💡 什麼是橫向移動（Lateral Movement）與跳板（Pivoting）？
在之前的靶機實戰中，我們大部分的焦點都集中在單一台 Web 伺服器（DMZ 區）的攻防。但在真實企業的資安維運（SOC / Red Team）環境中，這台外網可存取的 Web 伺服器往往只是一座「橋頭堡」。

當攻擊者成功拿到這台 Web 伺服器的權限後，下一步通常會以這台機器作為跳板（Pivot Point），向企業內部的封閉網路（LAN）發動攻擊與滲透，這個過程就稱為 Pivoting（跳板轉向 / 內網穿透），也是後滲透階段（Post-Exploitation）非常關鍵的核心技能。

🗺️ Pivoting 攻擊的三大核心觀念與工具
當你站穩外網主機後，會發現內網的其他機器（例如網域控制站 Domain Controller、資料庫伺服器 DB Server）是無法直接從外網連接到的。這時需要透過以下技術打通通道：

1. 端口轉發（Port Forwarding）與 SSH 隧道（SSH Tunneling）
   原理： 利用已經被控制的外網主機（具備雙網卡，同時接外網與內網），將攻擊者本地的流量透過加密通道「轉發」到內網目標機器的特定 Port 上。

經典工具與指令（SSH Local Port Forwarding）：

Bash
ssh -L 8080:192.168.1.100:80 user@pivot-machine-ip
這行指令的意思是：將攻擊者本地的 8080 通訊埠，透過 pivot-machine 轉發到內網 192.168.1.100 的 80 通訊埠。

2. SOCKS 代理（SOCKS Proxying）與 Chisel / Ligolo-ng
   原理： 當內網目標不只一台或需要進行全網段掃描時，單一 Port 轉發效率太低。這時會建立 SOCKS5 代理，讓攻擊者所有的工具（如 Nmap、Burp Suite、Metasploit）都能直接透過代理存取整個內網網段。

常用現代工具：

Chisel： 基於 Go 語言開發的高效 TCP/UDP 隧道工具，能快速建立反向 SOCKS 代理。

Ligolo-ng： 新一代極速 Pivoting 工具，透過建立虛擬網卡（TUN Interface），讓你像直接連在目標內網一樣操作！

3. 動態代理調用工具：Proxychains
   在 Linux 攻擊機上，設定好 SOCKS 代理後，只要在任何指令前加上 proxychains，該指令的流量就會自動走隧道穿透進入內網：

Bash
proxychains nmap -sT -Pn 192.168.1.0/24
🛡️ 企業如何防範內網穿透與橫向移動？
落實網路區域微隔離（Network Micro-segmentation）： DMZ 區的 Web 伺服器嚴禁直接發起向核心內網（如 AD 網域主機或 DB）的連線，必須透過嚴格的防火牆 ACL 規則過濾。

監控異常的隧道流量： SOC 團隊應部署 NDR（網路威脅偵測）或 EDR 系統，監控內網是否有持續性的高頻 SSH/DNS/HTTP 隧道協定連線。

貫徹最小權限與零信任（Zero Trust）： 即使是內網之間的通訊，也必須實施強烈的身份驗證與授權機制。