信息收集--本机信息

本机信息收集

不管是在外网中还是内网中，信息收集都是重要的第一步。当我们成功控制一台机器后，其内网结构如何、这台机器是什么角色的、使用机器的人是什么角色的、机器上安装的是什么杀毒软件、机器是通过什么方式上网的、机器是笔记本还是台式机等，都需要通过信息收集 来获取。
本机信息主要包括主机的系统、权限、内网分配 IP 地址段、端口、服务、共享、会话、网络连接信息、补丁更新频率、安装的软件杀毒等。如果是域内主机，系统、软件、补丁、服务、杀毒一般都是批量安装的。通过收集本机的相关信息，可以进一步了解整个域的操作系统版本、 软件、补丁、用户命名方式等。

一、手工信息收集

1. 查询网络配置信息

查看网络配置信息，获取当前机器是否处在内网中、有几个内网、内网段分别是多少、是否
是域内网、网关 IP 地址、DNS 指向的 IP 地址等信息。

 ipconfig /all 

2．查询操作系统及安装软件的版本信息

获取操作系统和版本信息

systeminfo | findstr /B /C:"OS Name" /C:"OS Version"
systeminfo | findstr /B /C:"OS 名称" /C:"OS 版本"

查看系统体系结构

echo %PROCESSOR_ARCHITECTURE%

查看安装的软件及版本、路径等

1、利用 wmic 命令，可以将结果输出到文本中
wmic product get name,version 
2、利用 PowerShell 命令，收集软件版本信息
powershell "Get-WmiObject -class Win32_Product |Select-Object -Property name,version"

3．查询本机服务信息

wmic service list brief

4．查询进程列表

当前进程列表和进程用户，分析软件、邮件客户端、VPN 和杀毒软
件等进程

tasklist /v 
wmic process list brief

5．查看启动程序信息

wmic startup get command,caption

6．查看计划任务

schtasks /query /fo LIST /v

7．查看主机开机时间

   net statistics workstation

8．查询用户列表

查看本机用户列表,通过分析本机用户列表，可以找出内部网络机器名的命名规则。特别是个人机器，可以推测出整个域的用户命名方式

net user 

获取本地管理员（通常含有域用户）信息。默认 Domain Admins 组为域内机器的本地管理员用户。在真实环境中，为了方便管理，会有域用户被添加为域机器的本地管理员用户。

net localgroup administrators

查看当前在线用户

query user || qwinsta

9．列出或断开本地计算机和连接的客户端的会话

net session

10．查询端口列表

查看端口列表、本机开放的端口所对应的服务和应用程序。

  netstat -ano

11．查询补丁列表

查看系统的详细信息时,注意系统的版本、位数、域、补丁信息及跟新频率等。一般域内主机的补丁都是批量安装的，通过查看本地计算机补丁列表，可以找到未打补丁的漏洞。

1、使用系统命令查看
Systeminfo
2、使用 wmic 命令,查看更新补丁名称、描述、补丁 ID、安装时间等信息
wmic qfe get Caption,Description,HotFixID,InstalledOn 

12．查询本机共享

查看本机共享列表和可访问的域共享列表（域内共享有很多时候是相同的）

net share
wmic share get name,path,status 

13．查询路由表及所有可用接口的 ARP 缓存表

route print
Arp –A

14．查询防火墙相关配置

1.关闭防火墙:
Windows Server 2003 系统及之前版本
netsh firewall set opmode disable
Windows Server 2003 之后系统版本
netsh advfirewall set allprofiles state off

2.查看防火墙配置
netsh firewall show config

3.修改防火墙配置
Windows Server 2003 系统及之前版本，允许指定程序全部连接
netsh firewall add allowedprogram c:\nc.exe "allow nc" enable

Windows Server 2003 之后系统版本:
允许指定程序连入，命令如下:
netsh advfirewall firewall add rule name="pass nc" dir=in action=allow program="C: \nc.exe"
允许指定程序连出，命令如下:
netsh advfirewall firewall add rule name="Allow nc" dir=out action=allow program="C: \nc.exe"
允许 3389 端口放行，命令如下:
netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow

4.自定义防火墙日志储存位置
netsh advfirewall set currentprofile logging filename "C:\windows\temp\fw.log"

15．查看计算机代理配置情况

执行如下命令，可以看到代理配置存在服务器为 127.0.0.1:1080 的配置信息

reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings"

16．查询并开启远程连接服务

在 cmd 下使用注册表查询语句，命令如下，得到连接端口为 0xd3d，转换后为 3389

1.查看远程连接端口
REG QUERY "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /V PortNumber
2.在 Windows Server 2003 中开启 3389 端口
wmic path win32_terminalservicesetting where (__CLASS !="") call setallowtsconnections 1
3. Windows Server 2008 和 Windows Server 2012 中开启 3389 端口
wmic /namespace:\\root\cimv2\terminalservices path win32_terminalservicesetting where (__CLASS !="") call setallowtsconnections 1
wmic /namespace:\\root\cimv2\terminalservices path win32_tsgeneralsetting where (TerminalName='RDP-Tcp') call setuserauthenticationrequired 1
reg add "HKLM\SYSTEM\CURRENT\CONTROLSET\CONTROL\TERMINAL SERVER" /v fSingleSessionPerUser /t REG_DWORD /d 0 /f

17.查询当前权限、账号信息

1.查看当前权限
 whoami 
2．获取域 SID
whoami /all 
3．查询指定账户的详细信息
net user XXX /domain

二、自动化信息收集

WMIC（Windows Management Instrumentation Command-Line，Windows 管理工具命令行）是 Windows 下最有用的命令行工具。我们可以创建一个脚本来实现在目标机器上查询流程、服务、用户账号、用户组、 网络接口、硬盘信息、网络共享信息、安装 Windows 补丁、程序在启动运行、安装的软件列表、 操作系统、时区信息等信息。

使用以下代码保存.bat为文件,执行脚本后,会将所有结果写入一个 HTML 文件。

for /f "delims=" %%A in ('dir /s /b %WINDIR%\system32\*htable.xsl') do set "var=%%A"

wmic process get CSName,Description,ExecutablePath,ProcessId /format:"%var%" >> out.html
wmic service get Caption,Name,PathName,ServiceType,Started,StartMode,StartName /format:"%var%" >> out.html
wmic USERACCOUNT list full /format:"%var%" >> out.html
wmic group list full /format:"%var%" >> out.html
wmic nicconfig where IPEnabled='true' get Caption,DefaultIPGateway,Description,DHCPEnabled,DHCPServer,IPAddress,IPSubnet,MACAddress /format:"%var%" >> out.html
wmic volume get Label,DeviceID,DriveLetter,FileSystem,Capacity,FreeSpace /format:"%var%" >> out.html
wmic netuse list full /format:"%var%" >> out.html
wmic qfe get Caption,Description,HotFixID,InstalledOn /format:"%var%" >> out.html
wmic startup get Caption,Command,Location,User /format:"%var%" >> out.html
wmic PRODUCT get Description,InstallDate,InstallLocation,PackageCache,Vendor,Version /format:"%var%" >> out.html
wmic os get name,version,InstallDate,LastBootUpTime,LocalDateTime,Manufacturer,RegisteredUser,ServicePackMajorVersion,SystemDirectory /format:"%var%" >> out.html
wmic Timezone get DaylightName,Description,StandardName /format:"%var%" >> out.html   

学习资料《内网安全攻防：渗透测试实战指南》