【内网技巧】windows下网络抓包-netsh技巧（文末附免费学习资料）

相信大家做一些项目，在获取到pc权限后，翻翻文件，查查浏览器记录，但是有些浏览器的账户密码，读取不出来，一些基于key验证的应用提取不出来，如果权限比较高或者过uac的情况下，我们也可以抓取用户的流量，把他提取出来

0x01 netsh介绍

工具涉及系统版本

Windows 7/8.x/10 所有版本

Windows Server 2008 R2/2012/2012 R2/2016/2019

netsh(Network Shell) 是一个windows系统本身提供的功能强大的网络配置命令行工具。

0x02 netsh使用

常用的命令

1，利用netsh 查看本机ip

netsh interface ip show address

 

2，查看防火墙状态  /防火墙设置的类型

netsh firewall show stat
netsh advfirewall show allprofiles

3，启动/关闭防火墙 (需要高权限)，注意不同系统版本不同

netsh firewall set opmode disable //关闭
netsh advfirewall set allprofiles state off //关闭防火墙
netsh firewall set opmode enable  //开启
netsh advfirewall set allprofiles state on //开启防火墙

4，netsh端口映射/转发 内网渗透常用

netsh advfirewall firewall add rule name=test dir=in action=allow protocol=tcp localport=333 
添加入站规则
netsh advfirewall firewall delete rule name=test dir=in protocol=tcp localport=333 
删除入站规则

netsh advfirewall firewall add rule name=test dir=out action=allow protocol=tcp localport=333 
添加出站规则
netsh advfirewall firewall delete rule name=test dir=out protocol=tcp localport=333 
删除出站规则

netsh advfirewall firewall add rule name=test dir=in action=allow program=c:\nc.exe 
添加入站程序规则
netsh advfirewall firewall delete rule name=test dir=in program=c:\nc.exe 
删除入站程序规则

netsh advfirewall firewall add rule name=test dir=out action=allow program=c:\nc.exe 
添加出站程序规则
netsh advfirewall firewall delete rule name=test dir=out program=c:\nc.exe 
删除出站程序规则

6，netsh抓包(需要过uac,高权限)

netsh trace start capture=YES report=YES persistent=YES //开启
netsh trace stop //停止
 停止生成两个文件，后缀为:cab ， etl

 

注意，生成的cab文件，可以用压缩包打开，打开report.xml可以看到电脑的基本信息

生成的 etl，后缀的文件，可以用 windows message analyze 打开（注意微软官网已经暂停下载应用，下载软件应注意来源）

用windows message analyzer打开 -> 等待加载完成 -> 转换为cap文件 -> 使用wireshark分析即可

 

 

打开etl文件 后

点击如下，导出即可(报错不用管)

File -> Save As -> Export

 

精品书籍免费送！

 

 快来扫码添加柴柴，回复：“win黑客” 领取吧！