内网渗透-工作组信息收集

查询网络配置

• ipconfig /all
• 看是否有域，是内网还是外网，或者有两个网卡，有内网又有外网

查询用户列表

• net user 用户列表
• net localgroup administrator 查询本地管理员和组
• query user || qwinsta 查看当前在线用户----->>3389登录的时候看看是否有管理员在线

查询进程列表

• tasklist /v ------->>分析有无杀毒软件，有没有vpn等
• wmic process list brief ------->>分析有无杀毒软件，有没有vpn等

查询操作系统及安装软件的版本

• 操作系统： systeminfo | findstr /B /C:“OS Name” /C:“OS Version” 英文版
• 操作系统：systeminfo | findstr /B /C:“OS 名称” /C:“OS 版本” 中文版
• 软件：wmic product get name,version 可查该软件是否有已知的漏洞

查询端口列表

• netstat -ano 根据开放端口来判断该服务器的作用

查询补丁列表

• systeminfo

查询本机共享

• net share
• net share \\hostname
• wmic share get name.path.status

查询防火墙配置和关闭防护墙

查询防火墙配置

• netsh firewall show config

关闭防火墙

• netsh firewall set opmode disable win 2003之前版本
• netsh advfirewall set allprofiles state off win 2003之后版本

查询并开启远程连接服务

开启的3389方法：
1.通用开3389(优化后)：
wmic RDTOGGLE WHERE ServerName=’%COMPUTERNAME%’ call SetAllowTSConnections 1
2.For Win2003:
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" “Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
3.For Win2008:
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal” "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
4.For Every:
cmd开3389 win08 win03 win7 win2012 winxp
win08，三条命令即可:
wmic /namespace:\root\cimv2 erminalservices path win32_terminalservicesetting where (__CLASS != “”) call setallowtsconnections 1
wmic /namespace:\root\cimv2 erminalservices path win32_tsgeneralsetting where (TerminalName =‘RDP-Tcp’) call setuserauthenticationrequired 1
reg add “HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server” /v fSingleSessionPerUser /t REG_DWORD /d 0 /f
win2012通用；win7前两条即可。权限需要run as administrator。

查询当前权限

• whoami
• win7-x64-test\test 本地普通用户—不能查域内信息
• win7-x64-test\administrator 本地管理员—可以查域内信息
• hack\administrator 域内用户—可以查域内信息
• 如何判断域用户：ipconfig //all看看在那个域，如何正好在hack这个域，那他就是域用户，也可先hostname看本机是名字在对比到底是不是域用户

获取域的sid

• whoami /all 获取域SID

查询指定用户详细信息

• net user xxx /domain