6.1. 信息收集 - Windows

6.1. 信息收集 - Windows

6.1.1. 基本命令

• 查询所有计算机名称 dsquery computer
• 查看配置及补丁信息 systeminfo
• 查看版本 ver
• 进程信息tasklist /svc
• 查看所有环境变量 set
• 查看计划任务 schtasks /QUERY /fo LIST /v
• 查看安装驱动 DRIVERQUERY
• 查看操作系统架构 wmic os get osarchitecture
• 查看逻辑盘 wmic logicaldisk get caption
• 查看安装的软件信息 wmic product get name,version
• 查看服务信息 wmic service list brief

6.1.2. 域信息

• 获取当前组的计算机名 net view
• 查看所有域 net view /domain
• 域森林、域树信息
• 域信任信息 nltest /domain_trusts
• 定位域控 net time /domain
• 查看域中的用户名 dsquery user
• 查询域组名称 net group /domain
• 查询域管理员 net group "Domain Admins" /domain
• 查看域控制器 net group "Domain controllers"

6.1.3. 用户信息

• 查看用户 net user /whoami /whoami /all
• 用户特权信息 whoami /priv
• 查看当前权限 net localgroup administrators
• 查看在线用户 qwinsta/ query user
• 查看当前计算机名，全名，用户名，系统版本，工作 站域，登陆域 net config Workstation

6.1.4. 网络信息

• 域控信息
  • nltest /dclist:xx
  • Get-NetDomain
  • Get-NetDomainController
• 内网网段信息
• 网卡信息 ipconfig
• 外网出口
• ARP表 arp -a
• 路由表 route print
• 监听的端口 netstat -ano
• 连接的端口
• hosts文件
• DNS缓存
  • ipconfig /displaydns
  • Get-CimInstance -Namespace root/StandardCimv2 -ClassName MSFT_DNSClientCache
• 探测出网情况
  • powershell -c “1…65535 | % {echo ((new-object Net.Sockets.TcpClient).Connect(‘allports.exposed’,$_)) KaTeX parse error: Expected group after '_' at position 1: _̲ } 2>null”

6.1.5. 防火墙

• 查看防火墙状态 netsh advfirewall show allprofiles
• 防火墙日志目录 netsh firewall show logging
• 防火墙规则 netsh advfirewall firewall show rule name=all
• netsh firewall show config
• netsh firewall show state

6.1.6. 密码信息

• Windows RDP连接记录
• 浏览器中保存的账号密码
• 系统密码管理器中的各种密码
• 无人值守安装文件中的密码信息
  • C:\sysprep.inf
  • C:\sysprep\sysprep.xml
  • C:\Windows\Panther\Unattend\Unattended.xml
  • C:\Windows\Panther\Unattended.xml

6.1.7. 票据信息

• cmdkey
• klist
• msf meterpreter

6.1.8. 其他

• 查看补丁安装情况
  • wmic qfe get Caption,Description,HotFixID,InstalledOn
• 日志与事件信息
  • wevtutil
• 注册表信息
  • reg
• 安装的监控软件
• 安装的杀毒软件