1.1 信息收集

基本命令

• 主机名 hostname

• 查询所有计算机名称 dsquery computer

• 查看配置及补丁信息

  • systeminfo

  • wmic qfe get description,installedOn /format:csv

• 查看版本 ver

• 进程信息

  • tasklist /svc

  • wmic process get caption,executablepath,commandline /format:csv

  • get-process

• 查看所有环境变量 set

• 查看计划任务 schtasks /QUERY /fo LIST /v

• 查看安装驱动 DRIVERQUERY

• 查看操作系统信息

  • 架构 wmic os get osarchitecture

  • 系统名 wmic os get caption

• 查看逻辑盘 wmic logicaldisk get caption

• 查看安装的软件信息 wmic product get name,version

• 查看服务信息

  • wmic service list brief

  • sc query

  • Get-WmiObject win32_service | select PathName

域信息

• 获取当前组的计算机名 net view

• 网络发现 net view /all

• 查看所有域 net view /domain

• 域森林、域树信息

• 域信任信息 nltest /domain_trusts

• 定位域控 net time /domain

• 查看域中的用户名 dsquery user

• 查询域组名称 net group /domain

• 查询域管理员 net group "Domain Admins" /domain

• 域控信息

  • nltest /dclist:xx

  • Get-NetDomain

  • Get-NetDomainController

  • net group "Domain controllers"

• 组策略

用户信息

• 查看用户

  • net user

  • whoami / whoami /priv / whoami /all

  • wmic useraccount get /ALL /format:csv

• 用户特权信息 whoami /priv

• 查看当前权限 net localgroup administrators

• 查看在线用户 quser / qwinsta / query user

• 查看当前计算机名，全名，用户名，系统版本，工作 站域，登陆域 net config Workstation

• ACL 信息 get-acl

网络信息

• 内网网段信息

• 网卡信息 ipconfig

• 外网出口

• ARP表 arp -a

• 路由表 route print

• 监听的端口 netstat -ano

• 连接的端口

• 端口信息

  • Get-NetTCPConnection

• hosts文件

• 主备 DNS

• DNS缓存

  • ipconfig /displaydns

  • Get-CimInstance -Namespace root/StandardCimv2 -ClassName MSFT_DNSClientCache

• 探测出网情况

  • powershell -c "1..65535 | % {echo ((new-object Net.Sockets.TcpClient).Connect('allports.exposed',$_)) $_ } 2>$null"

防火墙

• 查看防火墙状态 netsh advfirewall show allprofiles

• 防火墙日志目录 netsh firewall show logging

• 防火墙规则 netsh advfirewall firewall show rule name=all

• netsh firewall show config

• netsh firewall show state

密码信息

• Windows RDP连接记录

• 浏览器中保存的账号密码

• 系统密码管理器中的各种密码

• 无人值守安装文件中的密码信息

  • C:\sysprep.inf

  • C:\sysprep\sysprep.xml

  • C:\Windows\Panther\Unattend\Unattended.xml

  • C:\Windows\Panther\Unattended.xml

票据信息

• cmdkey /l

• klist

• msf meterpreter

特殊文件

• 文档

  • xlsx / xls

  • docx / doc

  • pptx / ppt

  • vsdx / vsd

  • md / txt

• 压缩文件

  • zip / rar / 7z

• VPN配置

  • ovpn

• 代码

  • py / php / jsp / aspx / asp / sql

• 配置文件

  • conf / ini / xml

• 特定关键字

  • 账号 / 账户 / 登录 / login / user

  • 密码 / pass

  • 代码 / 文档 / 交接 / 备份 / git / svn

  • 邮箱 / 通讯录 / 集群 / 办公

  • 代理 / 内网 / VPN

  • 设备 / 资产

  • 系统 / 运维 / 拓扑 / 网络 / IT

  • 后台 / 管理员 / 数据库

  • 监控 / 隔离 / 防火墙 / 网闸 / 巡检

局域网存活主机

• NetBIOS扫描

• OXID扫描

其他

• 启用的共享文件夹

• 回收站

• 最近运行的命令

• 访问文件历史记录

• 查看补丁安装情况

  • wmic qfe get Caption,Description,HotFixID,InstalledOn

• 日志与事件信息

  • wevtutil

  • eventvwr

• 注册表信息

  • reg

• 安装的各类 agent 监控软件

• 安装的杀毒软件

• 查看/设置后缀关联

  • assoc

  • assoc .ext=example

• PowerShell 版本

• .Net 版本

• Wi-Fi 密码