后信息收集

三个方向
具体信息 操作 作用

系统信息

系统程序：系统版本，安装补丁 net config workstation/server
查询简易系统信息
system 查询全部内容
wmic qfe get caption,description,hotfixid,installedon 查询已安装的补丁列表

进程服务 tasklist /v 查询正在运行的进程

wmic product get name,version	查询所有安装过的软件及版本	
wmic service list brief	查询当前机器的服务信息	
wmic startup get command,caption 	查看启动项	
schtasks  /query  /fo  LIST /v 	查看任务计划	

防火墙及特殊规则 netsh firewall show config 查看防火墙信息，advfirewall/firewall

netsh advfirewall firewall show rule name=all	查看配置规则	
netsh advfirewall set allprofiles state off\on	关闭防火墙\开启防火墙	
netsh advfirewall export\import xx.pol 	导出\导入配置文件	
netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow 	新建规则允许3389通过防火墙	
netsh advfirewall firewall delete rule name=Remote Desktop	删除名为Remote Desktop的规则

用户信息 whoami 当前用户

quser  /query user/qwinsta	查询登录用户	
query session	 查询会话	
query termserver  	查询远程桌面主机列表。	
net accounts	查询域密码策略	
net user	查询本地用户列表	
net user "$username"	查询指定用户	
net localgroup 	查询本地用户组列表	
net localgroup "$groupname"	查询指定用户组成员	
net group	仅域控可执行，查询用户组列表	
net group "$groupname"  	仅域控可执行，查询用户组成员  

操作记录 Get-History | Format-List -Property * 查询 powershell 当前窗口历史操作记录

Clear-History	删除 powershell 当前窗口历史操作记录	
Clear-History -Id 3  	删除 powershell 当前窗口指定 ID 的历史操作记录	
doskey /h 	查看 cmd 的历史操作记录	
doskey /reinstall  	删除cmd的历史操作记录	

网络发现 基本信息收集

ipconfig /all	 列出当前主机详细网络信息	
ipconfig  /displaydns	列出dns缓存信息	
route print  	查询路由表	
arp -a	地址解析协议缓存表	
netstat -ano	端口使用情况	
net share	查看共享信息	
net view	查看共享资源列表	
wmic share get name,path,status	查看共享信息

type  c:\Windows\system32\drivers\etc\hosts 	查看hosts文件	

域信息查询 基本信息收集（域信息收集，需要当前用户为域用户） net config workstation 查询当前登录域

net time  	同步时间，通常为域控服务器	
net accounts /domain 	查询域密码策略	
net user /domain  	列出当前域成员列表	
net user username /domain	列出域成员详细信息	
net group /domain 	列出域内组列表	
net group groupname /domain	列出域内组成员列表	
net view	查询同一域内机器列表	
net view /domain  	查询域列表	
net view /domain:test	查询 test 域中计算机列表	
nltest /dclist:domain  	查询域内的所有DC	
nltest /dsgetdc:domain 	拿到DC当前的认证信息	
nltest /domain_trusts 	查询域信任信息	
nltest /user:"username"   	 得到用户信息