内网信息收集学习笔记
信息收集概述:
首先对当前网络环境进行判断:
1.对当前机器角色进行判断;
2.对当前机器所处网络环境的拓扑结构进行分析和判断;
3.对机器所处环境进行判断;
收集本机信息
查询网络配置信息:ipconfig -all
查询操作系统及软件信息:
操作系统及版本信息:
systeminfo | findstr /B /C:"OS 名称" /C:"OS 版本"
systeminfo | findstr /B /C:"OS Name" /C:"OS Version"
查看系统体系结构 :
echo %processor_architecture%
查看安装的软件,版本和路径:
wmic product get name,version
查询本机服务:
wmic service list brief
查看进程:
tasklist:
wmic service list brief
查看启动程序信息::
wmic startup get command,caption
查看计划任务:
schtasks /query /fo list /v
获取本地管理员信息:
net localgroup administrators
查看当在线用户:
query user || qwinsta
查询端口列表:
netstat -an
查看系统详细信息:
systeminfo 注意系统的版本 ,位数,域,补丁信息,更新频率等;
查看系统补丁:
wmic qfe get caption,description,hotfixid,installedon
查看本机共享列表:
net share
wmic share get name,path,status
查看路由表和可用接口ARP缓存:
route print
arp -a
防火墙相关配置:
查看防火墙配置:netsh firewall show config
关闭防护墙:
win2003以前: netsh firewall set opmode disable
win2003以后: netsh advfirewall set allprofiles state off
修改防火墙配置允许制定程序连接:
win2003以前:netsh firewall add allowedprogram c: \nc.exe “allow nc ” enable
win2003以后:netsh advfirewall firewall add rule name="pass nc" dir=in action=allow program="C: \nc.exe"
允许指定程序退出:netsh advfirewall firewall add rule name ="allow nc" dir=out action=allow program="C:\nc.exe"
允许3389端口放行:netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow
开启3389：REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
关闭3389：REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 11111111 /f
自定义防火墙存储:
netsh advfirewall set currentprofile logging filename
“C:\windows\temp\fw.log”
查看1080端口的代理配置信息:reg query "HEHY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Internet Settings"
查看当前用户权限:whoami
查看域SID: whoami /all
查看指定用户信息: net user xxx/domain;
判断是否存在域(看是否存在一个网段):ipconfig /all
查看系统详细信息:systeminfo
查看当前域与登录用户信息:net config workstation
判断主域:(域服务器通常会作为时间服务器使用):net time /domain
探测域内存活主机: (nbtscan)
利用 ICMP协议探测 : for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.1.%I |findstr "TTL="
empire中的ARP模块：使用usemodule situational_awareness/network/arpscan
Nishang 的Invoke-ARPScan.ps1脚本： powershell.exe -exec bypass -command “& {import-module C:\windows\temp\Invoke-arpscan.ps1; invoke-arpscan -cidr 192.168.1.0/20}” >> C:\windows\temp\log.txt
利用Scanline 扫描TCP/UDP端口扫描内网： scanline -h -t 22,80-89,110,445 -u 53,161,137 -O C:\windows\temp\log.txt -p 192.168.102.1-254 /b
扫描域内端口需要关注以下几点：
端口的Banner服务；端口上运行的服务；常见应用的默认端口；
利用telnet进行扫描:Telnet 192.168.102.8 2
metasploit端口扫描器：使用auxiliary/scanner/portscan/tcp模块
use auxiliary/scanner/portscan/tcp
set ports 1-1024
set rhosts 192.168.102.8
set threads 10
run
收集域内基本信息 ：
查询域： net view /doamin
如果存在域，查看域内所有计算机： net view /domain:hacke
查询域内所有用户列表：net group /domain
系统自带用户身份列表：
domain admins:域管理员
domain computers:域内机器
domain controllers:域控制器
domain guest:域访客
domain user:域用户
enterprise admins:企业系统管理员用户
普通情况下，domain admins和enterprise admins对域内所有的域控制器 有完全控制权限
查询域成员所有计算机列表：
net group “domain computers”/domain
获取域密码信息：
net accounts /domain
获取域信任信息：
nltest /domain_trusts
查找域控制器：
查看预控机器名：nltest /DCLIST:name /netdom query pdc
查看预控主机名：nslookup -type=SRV _ldap.tcp
查看当前时间：net time /domain
查看预控组：net group “domain controllers” /domain
预控一般有两台：有一台备用；
获取域内用户和管理员信息：
查询所有域用户列表：net user /domain
获取域内用户的详细信息：wmic useraccount get /all
查询在线用户：dsquery user
查询本地本地管理员组用户：net localgroup admintrators
查询域管理员用户：net group "domain admins" /domain
查询管理员用户组：net group "enterprise admins" /domain
域管理员定位工具：
在windows上 可以用net sessionchakan 谁用了本机资源，但是查不出来谁在使用远程计算机资源，或者谁登录了远程计算机；
1.psloggedon.exe: psloggedon \domainname同样需要管理员权限；
原理是：通过注册表的HKEY_USER的key值来查询；
2.PVEFindADUser.exe查找活动目录用户的登录的位置，枚举域用户，查找特定计算计算机上登录的用户；
条件：管理员权限；NET Framework2.0环境；
PVEFindADUser.exe -current：显示所有域内计算机
3.netview.exe枚举用户，能够寻找登录会话，寻找共享，枚举登录的用户，大部分都不用管理员权限；
4.Nmap的NSE脚本
smb-enum-domains.nse 对域控进行信息收集，获取主机信息，用户，使用密码策略的用户 ；
smb-enum-users.nse 拿到了域内某台主机的权限，但是权限有限，可以用这个脚本对预控进行扫描；
smb-enum-shares.nse便利远程主机的共享目录；
smb-enum-processes.nse对进程进行遍历；
smb-enum-session.nse获取域内主机的登录会话，查看是否有用户登录；
smb-enum-discovery.nse收集 目标主机的OS information,计算机名，域名，域林名称，NetBIOS机器名，工作组，系统时间；
5.PowerView脚本
powershell.exe -exec bypass -command “& {
import-module C:\powerview.ps1;Invoke-UserHunter}”接受用户名，用户列表，和域组列表 ；
powershell.exe -exec bypass -command “& {
import-module C:\powerview.ps1;Invoke-StealthUserHunter}”获取域内所有的用户；
获取域管理员列表 ：net group “domain admins” /domain
列出本机所有进程及进程用户：tasklist /v
查看域控列表：net group “domain controllers” /domain
所有活动域的会话列表（netsess.exe列表 ）：netsess -h
利用powershell收集信息;
要想执行脚本需要修改配置 ：
set-executionpolicy unrestricted
导入模块：
powerview:
获取域内大部分信息
