Windows 判断是否存在域,搜集域内基本信息,查看域控制器

四、判断是否存在域

了解本机信息后，就要判断当前内网中是都存在域。

4.1 ipconfig

查看网关IP地址、DNS的ip地址、域名、本机是否和DNS服务器处于同一网段等信息。

ipconfig /all

然后用nslookup解析 域名的IP地址，查看是否与DNS服务器在同一IP上。

nslookup security.com

4.2 查看系统详细信息

systeminfo

从图可看到处于域 security.com

4.3 查看当前登录域及域用户

net config workstation

4.4 判断主域

net time /domain

五、搜集域内基本信息

5.1 查询域

net view /domain

5.2 查询域内所有计算机

net view /domain:SECURITY

5.3 查看域内所有用户组列表

net group /domain

• Domain Admins :  域管理员组
• Domain Computers : 域内机器
• Domain Controllers ：域控制器
• Domain Guest ： 域访客，权限较低
• Domain User ： 域用户
• Enterprise Admins ： 企业系统管理员用户

默认，Domain Admins 、Enterprise Admins 对域内机器有完全控制权。

5.4 查询所有域成员计算机列表

net group "domain computers" /doamin

5.5 获取域密码信息

net accounts /domain

5.6 获取域信任信息

nltest /doamin_trusts

六、查看域控制器

6.1 查看域控制器的机器名

nltest /DCLIST:security

# 有两 AD1   AD2

6.2 查看域控制器的主机名

nslookup -type=SRV_ldap_tcp

6.3 查看当前时间

net time /domain

6.4 查看域控制器组

net group "domain controllers" /domain

七、获取域内的用户和管理员信息

7.1 查询所有域用户列表

net user /domain

7.2 获取域内用户详细信息

wmic useraccount get /all

7.3 查看存在的用户

dsquery user

dsquery computer - 查找目录中的计算机。
dsquery contact - 查找目录中的联系人。
dsquery subnet - 查找目录中的子网。
dsquery group - 查找目录中的组。
dsquery ou - 查找目录中的组织单位。
dsquery site - 查找目录中的站点。
dsquery server - 查找目录中的域控制器。
dsquery user - 查找目录中的用户。
dsquery quota - 查找目录中的配额。
dsquery partition - 查找目录中的分区。
dsquery * - 用通用的 LDAP 查询查找目录中的任何对象。

7.4 查询本地管理员组用户

net localgroup administrators

八、查询域管理员用户组

8.1 查询域管理员用户

net group "domain admins" /domain

8.2 查询管理员用户组

net group "enterprise admins" /domain

九、定位域管理员

9.1 域管理员定位概述

内网中通常会有大量的网络安全系统和设备，IDS, IPS, 日志审计，安全网关，反病毒软件等。

在一个域中，当计算机加入域之后，会默认给域管理员组赋予本地系统管理员权限。因此，域管理员组的成员均可访问本地计算机，且具有完全控制权限。

定位域管理员渠道：

• 日志，本地机器管理员日志，使用脚本或者Wevtuil工具导出查看。
• 会话，域内每台机器的登录会话，netsess.exe, powerview 等工具查询。

9.2 常用域管理员定位权限

9.2.1 psloggedon.exe

net session 可查看谁使用了本机资源，但不能查看谁在使用远程计算机资源、谁登录了本地或远程计算机

下载链接

9.2.2 PVEFindADUser.exe

用于查找活动目录用户登录的位置、枚举域用户，以及查找在特定计算机上登录的用户，包括本地用户、通过RDP登录用户、用于运行服务器和计划任务的用户。

需管理员权限。

[下载地址]()

9.2.3 netview.exe

枚举工具。

下载链接

9.2.4 Nmap的NSE脚本

下载链接·

9.2.5 powerview脚本

下载链接

9.2.6 Empire 的 user_hunter 模块

十、查找与管理进程

典型域提权： 明文凭据或通过 mimikatz 提权。

10.1 本机检查

• 获取域管理员列表

  net group "domain admins" /domain

• 列出本机所有进程及进程用户

  tasklist /v

• 寻找域控制器的域用户会话

  原理：在域控制器中查询域会话列表，并将其与域管理员列表交叉引用，从而得到与管理会话的系统列表。

  NetSess -h(netsess.exe须上载到目标机器中)

十一、探测域内存活主机

11.1 利用NetBIOS 快速探测内网

nbtscan

nbtscan.exe -h

nbtscan.exe 10.1.1.1/24

11.2 利用ICMP协议快速探测内网

for /L %i in (1,1,254) DO home.php?mod=space&uid=294246 -w 1 -n 1 10.1.1.%i | findstr "TTL="

11.3 通过 Arp协议探测

arp.exe -t 10.1.1.1/24

Empire、Nishang

11.4 常规TCP/UDP扫描探测

msf,nmap

11.5 扫描内网端口

• 端口banner信息
• 端口上运行的服务
• 常见应用的默认端口

11.5.1 telnet

telnet DC 22

11.5.2 MSF

search portscan

auxiliary/scanner/portscan/tcp

11.5.3 powershell 的Invoke-portscan.ps1脚本