内网安全——基础命令

判断是否出网

#TCP/HTTP出网： 
powershell curl http://baidu.com
#DNS出网： 
nslookup baidu.com
#ICMP出网： 
ping baidu.com、tracert baidu.com

判断域环境

查看网卡 如果存在主dns后缀则很有可能存在域

ipconfig /all

系统信息内会包含域 没域会显示WORDGROUP

systeminfo | findstr "域:"
systeminfo | findstr "Domain:"

查看网络配置 没域会显示WORDGROUP

net config workstation

通过时间查看

net time /domain

查看域控机器名称

nltest /dclist:de1ay

可以看到启动进程的用户 可能有域用户

tasklist /v

查看主机详情

查看软件、版本

wmic product get name,version

看进程

tasklist /svc

查看域用户

net user /domain

查看防火墙配置

netsh firewall show config

查看域用户详情

net user name /domain

查看开机信息

net statistics workstation

查看计划任务

schtasks /query /fo list /v

查看域控主机名

net share

nltest /DCLIST:域名
nslookup -type=SRV _ladp._tcp

查询在线用户

query user || qwinsta

查看分享情况

net share

windows 2003之前的版本关闭防火墙

netsh firewall set opmode disable

win2003之后的版本关闭防火墙

netsh advfirewall set allprofiles state off

查看防火墙配置

netsh firewall show config

netsh firewall show config

2003及之前的版本,允许指定的程序进行全部的连接

netsh firewall add allowedprogram c:\nc.exe "allownc" enable

2003之后的版本,允许指定的程序进行全部的连接

netsh advfirewall firewall add rule name="pass nc"dir=in action=allow program="C:\nc.exe"

允许指定程序退出

netsh advfirewall firewall add rule name="Allownc" dir=out action=allow program="C: \nc.exe"

查看远程桌面是否开启

REG QUERY "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections  #1关闭, 0开启 
tasklist /svc | find "TermService"    # 找到对应服务进程的 PID   
netstat -ano | find "3389"    # 找到进程对应的端口号

开启远程桌面服务并放行

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow

其他系统开启3389端口

1、在2003机器上

wmic path win32_terminalservicesetting where (_CLASS !="") call setallowtsconnections 1
2、在server2008和server 2012
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t
REG_DWORD /d 00000000 /f
#开启
REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t
REG_DWORD /d 11111111 /f
#关闭

查看当前保存的登录凭证

cmdkey /l

查看最近打开的文档

dir %APPDATA%\Microsoft\Windows\Recent

域环境信息收集

通过这条命令我们能够拿到当前域用户的SID(在域中并不是通过用户名来确认你的身份，而是通过SID)

whoami /all

查询域管

net group "Domain Admins" /domain
net group
net group "Domain Computers" /domain //域内机器
net group "Domain Controllers" /domain //域控制器
net group "Domain Users" /domain //域用户
net group /domain //查看域中的所有组

查询域内时间 执行计划任务时会用到

net localgroup administrators /domain

查看主域控器

netdom query pdc

查看域信任的信息 为什么要查看域信任信息呢？因为在内网域中存在很多域，例如子域或者主域

nltest /domain_trusts

查看密码策略

net accounts /domain

域内用户查询

net user /domain
wmic useraccount get /all
dsquery user
net localgroup administrators   #查看是否有域用户组
net group ""domian admins