内网信息收集-基础收集
大佬博客：
https://yuy0ung.github.io/blog/%E5%86%85%E7%BD%91%E6%B8%97%E9%80%8F/%E5%86%85%E7%BD%91%E4%BF%A1%E6%81%AF%E6%90%9C%E9%9B%86/%E5%86%85%E7%BD%91%E4%BF%A1%E6%81%AF%E6%94%B6%E9%9B%86-%E5%9F%BA%E7%A1%80%E6%94%B6%E9%9B%86/#%E5%86%85%E7%BD%91%E4%BF%A1%E6%81%AF%E6%94%B6%E9%9B%86-%E5%9F%BA%E7%A1%80%E6%94%B6%E9%9B%86
主要有：
本机基础信息收集
本机基础信息收集 在getshell后，首先就是以当前主机为中心进行信息收集
查看当前用户权限 回显
可以查看当前用户所处的用户组、拥有的特权等，用于综合判断是否需要提权
查看网络配置信息 查看当前主机网络配置情况，包括主机的IP地址、主机名、各网络适配器的信息等，可以判断主机所在网段
output
值得一提的是DNS服务器地址，搭建过域环境便知道，DNS服务器的IP地址通常就为域控制器的地址
我这边显示的是
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 无线局域网适配器 WLAN: 连接特定的 DNS 后缀 . . . . . . . : 描述. . . . . . . . . . . . . . . : Intel(R) Wi-Fi 6E AX211 160MHz 物理地址. . . . . . . . . . . . . : F0-20-FF-20-2F-79 DHCP 已启用 . . . . . . . . . . . : 是 自动配置已启用. . . . . . . . . . : 是 本地链接 IPv6 地址. . . . . . . . : fe80::ff2d:bf97:c20c:10a9%19(首选) IPv4 地址 . . . . . . . . . . . . : 10.61.171.46(首选) 子网掩码 . . . . . . . . . . . . : 255.255.0.0 获得租约的时间 . . . . . . . . . : 2026年10月28日 22:39:31 租约过期的时间 . . . . . . . . . : 2026年11月2日 8:06:41 默认网关. . . . . . . . . . . . . : 10.61.0.1 DHCP 服务器 . . . . . . . . . . . : 10.61.0.1 DHCPv6 IAID . . . . . . . . . . . : 166732031 DHCPv6 客户端 DUID . . . . . . . : 00-01-00-01-2F-6B-CE-19-F0-20-FF-20-2F-79 DNS 服务器 . . . . . . . . . . . : 10.63.63.63 10.1.118.10 TCPIP 上的 NetBIOS . . . . . . . : 已启用
并且就这一台机器有，除了clash有一个没地址的DNS
查看主机路由信息 查看主机路由表：
路由表中的“网络目标”都是主机可以访问到的，后续可以对其中的网段进行探测
查看操作系统信息 查看操作系统信息，包括主机名、操作系统版本、系统目录、所处的域或工作组、网卡信息、安装的补丁
这个就不展示了，妈的，这里要展示我的邮箱，也算又知道了个钓鱼啥的思路
查看端口连接信息 查看主机的TCP、UDP端口的监听和开放情况，内网其他主机访问本机时也会建立连接，所以也能用来收集内网地址段
output
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 C:\Users\31349>netstat -ano 活动连接 协议 本地地址 外部地址 状态 PID TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 2612 TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4 TCP 0.0.0.0:902 0.0.0.0:0 LISTENING 14704 TCP 0.0.0.0:912 0.0.0.0:0 LISTENING 14704 TCP 0.0.0.0:3307 0.0.0.0:0 LISTENING 8416 TCP 0.0.0.0:5040 0.0.0.0:0 LISTENING 14492 TCP 0.0.0.0:7680 0.0.0.0:0 LISTENING 28144 TCP 0.0.0.0:7891 0.0.0.0:0 LISTENING 52064 TCP 0.0.0.0:9199 0.0.0.0:0 LISTENING 45520 TCP 0.0.0.0:27036 0.0.0.0:0 LISTENING 25616 TCP 0.0.0.0:33061 0.0.0.0:0 LISTENING 8416 TCP 0.0.0.0:49664 0.0.0.0:0 LISTENING 2288 TCP 0.0.0.0:49665 0.0.0.0:0 LISTENING 2124 TCP 0.0.0.0:49668 0.0.0.0:0 LISTENING 3264 TCP 0.0.0.0:49669 0.0.0.0:0 LISTENING 4532 TCP 0.0.0.0:49670 0.0.0.0:0 LISTENING 5424 TCP 0.0.0.0:49757 0.0.0.0:0 LISTENING 13184 TCP 0.0.0.0:49761 0.0.0.0:0 LISTENING 5704 TCP 0.0.0.0:49783 0.0.0.0:0 LISTENING 2244
查看当前会话列表 查看当前主机与所连接的客户机之间的会话
output
1 2 3 4 5 C:\Windows\System32>net session 列表是空的。 C:\Windows\System32>
查看当前网络共享信息 查看主机开启的共享列表：
1 2 3 4 5 6 7 8 9 10 11 12 13 C:\Users\31349>net share 共享名 资源 注解 ------------------------------------------------------------------------------- C$ C:\ 默认共享 D$ D:\ 默认共享 IPC$ 远程 IPC ADMIN$ C:\WINDOWS 远程管理 命令成功完成。 C:\Users\31349>
查看已连接的网络共享 查看主机与其他主机远程建立的网络共享连接
output
1 2 3 4 5 6 7 C:\Users\31349>net use 会记录新的网络连接。 列表是空的。 C:\Users\31349>
查看当前进程信息 output
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 C:\Users\31349>tasklist 映像名称 PID 会话名 会话# 内存使用 ========================= ======== ================ =========== ============ System Idle Process 0 Services 0 8 K System 4 Services 0 10,392 K Registry 464 Services 0 52,256 K smss.exe 1404 Services 0 1,572 K csrss.exe 1664 Services 0 7,916 K wininit.exe 2124 Services 0 9,512 K csrss.exe 2136 Console 1 8,764 K winlogon.exe 2232 Console 1 17,888 K services.exe 2244 Services 0 20,880 K lsass.exe 2288 Services 0 37,612 K svchost.exe 2436 Services 0 48,416 K fontdrvhost.exe 2464 Console 1 15,440 K fontdrvhost.exe 2472 Services 0 4,200 K svchost.exe 2612 Services 0 24,072 K svchost.exe 2656 Services 0 16,572 K WUDFHost.exe 2768 Services 0 9,408 K dwm.exe 2824 Console 1 154,392 K WUDFHost.exe 2916 Services 0 8,724 K WUDFHost.exe 2992 Services 0 17,824 K WUDFHost.exe 3052 Services 0 13,516 K
这个做应急啥的也是可以用的
也可以用WMIC:
1 wmic process get name, ProcessID, ExecutablePath
查看当前服务信息 1 wmic service get Caption,Name,PathName,StartName,State
但是这个新版win好像已经弃用了
1 Get-CimInstance Win32_Service | Select-Object Caption,Name,PathName,StartName,State
在powershell里面
1 2 3 4 5 6 7 8 9 10 11 12 13 14 PS C:\Users\31349> Get-CimInstance Win32_Service | Select-Object Caption,Name,PathName,StartName,State Caption : 123SyncCloud Maintenance Service Name : 123SyncCloud Maintenance Service PathName : "C:\ProgramData\123SyncCloud\service\MaintenanceService.exe" StartName : LocalSystem State : Running Caption : 123SyncCloud Upgrade Service Name : 123SyncCloud Upgrade Service PathName : "C:\ProgramData\123SyncCloud\service\UpgradeService.exe" StartName : LocalSystem State : Running
查看计划任务信息 查看主机上所有的计划任务：
1 schtasks /query /v /fo list
output
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 C:\Users\31349>schtasks /query /v /fo list 文件夹: \ 主机名: LAPTOP-059TNUP4 任务名: \NahimicTask32 下次运行时间: N/A 模式: 正在运行 登录状态: 交互方式/后台方式 上次运行时间: 2026/10/28 11:54:53 上次结果: 267009 创建者: AVolute 要运行的任务: C:\WINDOWS\system32\..\SysWOW64\NahimicSvc32.exe $(Arg0) $(Arg1) $(Arg2) $(Arg3) $(Arg4) $(Arg5) $(Arg6) $(Arg7) 起始于: N/A 注释: NahimicSvc task 计划任务状态: 已启用 空闲时间: 已禁用 电源管理: 作为用户运行: INTERACTIVE 删除没有计划的任务: 已禁用 如果运行了 X 小时 X 分钟，停止任务: 72:00:00 计划: 计划数据在此格式中不可用。 计划类型: 仅在请求时 开始时间: N/A 开始日期: N/A 结束日期: N/A 天: N/A 月: N/A 重复: 每: N/A 重复: 截止: 时间: N/A 重复: 截止: 持续时间: N/A 重复: 如果还在运行，停止: N/A
查看自启程序信息 1 wmic startup get Caption,Command,Location,User
new version
1 Get-CimInstance Win32_StartupCommand | Select Caption,Command,Location,User
also powershell
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 PS C:\Users\31349> Get-CimInstance Win32_StartupCommand | Select Caption,Command,Location,User Caption Command ------- ------- Rainmeter D:\rubishi\RAINME~1.EXE Snipaste D:\Snipaste\Snipaste.exe VPET_Simulator D:\SteamLibrary\steamapps\common\VPet\VPet-Simulator.Windows.exe 发送至 OneNote C:\PROGRA~1\MICROS~2\root\Office16\ONENOTEM.EXE /tsr JianyingPro "D:\LenovoSoftstore\Install\jianyangzhuanyeban\11.5.0.14471\JianyingProTray.exe" OPENVPN-GUI D:\2026misc\马漏洞复现\雷神众测\雷神众测openvpn客户端及使用说明-v3.0\VPN\OpenVPN\bin\openvpn-gu... namiclaw D:\360\纳米work\namiclaw\Application\namiclaw.exe --auto-startup-systray ClaudeReliableBridge "C:\Windows\System32\wscript.exe" "C:\Users\31349\.claude\reliable-bridge\start-hidden.vbs" RtkAudUService "C:\WINDOWS\System32\DriverStore\FileRepository\realtekservice.inf_amd64_04ff63d068f8c626\RtkAu... PS C:\Users\31349>
查看系统补丁安装信息 查看主机安装的补丁列表，并过滤出补丁链接、名称、描述、补丁编号、安装时间：
1 wmic qfe get Caption,Description,HotFixID,InstalledOn
怎么全是这个指令，:sweat_smile:
我们这样
1 2 3 4 5 6 7 8 9 10 11 12 13 C:\Users\31349>powershell -c "Get-CimInstance Win32_QuickFixEngineering | Select Caption,Description,HotFixID,InstalledOn" Caption Description HotFixID InstalledOn ------- ----------- -------- ----------- http://support.microsoft.com/?kbid=5127694 Update KB5127694 2026/10/15 0:00:00 https://support.microsoft.com/help/5054156 Update KB5054156 2025/10/18 0:00:00 https://support.microsoft.com/help/5121794 Update KB5121794 2026/10/15 0:00:00 https://support.microsoft.com/help/5127648 Security Update KB5127648 2026/10/15 0:00:00 Security Update KB5127647 2026/10/15 0:00:00 C:\Users\31349>
查看应用安装信息 查看主机安装的应用软件信息，并过滤出应用的名称和版本：
1 wmic product get Caption,Version
查看本地用户/组信息 查看主机上的本地用户信息：
output
1 2 3 4 5 6 7 8 9 10 11 12 C:\Users\31349>net user \\LAPTOP-059TNUP4 的用户账户 ------------------------------------------------------------------------------- 31349 Administrator CodexSandboxOffline CodexSandboxOnline DefaultAccount Guest WDAGUtilityAccount WsiAccount 命令成功完成。 C:\Users\31349>
查看本地管理员组：
1 net localgroup administrators
output
1 2 3 4 5 6 7 8 9 10 11 12 13 C:\Users\31349>net localgroup administrators 别名 administrators 注释 管理员对计算机/域有不受限制的完全访问权 成员 ------------------------------------------------------------------------------- 31349 Administrator 命令成功完成。 C:\Users\31349>
这里的本地管理员组不仅包含了本地管理员administrator，还包含了域全局组YUY0UNG\Domain Admins，这是主机加入域时自动添加的
查看当前登录用户 域内信息收集 是否存在域环境 查看当前工作站信息，包括当前计算机名、用户名、系统版本、工作站、登陆的域等：
output
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 C:\Users\31349>net config workstation 计算机名 \\LAPTOP-059TNUP4 计算机全名 LAPTOP-059TNUP4 用户名 31349 工作站正运行于 NetBT_Tcpip_{44393EFC-29C4-25E4-B684-F168B398A2B4} (000000000000) 软件版本 Windows 10 Home China 工作站域 WORKGROUP 登录域 MicrosoftAccount COM 打开超时 (秒) 0 COM 发送计数 (字节) 16 COM 发送超时 (毫秒) 250 命令成功完成。 C:\Users\31349>
查看域用户信息 查看所有域用户：
1 2 3 4 5 6 7 8 9 C:\Users\31349>net user /domain 这项请求将在域 WORKGROUP 的域控制器处理。 发生系统错误 1355。 指定的域不存在，或无法联系。 C:\Users\31349>
只有域用户才有权限执行域内查询操作。计算机本地用户除非提升为本地SYSTEM权限，否则只能查询本机信息，无法查询域内信息并提示“拒绝访问”，这是因为在域环境中，所有与域有关的查询都需要通过域控来实现，并需要经过kerberos协议认证
查看域用户组信息 列出域内所有用户组：
查看域管理员用户：
1 net group "Domain Admins" /domain
查看域内客户端主机：
1 net group "Domain Computers" /domain
查看域内密码策略 查询域内用户的密码策略：
可以根据密码策略构造字典，并发起爆破攻击
查看域控列表 查询域控制器组，可以得到所有域控制器的主机名：
1 net group "Domain Controllers" /domain
查看主DC 主域控会同时被用作时间服务器，以同步域内主机时钟，所以可以查询时间服务器来找到主DC的名称：
定位域控 知道目标主机名称后可以通过ping来确定主机在内网中的IP地址，如：
可知域控DC01的IP为192.168.111.100
另外也可通过查找DNS服务器地址定位DC
查看域信任关系 域信任用于多域环境中的跨域资源共享
查询主机所在域和其他域的信任关系：
内网资源探测 发现内网存活主机 基于ICMP 即对整个网段IP执行ping命令，能ping通即存活：
1 for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.111.%I | findstr "TTL="
这个之前打靶机的时候也是实操过的
基于NetBIOS（网络基本输入/输出系统） 可以使用NBTScan扫描windows网络上NetBIOS名称，以发现内网存活主机：
1 nbtscan.exe 192.168.111.0/24
基于UDP 可以使用unicornscan：
1 unicornscan.exe -mU 192.168.111.0/24
基于ARP 使用ARP-Scan：
1 arp-scan.exe -t 192.168.111.0/24
基于SMB（server message block，服务器消息块） 使用CrackMapExec：
1 crackmapexec smb 192.168.111.0/24
内网端口扫描 利用Telnet telnet可以简单测试指定端口状态：
1 telnet 192.168.111.132 445
就是能看下连接的状态
使用Nmap 扫描所有端口并识别服务：
1 nmap -sV -p- 192.168.111.132
MSF探测内网 metasploit集成的很多收集模块：
笔者认为在实战情况下这类套件是不推荐使用的，所以不再细说
获取端口banner 查看banner可以获取软件开发商、名称、版本号、服务类型等，有时还能利用历史漏洞
利用NetCat 1 nc -nv 192.168.111.132 135
利用telnet 和上面探测端口相同，telnet连接成功会返回相应banner
利用nmap 指定脚本即可：
1 nmap --script=banner -p 3389 192.168.111.132
基于powershell的收集 上面的信息收集大多基于主机的cmd命令行，这里将基于powershell的收集单独提及一下
Powershell的优点：
代码运行在内存中可以不去接触磁盘
从另一个系统中下载代码并执行
很多安全产品并不能监测到powershell的活动
cmd.exe通常被阻止运行，但是powershell不会
github上有很多基于powershell的后渗透套件，都内置了内网信息收集套件，可以用作参考：
当然里面也有其他后渗透工具，可以作为了解
