从踩坑到拿下的完整心路历程
说真的，第一次接触硬核父域子域靶机实操的时候，我整个人是懵的，那会儿满脑子问号：父域和子域到底怎么联动？靶机的入口在哪？权限怎么一步步提上去的？今天就把我这段时间摸爬滚打的经验，原原本本掏出来跟你唠唠，保证都是实打实的干货,不是那种念PPT的废话。
先搞明白：父域子域靶机实操到底在练什么？
哎，先别急着上手敲命令，我一开始就是太心急，直接开扫，结果扫了一堆端口也不知道重点在哪，白白浪费俩小时，后来才想明白，硬核父域子域靶机实操的核心，其实是模拟真实企业环境里父子域信任关系下的横向移动链路，父域控全局，子域有自己的一套账，两者之间有信任通道——这个信任通道,就是咱们要死磕的突破口。
你想啊，真实攻防里，拿下子域往往只是开始，真正的目标是借信任关系摸到父域去，靶机就是把这套逻辑浓缩了让你反复练，所以心态上别把它当"打一台机器"，要当成"打一个域森林"，格局一下就打开了,对吧？
信息收集阶段：别嫌烦，这一步偷懒后面全是坑
我做父域子域靶机实操第一遍的时候，信息收集做得稀烂，导致后面拿到的凭证不知道往哪用，尴尬得要死,第二遍我学乖了：
- 先摸清域结构：用
nltest /domain_trusts或者 PowerView 把父子域的信任关系列清楚，谁是父、谁是子、信任方向是单向还是双向,这个必须门儿清。 - DNS 是关键：父域子域的 DNS 解析经常是突破口，
nslookup多试试，看看能不能从子域 DNS 泄露父域信息。 - 用户和组枚举：别只盯着域管，普通用户、服务账号往往才是软柿子。
BloodHound跑一遍，攻击路径图一出来，那感觉，啧,豁然开朗。
说句掏心窝的话，信息收集阶段多花一小时，后面能省你三小时,这买卖太划算了。
子域突破口：从一台普通机器开始爬
硬核父域子域靶机实操里，子域入口通常是一台看似不起眼的成员机，我那次是从一个弱口令的服务的账号切进去的，当时那个激动啊，手都在抖（别笑，新手都这样）。
进去之后别浪，先做本地信息收集：whoami /all、查本地管理员组、翻翻有没有存凭证的文件，然后用 Mimikatz 或者 Rubeus 看看能不能抓到票据，这里提醒一句，父域子域靶机实操里 Kerberoasting 特别好使——子域里那些 SPN 账号,爆破出来往往能直接给你一个域内立足点。
拿到子域普通域用户后，下一步就是往子域控爬，这时候 BloodHound 的路径就派上用场了，照着最短路径走，别自己瞎猜，我当时是靠一个 ACL 配置失误（对，就是那种"给普通用户对某 OU 有 GenericAll 权限"的经典坑）一步步把子域控拿下的，那一刻真的想喊出来：成了！
重头戏来了：借信任关系打穿到父域
好，子域控到手，很多人到这就停了，但硬核父域子域靶机实操的精髓恰恰在下一步——跨域攻击。
关键知识点敲黑板：子域控上能拿到信任密钥（inter-realm trust key），用 Mimikatz 的 lsadump::trust 就能导出，拿到之后配合 asktgt 请求父域的银票，这一步操作对了，父域的大门就对你敞开了，我第一次做的时候卡在这儿好久，原因是没搞清信任方向，白折腾半天,气得我直拍桌子。
还有个小技巧：如果信任是双向的，子域管可以直接在父域里枚举；单向的话就得靠伪造票据，别问我怎么知道的,都是泪。
进了父域之后，套路就熟悉了——重复枚举、找路径、提权，但注意父域的防护通常更严，操作要更谨慎，别一进去就大动作触发告警（虽然是靶机，但养成好习惯嘛）。
几个让我印象深刻的坑，替你踩过了
- 时间同步：Kerberos 对时间敏感，靶机环境时间差几分钟票据就废了,记得校准。
- 票据缓存清理：做完一步记得
klist purge，不然旧票据干扰新操作,能把你整崩溃。 - 别忽视日志：靶机练习时多看看事件日志，理解防御方视角，这才是硬核父域子域靶机实操真正值钱的地方。
写在最后
说实话，这套硬核父域子域靶机实操我反反复复练了不下五遍，每遍都有新收获，它难吗？难，但那种从子域一路摸到父域、把整条信任链打穿的爽感，真的会上瘾，如果你也在练这块，别怕慢，一步一步来，坑踩多了自然就通了，有问题欢迎一起交流，咱们互相扶着往前走,对吧？
加油,下一个拿下父域的就是你！