Плохой случай:

Можно испльзовать RAdmin. Незнаю как у других, но у него есть функция, при которой сервер выполняет роль моста. Т.е. тебе нужно засунуть его на сам NAT и жертве.

Минусы: на NAT ты его хрен засунешь, если он не совсем распздяйский.

Случай чуть лучше:

Сработает только если админ распиздяй и не закрыл на NAT передачу во внутрь сети. В таком случае тебе просто нужно указать в своей таблице маршрутов, какая сеть и через что она доступна.
Например: жертва находится в сети и имеет адресс 10.1.1.10 255.255.255.0
В таком случае тебе нужно узнать IP-адресс шлюза, через который сеть доступна, соответственно это NAT. Думаю это труда не составит (как пример возьмём 195.10.115.202). После чего в командной строке (в случае с вендой) добавляем статичесткий маршрут: route add 10.1.1.0 mask 255.255.255.0 195.10.115.202

Оба случая бозируются на не очень хорошем адинистраторе. К сожалению.