1. 项目概述为什么内网信息收集是攻防的基石在网络安全领域尤其是渗透测试和红队评估中内网信息收集是一个无法绕开的起点。你可以把它想象成一场战役前的侦察行动。当攻击者通过某种方式比如一个钓鱼邮件、一个暴露在公网的脆弱服务成功进入内网的一台主机后他面对的是一个庞大而未知的内部网络。这台主机通常被称为“跳板机”或“立足点”就像深入敌后的侦察兵。如果侦察兵不摸清地形、兵力部署和重要目标后续的所有进攻都将是盲目的效率极低且容易被发现。“内网信息收集Windows系统”这个标题精准地指向了这个侦察阶段的核心任务以一台已被控制的Windows主机为起点系统地、隐蔽地收集整个内网环境中的所有有价值信息。这不仅仅是获取几个IP地址那么简单而是要对网络结构、用户身份、计算机资产、共享资源、信任关系、安全策略乃至业务系统进行全方位的“测绘”。这些信息是后续横向移动、权限提升、数据窃取乃至最终控制整个内网域环境的关键“地图”。对于安全从业者而言无论是进行授权的渗透测试以评估企业防御能力还是作为蓝队成员了解攻击者的视角以加固防御深入掌握Windows内网信息收集的技术、工具和思路都至关重要。这能让你理解攻击链的初始环节从而在日志中识别异常行为在策略上封堵信息泄露的途径。接下来我将以一个实战者的角度拆解在Windows内网中我们具体要收集什么、用什么工具收集、以及如何高效、隐蔽地完成这项任务。2. 信息收集的核心目标与分类在开始敲命令之前我们必须明确目标到底要收集什么杂乱无章地运行工具只会产生噪音。我将内网信息收集的目标分为几个层次从基础到深入像剥洋葱一样层层递进。2.1 基础系统与网络信息这是最直接的一层目的是了解你当前所在的“侦察兵”自身状况及其直接可见的周边环境。当前主机信息包括操作系统版本、补丁情况、主机名、当前登录用户及权限级别是否是本地管理员、系统架构x64/x86、安装的软件列表、进程列表、服务列表、计划任务、网络共享等。这些信息能帮助你判断这台机器的价值是否重要权限是否够高并寻找本地提权的可能。网络配置信息包括IP地址、子网掩码、默认网关、DNS服务器、ARP缓存表、路由表、活跃的网络连接ESTABLISHED状态的连接尤其重要可能指向内网其他服务器。这帮你勾勒出当前主机所在的网段拓扑。用户与组信息本地用户账户、本地组成员关系。特别是要关注哪些用户属于“Administrators”组。2.2 内网资产与拓扑发现这一层开始向外探索目标是绘制内网“地图”。存活主机发现在同一网段或跨网段中有哪些IP地址是活跃的这是所有后续动作的基础。我们常使用ICMP Ping扫描、ARP扫描同网段效率极高、TCP/UDP端口扫描等技术。端口与服务探测发现存活主机后需要探测它们开放了哪些端口运行着什么服务。例如445端口SMB文件共享、135端口RPC、139端口NetBIOS、389/636端口LDAP、3389端口RDP等都是Windows内网中的关键服务端口。操作系统与设备指纹识别通过TTL、TCP/IP协议栈差异、特定服务的banner信息判断目标主机是Windows、Linux还是网络设备以及大致的版本。2.3 域环境信息深度挖掘如果内网采用了Active DirectoryAD域环境那么信息收集的“宝藏”就真正打开了。域是Windows内网管理的核心控制了域就几乎等于控制了整个网络。域基础信息确认当前主机是否已加入域。如果已加入获取域名、域控制器DC的主机名和IP地址、域的功能级别等。域内用户与组枚举获取域内所有用户账户、计算机账户、组尤其是特权组如Domain Admins、Enterprise Admins的列表。了解用户的全名、描述、上次登录时间、是否启用、密码策略等。域内关系与信任分析查找域内的组策略对象GPO、组织单位OU结构了解计算机和用户的分布与管理策略。探查域与域之间是否存在信任关系。共享资源与敏感数据定位枚举域内或工作组的网络共享SMB共享寻找可能包含敏感文件如配置文件、数据库备份、代码仓库的共享文件夹。使用关键词搜索文件内容。2.4 凭据与令牌信息获取这是信息收集的“皇冠”目的是获取能够用于身份验证的“钥匙”。内存中的凭据利用工具从Lsass进程内存中提取登录过的用户明文密码、哈希NTLM Hash或Kerberos票据。存储的凭据查找浏览器保存的密码、Wi-Fi密码、RDP连接凭据、PuTTY会话密码、各类管理工具和客户端配置文件中的密码。Windows凭据管理器查看当前用户或系统存储的Windows凭据。Kerberos票据在域环境中获取当前用户的TGT票据授予票据或服务票据可用于票据传递攻击。注意凭据提取行为在防护严格的网络中极易触发告警如Windows Defender Credential Guard、ATP对Lsass的防护。在实际渗透测试中需根据规则和目的谨慎使用并优先考虑不接触Lsass的替代方法。3. 手动命令与内置工具实战在实战中尤其是在环境受限无法上传或运行外部工具的情况下熟练使用Windows系统自带的命令和工具是必备技能。它们低调、有效是“无文件攻击”或“Living off the Land”战术的体现。3.1 系统与用户信息收集打开命令提示符cmd或PowerShell一系列命令可以让你快速了解立足点。查看系统信息systeminfo这个命令会输出一长串信息重点关注“OS 名称”、“OS 版本”判断Win10/WinServer 2016等、“系统类型”64位/32位、“补丁程序”列表。补丁列表可以帮助你快速寻找缺失的漏洞补丁评估提权可能性。查看当前用户和权限whoami whoami /priv net user net localgroup administratorswhoami简单直接。whoami /priv列出当前用户的所有特权例如SeDebugPrivilege调试权限对后续进程注入、凭据提取至关重要。net user和net localgroup administrators用于查看本地用户和管理员组。查看网络配置ipconfig /all arp -a route print netstat -anoipconfig /all获取完整的IP、网关、DNS信息。arp -a查看ARP缓存它能揭示近期与本机通信过的内网IP和MAC地址是发现同网段主机的“被动”方法。route print看路由表判断是否存在多网卡或复杂路由。netstat -ano查看所有网络连接和监听端口-a显示所有-n以数字形式显示地址和端口-o显示关联的进程ID。结合任务管理器可以找出可疑的外连或内连。3.2 内网主机与端口发现无外部工具在没有Nmap、Masscan等专业扫描器时我们可以用系统命令进行基础的探测。同网段存活主机发现ARP由于ARP协议工作在链路层同网段内使用ARP探测速度快且相对隐蔽。# 一种简单的循环Ping但可能触发ICMP日志 for /l %i in (1,1,254) do ping -n 1 -w 50 192.168.1.%i | findstr TTL # 更推荐使用arp命令先Ping一个广播地址或已知IP更新缓存再查看arp缓存 ping 192.168.1.255 -n 1 nul arp -a | findstr “动态”第二种方法更巧妙先ping一个广播地址或一个已知存在的主机这会促使本机发送ARP请求更新ARP缓存表。然后查看ARP缓存中“动态”类型的条目这些就是当前活跃的同网段主机。这种方法没有主动发送大量探测包更隐蔽。端口连接测试Telnet或PowerShellWindows默认可能未安装Telnet客户端但PowerShell是更强大的选择。# 使用Telnet如果可用 telnet 192.168.1.10 445 # 使用PowerShell Test-NetConnection (Windows 8/2012及以上) Test-NetConnection 192.168.1.10 -Port 445如果端口开放Telnet会显示一个空白窗口或连接成功PowerShell命令则会明确返回TcpTestSucceeded : True。你可以写一个简单的PowerShell或批处理脚本来循环测试一批主机的关键端口。3.3 域环境信息枚举如果systeminfo中的“域”字段显示了你所在的域名或者net config workstation命令输出中有“工作站域”信息那么恭喜你进入了一个更有趣的环境。发现域控制器和域名nltest /dsgetdc:域名 # 或者 net group Domain Controllers /domain如果不知道完整域名可以尝试set命令查看环境变量USERDOMAIN或LOGONSERVER后者通常指向为你提供登录服务的域控制器。枚举域用户和计算机net user /domain net group /domain net group Domain Admins /domain net group Enterprise Admins /domain net localgroup /domainnet user /domain会列出域内所有用户账户信息量巨大。net group /domain列出所有域组。重点查看Domain Admins域管理员和Enterprise Admins企业管理员权限更高的成员这些是你的终极目标。查询域内计算机列表net group Domain Computers /domain或者使用更强大的dsquery命令需要安装RSAT工具或直接在域控制器上dsquery computer查找共享资源net view /domain:域名 # 查看某台主机的共享例如域控 net view \\DC01 /all实操心得在真实的渗透测试中直接使用net命令进行大量枚举如net user /domain可能会在域控的安全日志事件ID 4661、4662中留下大量“目录服务访问”审计记录容易被蓝队发现。因此在需要隐蔽的行动中我会优先使用基于LDAP查询的、更低调的工具或者控制查询的频率和范围。4. 专业工具链的自动化收集当手动命令无法满足效率需求或者我们需要更全面、更结构化的信息时就需要借助专业的工具。这些工具通常需要上传到目标机器执行。4.1 综合信息收集工具这类工具是“瑞士军刀”一键运行就能获取大量信息。PowerSploit 的 PowerView这不是一个独立的exe而是一系列PowerShell脚本。它通过.NET与AD交互功能极其强大且灵活。# 导入模块后可以执行诸如 Get-NetDomain # 获取域信息 Get-NetUser # 获取域用户 Get-NetComputer # 获取域计算机 Get-NetShare # 枚举共享 Find-LocalAdminAccess # 寻找当前用户具有本地管理员权限的机器PowerView的优势在于它是纯PowerShell可以绕过一些应用白名单策略并且能进行非常复杂的查询和过滤。缺点是需要在内存中加载脚本可能被AMSI反恶意软件扫描接口拦截。BloodHound 的采集器 SharpHound / IngestorBloodHound是域渗透的“核武器”而SharpHound是它的数据采集器。它不直接用于攻击而是通过LDAP查询、本地API调用、会话枚举等方式收集域内用户、组、计算机、权限、会话等所有关系数据生成一个JSON文件。然后你可以在自己的攻击机上用BloodHound图形界面导入这个JSON它会自动分析出通往域管理员的最短路径例如哪些用户对哪些机器有本地管理员权限、哪些用户是敏感组的成员等。SharpHound.exe -c All运行后它会生成一个压缩包。这个工具非常高效但采集行为本身大量的LDAP查询和网络会话枚举在开启详细审计的域中会非常明显。Empire / Covenant 等C2框架的信息收集模块如果你已经通过C2命令与控制框架建立了会话那么框架内部通常集成了完善的信息收集模块。例如在Empire中你可以使用shell whoami执行系统命令也可以使用专门的模块如powershell/situational_awareness/network/portscan进行端口扫描powershell/situational_awareness/host/winenum进行主机枚举。这些模块的输出会直接回传到C2服务器便于集中管理。4.2 网络扫描与资产发现工具Nmap虽然是Linux下的神器但在Windows上同样有编译好的版本。它功能全面从主机发现、端口扫描到服务版本探测、操作系统识别、甚至漏洞脚本扫描。nmap -sn 192.168.1.0/24 # 主机发现扫描 nmap -sS -sV -O 192.168.1.10 # SYN扫描服务版本探测操作系统识别 nmap -p 445,3389,135,139 --script smb-os-discovery,smb-enum-shares 192.168.1.0/24 # 针对SMB的脚本扫描在内网使用Nmap需要注意扫描速度过快的全端口扫描可能触发IPS/IDS告警。Masscan号称“世界上最快的端口扫描器”采用异步传输速度极快适合在拥有高带宽权限时快速扫描大网段。masscan 10.0.0.0/8 -p445 --rate10000但它的准确性有时不如Nmap且攻击特征明显通常用于初步的广撒网式探测。Advanced IP Scanner / Angry IP Scanner这类是带有图形界面的轻量级扫描工具易于使用能快速发现网络中的设备并尝试识别设备类型和主机名。在需要快速进行可视化侦察时很有用。4.3 凭据提取工具这是最敏感的一类工具务必在授权测试中谨慎使用。Mimikatz凭据提取的“王者”。最著名的功能是从Lsass进程内存中提取明文密码、NTLM哈希、Kerberos票据。privilege::debug # 尝试提升到Debug权限 sekurlsa::logonpasswords full # 提取内存中的凭据在Windows 10/2012 R2之后由于LSASS保护机制直接运行sekurlsa::logonpasswords可能失败或无法提取明文。需要配合其他技术绕过如使用Mimidrv驱动、利用SspiCli.dll等。Procdump 本地解析一种更隐蔽的方式。先用微软官方的调试工具Procdump将Lsass进程的内存转储到磁盘。procdump.exe -accepteula -ma lsass.exe lsass.dmp然后将dump文件下载到你的攻击机在本地用Mimikatz读取。mimikatz # sekurlsa::minidump lsass.dmp mimikatz # sekurlsa::logonpasswords这种方式避免了在目标机器上直接加载Mimikatz可能绕过一些内存扫描。LaZagne / Windows Credential Editor (WCE)这些工具专注于提取系统中存储的各种凭据如浏览器密码、Wi-Fi密码、RDP凭据、VNC密码等。LaZagne是跨平台的模块化设计可以针对特定应用进行提取。重要警告凭据提取行为是安全防护的重点监控对象。现代EDR终端检测与响应产品对进程注入、对Lsass的访问、调用特定API如LsaEnumerateLogonSessions有高度敏感的检测规则。在对抗性强的环境中需要采用更高级的绕过技术或者优先寻找其他途径如窃取令牌、滥用Kerberos协议缺陷而非直接提取密码哈希。5. 隐蔽与规避技巧实录在真实的攻防对抗中粗暴的信息收集会迅速暴露你的行踪。蓝队的安全运营中心SOC盯着各种日志和告警。因此隐蔽性和规避能力至关重要。5.1 降低扫描与枚举的噪音慢速扫描避免使用Nmap的-T5疯狂模式或Masscan的极高发包速率。使用-T2礼貌模式或-T1猥琐模式并添加随机延迟--scan-delay、--max-rate限制速率。分散扫描源如果控制了多台跳板机可以将扫描任务分散到不同主机、不同时间段进行避免单一IP产生大量可疑流量。使用合法协议和端口将扫描流量伪装成正常的业务流量。例如使用基于DNS协议的信息渗出工具如DNS隧道进行数据传输或者将扫描命令嵌入到正常的HTTP/HTTPS请求中。利用信任关系如果域内存在管理通道如WinRM、PSRemoting可以优先在这些通道内执行命令其产生的日志可能不同于普通的网络扫描日志。5.2 绕过日志与审计清除事件日志在获取足够权限后可以使用wevtutil命令清除Windows事件日志但这是一个非常明显的入侵指标不到万不得已不应使用。wevtutil cl System wevtutil cl Security wevtutil cl Application使用无文件技术尽可能在内存中执行操作不向磁盘写入文件。使用PowerShell的IEX (New-Object Net.WebClient).DownloadString()方式从远程加载脚本到内存执行或者使用C2框架的纯内存模块。混淆命令与流量对执行的命令进行编码如Base64、混淆避免在命令行日志中出现敏感关键词。使用加密的C2通道。5.3 针对AV/EDR的绕过工具免杀对常用的信息收集工具如Mimikatz、PowerView的ps1脚本进行代码混淆、加壳、修改特征码或者自己用C#/Go/Python重写核心功能编译成白名单程序签名的样子。Living off the Land最大化利用系统自带组件。除了前面提到的net、dsquery还有wmic、sc、reg等。PowerShell本身就是一个极其强大的“合法”工具通过加载仅存在于内存中的脚本片段如AMSI绕过脚本来执行恶意功能。进程注入与父进程欺骗将恶意代码注入到explorer.exe、svchost.exe等可信进程的内存空间中执行并伪造其父进程为services.exe等系统进程以绕过基于进程链的检测。直接系统调用Syscall高级攻击者会直接调用操作系统底层函数如NtReadVirtualMemory而不是通过高级API如ReadProcessMemory因为许多EDR通过Hook这些高级API来监控行为而直接系统调用可以绕过这些Hook。6. 信息整理与后续攻击路径规划收集到海量信息后如何整理并转化为攻击路线图是关键。杂乱的数据没有价值。1. 建立资产清单创建一个表格或数据库记录所有发现的IP、主机名、开放端口、操作系统、发现的用户特别是高权限用户、共享资源、凭据片段等。推荐使用OneNote、CherryTree或专门的渗透测试管理平台如Dradis, Serpico。2. 绘制网络拓扑图根据路由信息、ARP表、扫描结果尝试绘制内网的网络拓扑。识别出核心网段如服务器区、管理区、隔离区DMZ、办公网段等。这有助于理解数据流向和信任边界。3. 标识高价值目标权限目标域控制器、备份服务器、安全管理系统如SIEM、防病毒控制台、数据库服务器。数据目标文件服务器、代码仓库Git/SVN、邮件服务器、 confluence/Wiki知识库。用户目标域管理员、企业管理员、IT运维人员、高管账户。4. 规划横向移动路径结合BloodHound的分析结果或手动分析规划从当前立足点到高价值目标的路径。例如当前用户 - 对某台服务器有本地管理员权限通过Find-LocalAdminAccess发现- 在该服务器上获取新凭据 - 新凭据是某个域组的成员 - 该组对域控制器有某些权限...或者发现一个弱口令或通用口令的域用户 - 该用户在多台机器上有RDP登录权限 - 通过RDP登录其中一台再次进行信息收集...5. 制定凭证利用策略明文密码可以直接用于远程登录如RDP, WinRM、运行runas命令、访问共享等。NTLM哈希可用于哈希传递攻击Pass-the-Hash, PtH在不需要明文密码的情况下向支持NTLM认证的服务如SMB, RPC进行身份验证。工具如Mimikatz的sekurlsa::pth或Impacket套件中的psexec.py、smbexec.py。Kerberos票据可用于票据传递攻击Pass-the-Ticket, PtT或黄金票据/白银票据攻击直接获取对特定服务的访问权限。信息收集绝非一次性任务而是一个贯穿整个内网渗透测试周期的持续性活动。每当你获得新的立足点、新的权限都需要重新进行一次局部或全局的信息收集更新你的“地图”因为新的位置可能让你看到之前看不到的网络区域和资产。这个过程是循环往复、不断迭代的直到你达成最终的攻击目标。真正的挑战不仅在于收集更在于如何在海量信息中快速找到那条通往胜利的、最隐蔽的路径。
