制：安保人员不了解单位信息资产的风险等级，信息安全团队不清楚物理层面存在哪些安全漏洞。攻击者正是利用这一管理缝隙发动跨域攻击。

2.1.3 网络边界防护的”马奇诺防线”效应

组织投入大量资源搭建网络边界防护体系，使得远程攻击的实施成本显著上升，攻击者自然会转而寻找防御更为薄弱的物理路径。这就像二战中马奇诺防线被德军迂回绕过一样，再坚固的网络边界，也无法阻挡从物理世界切入的攻击者。当正面突破的成本过高时，近源渗透就成了“性价比”最高的攻击路径。

2.1.4 人员安全意识的薄弱环节

无论技术防护体系建设得多么完善，人始终是安全链条中最脆弱的一环。门禁尾随、随意插拔不明USB设备、随意丢弃敏感文件、对陌生人放松警惕过度信任，这些行为都为近源渗透提供了大量低成本的入侵入口。攻击者不需要掌握复杂的技术手段，只需要一个能获得信任的“理由”，抓住一个被忽视的“机会”就能得手。

2.1.5 红队评估与合规驱动

从建设性角度来看，近源渗透测试已经成为评估组织真实安全态势的重要手段。等保2.0、《数据安全法》、《关键信息基础设施保护条例》等法规和标准，都对物理安全提出了明确要求。通过近源渗透测试排查物理与逻辑层面的安全缝隙，已经成为安全评估的必备环节。

2.2 近源渗透的攻击面演进

近源渗透的攻击面，正随着技术的发展不断扩展：

• 第一代（21世纪初）：攻击方式以物理闯入、垃圾桶翻找（dumpster diving）、USB投放为主，技术门槛低但攻击效果显著。
• 第二代（2010年代）：引入了无线攻击（Wi-Fi中间人攻击、蓝牙攻击）、RFID/NFC克隆、BadUSB硬件植入等手段，攻击复杂度得到显著提升。
• 第三代（2020年代）：融合了AI伪装（利用深度伪造语音/视频开展社会工程学攻击）、智能设备利用（借助IoT设备漏洞入侵）、云-边-端协同攻击、供应链近源植入等高级手法，攻击面与攻击链持续延伸拓展。

把握攻击面的演进趋势，有助于安全团队提前部署前瞻性防御措施。

第三章近源渗透的实施方法论

本章将从攻击者视角，系统阐述近源渗透的完整实施流程，全程共分为三个阶段：目标勘察与信息收集、权限获取与持久化驻留、后渗透处理。该流程既是红队开展近源渗透的标准作业程序（SOP），也是蓝队梳理攻击逻辑、部署防御措施的参考框架。

3.1 阶段一：目标勘察与信息收集

目标勘察是近源渗透的基础阶段，其成果直接决定了后续攻击路径的可行性与攻击成功率。攻击者需要结合“线上”与“线下”两类渠道开展信息收集，以此构建出目标的全维度情报画像。

3.1.1 线上信息收集

OSINT（开源情报）收集

攻击者可利用公开信息源，构建目标的组织架构、物理位置、人员信息与技术栈画像：

1. 企业公开信息：通过天眼查、企查查、SEC EDGAR等平台获取目标企业的办公地址、分支机构、关联公司信息。

• 2. 社交媒体情报：通过LinkedIn、脉脉、微博等平台收集目标员工信息，涵盖职位、部门、工作习惯、技术栈偏好。员工发布的带有工牌照片、办公环境的社交媒体帖子，可能直接暴露门禁类型、内部布局、设备型号等敏感信息。

1. 招聘信息：从JD（职位描述）标注的技术栈，可以推断目标企业的内部IT架构，例如提及“熟悉Cisco网络设备”，即暗示企业使用Cisco网络基础设施。

2. 技术资产信息：通过DNS记录、SSL证书透明日志、Shodan、Censys等平台，收集目标对外暴露的IP、服务、设备指纹信息。其中Shodan支持搜索特定地理坐标范围内的联网设备，可辅助定位物理目标。

3. 泄露数据：暗网的泄露数据、Pastebin等平台中，可能留存目标的内部文档、账号凭证信息。

无线信号遥感侦察

在接近目标前，攻击者可通过无线信号扫描完成远程勘察：

1. Wi-Fi信号分析：使用定向天线从目标建筑外部扫描Wi-Fi信号，识别SSID命名规则、加密方式（WPA2/WPA3/开放网络）、信号强度分布。扫描发现的开放或弱加密热点，可直接作为近源渗透的接入入口。

2. 蓝牙设备发现：扫描目标区域内的蓝牙设备（BLE beacon、智能门锁、各类智能设备），记录设备类型与MAC地址，为后续攻击做准备。

3. 无线频谱分析：识别目标场景内使用的无线通信频段（如433MHz无线门禁、Zigbee智能家居、LoRa物联网设备），为开展针对性攻击做准备。

3.1.2 线下物理勘察

现场踩点

攻击者在目标物理位置开展实地观察与信息记录：

• 出入口与门禁系统勘察：排查所有出入口的位置、门禁类型（刷卡/人脸/指纹/二维码）、安保人员配置与巡逻规律、监控摄像头的覆盖范围与盲区。可通过拍摄照片识别并记录门禁品牌型号，为后续查找漏洞或准备克隆方案提供支撑。
• 办公环境观察：观察员工着装规范、工牌佩戴要求、访客管理制度、快递与外卖投递流程，这些信息可为后续伪装身份提供参考依据。
• 网络接口发现：识别建筑外墙、停车场、公共区域布设的网络接口（如外露的以太网口、弱电井、光纤终端盒），其中会议室外露的网络接口是具备高价值的近源接入点。
• 废弃物观察：观察目标企业的垃圾处理流程与方式，排查是否存在可能被随意丢弃的涉密文件、硬盘、USB设备、IT设备包装箱，这类物品可暴露目标的设备型号等敏感信息。

Dumpster Diving（垃圾桶潜水）

在获得合法授权的范围内，对目标丢弃的废弃物进行检索：

• 纸质文件中可能包含网络拓扑图、IP地址分配表、系统配置信息、密码记录等敏感内容；
• 废弃硬件（硬盘、U盘、手机）中可能残留未被彻底清除的内部数据；
• IT设备包装箱会直接暴露企业的设备采购型号，辅助攻击者推断目标的内部设备清单。

3.1.3 情报整合与攻击路径规划

攻击者将线上与线下收集到的信息整合为目标情报矩阵，规划出多条候选攻击路径；随后对每条路径的可行性、攻击成本、暴露风险（被发现概率）逐一评估，最终选择最优路径作为主攻方向，同时预先准备好备用方案。

3.2 阶段二：权限获取与持久化驻留

在完成目标勘察后，攻击者进入权限获取阶段，本阶段的目标是在目标环境中建立”初始立足点”并确保获得持久访问能力。

3.2.1 物理接入获取

伪装身份进入

基于勘察阶段获取的信息，攻击者可伪装为合法身份进入目标场所：

• 外包服务人员伪装：将身份伪装成IT运维、保洁、快递、设备维修等外包服务人员，这类身份通常拥有较高物理访问权限，更易获得安保人员的信任。
• 访客伪装：利用目标企业访客管理制度的漏洞，以面试者、供应商、合作伙伴身份登记进入，部分企业访客管理松散，人员登记后即可在场所内自由活动。
• 尾随（Tailgating）：在合法人员刷卡开门时紧随其后进入，利用多数员工”礼貌开门”或”不会主动质询陌生人”的心理实现闯入。

门禁系统绕过

• RFID/NFC卡克隆：使用Proxmark3、Flipper Zero等工具读取并克隆低频（125kHz）或高频（13.56MHz）门禁卡，可在勘察阶段近距离读取员工门禁卡信号（部分卡片可在1-2米距离完成读取），随后将读取的信息写入空白门禁卡即可。
• 门禁系统漏洞利用：部分老旧门禁系统存在固件漏洞、默认密码、管理接口未授权访问等问题，可通过网络或物理方式完成利用。
• 应急门与消防通道：部分建筑的应急门、消防通道可从外部直接打开，或存在门禁控制薄弱点，可被直接利用。

网络物理接入

成功进入物理空间后，攻击者会尝试获取目标网络的接入权限：

• 网络接口直连：在会议室、空闲工位、公共区域寻找可用以太网接口直接接入，若该接口归属内网VLAN且未开启802.1X认证，攻击者即可直接获得内网访问权限。
• Rogue Device部署：在目标网络中植入小型无线接入设备（如Pineapple、隐藏Wi-Fi中继器），将有线网络转化为无线信号供外部攻击者使用；这类设备体积小巧，可隐藏在天花板、桌下、弱电井等不易被发现的位置。
• Dropbox/Bash Bunny部署：在目标终端插入恶意USB设备（如Hak5 LAN Turtle、USB Rubber Ducky），执行预置的攻击载荷，建立反弹Shell或植入后门程序。

3.2.2 无线攻击接入

Wi-Fi中间人攻击

• Evil Twin（孪生恶意接入点）：部署与目标合法Wi-Fi同名的接入点，诱骗目标终端自动连接；还可结合信号压制（deauth攻击）强制客户端断开合法AP，转而连接到恶意AP，以此实施中间人攻击。
• Karma攻击：恶意AP响应所有探测请求，将自身伪装成客户端请求的任意SSID，以此诱导客户端连接。

无线凭证窃取

•在公共区域或目标场地周边部署“Wi-Fi钓鱼”热点，仿冒目标企业的Wi-Fi登录页面，收集员工输入的域账号凭证；也可利用WPS PIN漏洞（如Pixie Dust攻击）破解目标路由器的Wi-Fi密码。

3.2.3 社会工程学攻击

人员诱导

• pretexting（托辞攻击）：攻击者编造可信场景，例如“IT部门系统升级需要检查您的电脑”“外包网络巡检”，诱导员工配合，从而获得物理接触权限或敏感信息。
• Shoulder Surfing（肩窥偷窥）：攻击者在咖啡厅、吸烟区等公共场所，暗中观察员工输入密码、查看敏感信息的操作，窃取相关内容。
• USB投放：攻击者在目标场所“遗落”提前制备好的恶意USB设备，例如标注“2024薪资调整”字样的U盘，利用员工的好奇心完成恶意程序植入。

3.2.4 权限持久化驻留

获取初始权限后，攻击者需要维持稳定的持久访问能力，防止权限丢失或攻击行为被发现：

网络层持久化

• Rogue Device长期潜伏：植入的无线中继设备或微型后门设备长期隐藏在目标物理环境中，定期回连C2服务器；可将设备配置为低功耗模式、定时唤醒，以此降低被发现的概率。
• VPN/隧道建立：在目标内网建立到外部C2服务器的加密隧道（如ICMP隧道、DNS隧道、HTTPS隧道），绕过出站防火墙的访问控制策略。
• 网络设备后门：若获得获得交换机、路由器等网络设备的访问权限，可植入配置后门，如创建隐藏账户、修改ACL权限、修改SNMP community string。

终端层持久化

• 恶意服务/计划任务：在目标终端植入恶意Windows服务、Linux cron job或注册表自启动项，维持自启动能力。
• Web Shell / 反弹Shell：在目标服务器上部署Web Shell，建立长期可用的命令执行通道。
• 硬件植入：在目标终端的USB接口或内部接口植入硬件后门设备（如恶意键盘记录器），即使软件后门被清除，攻击者仍可重新获取访问权限。

凭据持久化

• 密码/Hash抓取：利用Mimikatz等工具抓取内存中的明文密码或NTLM Hash，用于后续横向移动和持久访问。
• Kerberos票据伪造：在域环境中通过Kerberoasting或Golden Ticket攻击，生成可长期使用的Kerberos票据。
• SSO令牌窃取：窃取OA系统、VPN、云平台的SSO Token或Session Cookie，实现免密码长期访问。

3.3 阶段三：后渗透处理

后渗透（Post-Exploitation）阶段是近源渗透实现攻击价值的核心环节。攻击者稳固立足点后，需要在内网中完成移动、提权、数据窃取并安全撤离。

3.3.1 内网横向移动

网络拓扑发现

• 扫描内网网段，识别存活主机、开放端口与运行服务。
• 借助ARP缓存、路由表、DNS缓存信息推断网络拓扑结构。
• 识别域控、文件服务器、数据库服务器、堡垒机等高价值目标。

横向移动技术

• Pass-the-Hash / Pass-the-Ticket：利用已获取的凭据Hash或Kerberos票据在主机间完成横向移动，无需获取明文密码。
• 远程执行：利用WMI、PsExec、SCHtasks、WinRM等远程执行技术，在目标主机上执行攻击命令。
• 漏洞利用：利用内网中未修复的系统漏洞（如MS17-010永恒之蓝、PrintNightmare等）完成横向传播。
• 信任关系利用：利用域信任关系、跨域权限配置实现跨域/跨林移动。

3.3.2 权限提升

• 本地提权：利用操作系统内核漏洞、服务配置错误、DLL劫持、计划任务配置不当等漏洞，实现从普通用户权限到SYSTEM/Root权限的提升。
• 域内提权：利用域内配置问题（如ACL过度授权、委派配置不当、Exchange Server漏洞），实现从普通域用户权限到Domain Admin权限的提升。
• 零信任绕过：在已部署零信任架构的环境中，利用身份伪装、令牌窃取、策略配置缺陷，绕过零信任的持续验证机制。

3.3.3 数据获取与证据收集

• 目标数据定位：根据渗透测试的授权范围，定位敏感数据的存储位置，包括数据库、文件服务器、NAS、云存储等。
• 数据采集：在授权范围内采集证据数据，涵盖数据库导出内容、配置文件截图、权限验证截图等。
• 证据链保存：对渗透测试的全过程进行完整记录，包括时间线、操作步骤、工具使用情况、影响范围，确保证据链完整可审计。

3.3.4 痕迹清理与撤离

• 日志清理：授权测试结束后，需要清理攻击过程中产生的安全日志、系统日志与应用日志。注：该操作在真实攻击中是攻击者的隐匿手段，在合法渗透测试中属于恢复测试环境的必要要求。
• 后门清除：移除所有植入的后门、Rogue Device、恶意服务，将目标环境恢复至测试前的初始状态。
• 物理设备回收：回收所有部署在目标环境中的物理设备，避免设备遗留引发安全问题。
• 撤离报告：完成撤离工作后，向甲方提交完整的渗透测试报告，内容涵盖发现的安全问题、漏洞利用路径、风险评级与修复建议。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：小安伴你行 小安伴你行
小安伴你行《深度剖析：近源渗透技术（上）》