# 内网渗透信息收集清单（笔记骨架·红队标准） ## 前置原则 1. 收集顺序：**本机信息→网络网段→存活主机→端口服务→账号凭据→域环境→横向路径→敏感文件** 2. 收集原则：先CMD/PowerShell原生命令，再无文件工具；尽量少产生日志；优先 passive 被动收集，再主动扫描 3. 目标产出：网段清单、主机清单、账号清单、服务清单、凭据清单、域架构图、横向移动路径 --- ## 第一部分：本机基础信息收集（拿下第一台机器必做） ### 1.1 系统环境（判断提权方向） #### Windows - 系统版本、补丁、安装时间：`systeminfo` - 主机名、工作组/域：`hostname`、`systeminfo | findstr 域`、`net config workstation` - 登录服务器（判断域控）：`net time /domain` - 开机启动项：`wmic startup get command,caption` - 已安装软件：`wmic product get name,version` - 计划任务：`schtasks /query /fo table` #### Linux - 内核版本、发行版：`uname -a`、`cat /etc/os-release` - 开机自启：`systemctl list-unit-files --type=service`、`ls /etc/cron.*` - 环境变量：`env` ### 1.2 当前用户&权限（提权核心） #### Windows ```cmd whoami whoami /all # SID、权限、登录会话 whoami /priv # 查看特权（SeDebugPrivilege等高危权限） quser / query user # 在线登录用户 net user # 本机所有账号 net localgroup administrators # 本机管理员组（重点看域账号） ``` PowerShell： ```powershell Get-LocalUser Get-LocalGroupMember administrators ``` #### Linux ```bash id sudo -l # 查看sudo权限（高危提权入口） cat /etc/passwd # 全部系统用户 w / who # 在线登录用户 ``` ### 1.3 网络信息（画出内网拓扑，多网段跳板关键） #### Windows ```cmd ipconfig /all # IP、网关、DNS、网卡、网段（核心） route print # 路由表，找到跨网段出口 arp -a # ARP缓存，发现同网段存活主机（被动发现，无扫描日志） netstat -ano # 监听端口、对外连接、PID net view # 局域网共享主机 type C:\Windows\System32\drivers\etc\hosts # 主机名映射 ``` #### Linux ```bash ifconfig / ip addr ip route arp -n ss -lntup # 监听端口（替代netstat） cat /etc/hosts ``` ### 1.4 进程&安全防护（绕过EDR/杀软） - Windows：`tasklist`、`tasklist /svc`、`wmic process get name,executablepath` - 查找安全软件：360、火绒、Defender、EDR、SOC进程 - 查找数据库、运维工具、远程管理软件（TeamViewer、向日葵、RDP、VNC） ### 1.5 本机凭据搜刮（拿到账号密码，横向第一步） 1. 浏览器密码、RDP保存凭据、Wi-Fi密码 2. 配置文件：`web.config`、`.ini`、`.xml`、连接字符串 3. 历史命令：PowerShell历史、cmd历史、bash history 4. 自动登录、计划任务脚本、批处理文件 5. 远程桌面凭据、保存的SMB共享账号 --- ## 第二部分：内网网络拓扑与存活主机发现（被动优先，减少告警） ### 2.1 网段梳理（先拿到所有可达网段） 1. 从路由表提取所有网段 2. 从DNS、hosts文件提取主机名对应IP 3. 从ARP缓存提取同网段主机 4. 从进程对外连接提取目标IP ### 2.2 被动主机发现（无扫描行为，几乎不触发告警） 1. ARP缓存：`arp -a` 2. 本地历史连接、最近访问的共享、远程桌面记录 3. NetBIOS缓存：`nbtscan 网段`（无鉴权获取主机名） 4. DNS反向解析批量解析主机 ### 2.3 主动主机发现（有授权使用，避免扫描告警） #### Windows原生ping扫描（无工具） ```cmd for /L %i in (1,1,255) do ping -n 1 192.168.1.%i >> ip.txt ``` #### 工具扫描 - nmap：`nmap -sn 192.168.1.0/24`（只主机发现，不端口扫描） - masscan：快速全网段存活探测 - CrackMapExec：批量探测SMB存活主机 ### 2.4 主机清单整理字段 IP、主机名、操作系统、是否入域、开放端口、是否开启SMB/RDP --- ## 第三部分：端口&服务枚举（定位可攻击入口） ### 3.1 高频重点端口（内网横向必扫） |端口|服务|渗透利用点| |---|---|---| |139/445|SMB|共享文件夹、永恒之蓝、IPC$、哈希传递| |3389|RDP|远程桌面暴力破解、凭据重用| |22|SSH|暴力破解、密钥窃取| |1433/3306|数据库|弱口令、提权、读取数据库明文账号| |80/8080/443|Web服务|Web漏洞、后台弱口令、上传漏洞| |5985|WinRM|PowerShell远程管理，横向移动首选| ### 3.2 无工具端口扫描（本机脚本） - PowerShell端口扫描脚本 - TCP连接探测，不发包、不易被WAF拦截 ### 3.3 服务信息收集 1. 操作系统版本（Windows 7/2008/2012，对应对应漏洞） 2. 服务版本：MySQL、SQL Server、Tomcat、Apache、Redis 3. 共享文件夹：`net share`、`smbclient -L //IP -N` 4. 打印机共享、开放IPC$ --- ## 第四部分：域环境信息收集（域渗透核心模块） ### 4.1 判断是否在域内（基础判断） 1. `ipconfig /all` 查看DNS域名、域DNS服务器 2. `net config workstation` 查看工作站域DNS名称 3. `net time /domain` 能返回时间=存在域；返回失败=工作组环境 ### 4.2 域基础信息（CMD原生命令） ```cmd net view /domain # 列出所有域 net group /domain # 域内所有用户组 net group "Domain Admins" /domain # 域管理员名单（最高优先级） net group "Domain Controllers" /domain # 域控列表 net group "Domain Computers" /domain # 所有域内主机 net user /domain # 全部域用户 net user 用户名 /domain # 查看用户详细信息（登录时间、所属组） ``` ### 4.3 域控&架构信息 1. 查找主域控、备用域控、子域、林结构 2. 组策略GPO：查找登录脚本、计划任务、部署账号 3. 组织单元OU：梳理人员分组、权限划分 4. 组策略首选项（GPP）：优先查找包含明文密码的xml文件（SYSVOL共享） ### 4.4 域内工具枚举（PowerShell & 工具） 1. PowerView：查询域用户、域计算机、GPO、信任关系 2. BloodHound（猎鹰）：导出域内ACL、权限关系，绘制攻击路径（域渗透神器） 3. AdFind：批量查询域内所有对象信息 ### 4.5 域凭据收集 1. NTDS.dit 域用户数据库（域控离线导出，破解所有域账号哈希） 2. SYSVOL共享内GPP明文密码 3. 域内主机本地管理员账号（横向移动哈希传递） --- ## 第五部分：凭据&密码搜刮（横向移动核心） ### 5.1 系统级凭据 1. 本机SAM数据库（本地账号NTLM哈希） 2. 内存凭据：mimikatz抓取lsass进程明文密码、票据、NTLM哈希 3. 保存的RDP、网络共享、Windows凭证管理器 ### 5.2 应用级凭据（高频） 1. 数据库配置文件：连接字符串、账号密码 2. Web配置文件：web.config、php.ini、application.properties 3. 运维工具：Navicat、Xshell、SecureCRT、Putty保存的会话密码 4. PowerShell脚本、批处理、自动化脚本内硬编码密码 5. KeePass、密码管理器数据库文件 ### 5.3 凭据收集命令清单 - mimikatz：`sekurlsa::logonpasswords` - 导出SAM：`reg save HKLM\SAM sam.save` - 搜索明文密码：全局搜索password、pwd、pass、secret、token关键字 --- ## 第六部分：敏感文件&目录挖掘（信息泄露+权限提升） ### 6.1 Windows重点目录 1. 桌面、文档、下载文件夹 2. C:\运维脚本、C:\bat、C:\tools 3. IIS网站根目录、Web程序目录 4. SYSVOL域共享（域内必查） 5. 回收站、备份文件（.bak、.sql、.mdb） ### 6.2 关键字检索（批量查找密码） 搜索后缀：`.txt .bat .ps1 .xml .config .ini .sql .bak` 搜索关键词：password、pwd、账号、用户名、密钥、token、连接字符串 --- ## 第七部分：内网横向移动路径梳理（把收集信息落地成攻击链路） 1. 同网段：SMB哈希传递、IPC$、计划任务、WMI、WinRM 2. 跨网段：跳板机代理、端口转发、路由转发 3. 域内：域管理员账号漫游、GPO下发、组策略漏洞、Kerberos票据劫持（黄金票据/白银票据） 4. 数据库：利用数据库提权执行系统命令 --- ## 第八部分：信息收集输出文档模板（整理成报告） 1. 网络拓扑：网段清单、路由走向、跨网段跳板 2. 资产清单：所有存活主机IP+主机名+系统+开放端口+服务 3. 账号清单：本地账号、域账号、管理员账号、已获取凭据 4. 域架构：域控、OU、用户组、GPO、信任关系 5. 可利用入口：弱口令、开放共享、高危端口、漏洞点位 6. 横向移动路径清单 --- ## 配套工具清单（可直接写入笔记） ### 原生命令（无文件，免杀首选） CMD、PowerShell、wmic、schtasks、net命令集、arp、route ### 轻量枚举工具 1. CrackMapExec：SMB/WinRM/RDP批量枚举、口令喷洒 2. nbtscan：NetBIOS主机发现 3. enum4linux：Linux+SMB信息枚举 4. PowerView：域信息查询 5. BloodHound：域权限关系分析 ### 凭据抓取 mimikatz、ProcDump（导出lsass内存，规避杀软） ### 扫描工具 nmap、masscan、httpx（Web服务识别） --- ## 第九部分：避坑要点（蓝队告警规避） 1. 优先被动收集（ARP、本地缓存、历史连接），少用全端口扫描 2. 尽量使用系统自带命令，不上传exe工具，规避EDR查杀 3. 批量ping尽量用原生for循环，不调用nmap大范围扫描 4. 枚举SMB不要短时间高频发包，避免触发内网入侵检测 5. 抓取lsass内存优先使用ProcDump，比直接mimikatz更不容易被拦截