windows信息收集

windows

基础知识

注册表编辑器

win+r 输入regedit

命令

hostname

whoami

ipconfig，iconfig /?表示查看帮助手册

cls：清除

netstat：查看tcp/ip连接

net：用于管理网路资源

icacls：用于管理

权限标识

M：修改

W：写

R：读

X：列出文件夹内容

F：完全控制

RX：读取和执行

WX：更改和执行

打开控制面板的命令：control.exe

打开用户账户控制设置的命令：UserAccountControlSettings.exe

收集windows信息的技巧

1. whoami /priv- 当前用户的权限
2. net users- 列出所有用户
3. net user <username>- 列出特定用户的详细信息
4. qwinsta- 其他用户同时登录
5. net localgroup- 系统中可用的组
6. net localgroup <group-name>- 列出特定组的成员
7. systeminfo- 提供有关操作系统的所有信息
8. hostname- 系统的主机名
9. findstr /si password *.txt- 我们正在寻找文本文件中也包含“密码”的文件
10. wmic qfe get Caption,Description,HotFixID,InstalledOn- 这讲述了安全补丁和相关信息
11. netstat -ano- 与机器相关的连接
12. schtasks /query /fo LIST /v- 查找任何已安排的任务
13. driverquery- 列出驱动程序相关信息
14. sc query windefend- 寻找防病毒服务

windows部署服务

当大量安装windows系统时使用该服务，该服务需要管理员进行初始设置

设置可能存储的位置：

C:\Unattend.xml
C:\Windows\Panther\Unattend.xml
C:\Windows\Panther\Unattend\Unattend.xml
C:\Windows\system32\sysprep.inf
C:\Windows\system32\sysprep\sysprep.xml

powershell历史

一旦使用powershell命令，就会产生一个文件记录命令历史

如果密码是命令的一部分（参数），则：

cmd.exe读取：

type %userprofile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt

powershell读取：

type %$Env:userprofile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt

上述的%userprofile%和%userprofile%是一个变量，会被替换为当前用户的文件夹路径，后面的路径指向历史记录文件

保存的 Windows 凭据

cmdkey /list#列出当前计算机存储的凭据信息
runas /savecred /user:admin cmd.exe#指定以某用户身份运行一个命令窗口

IIS配置文件

web.confug

可能路径：

C:\inetpub\wwwroot\web.config
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\web.config

在web.config查找数据库连接字符串

type C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\web.config | findstr connectionString

putty-ssh客户端

搜索代理password

reg query HKEY_CURRENT_USER\Software\SimonTatham\PuTTY\Sessions\ /f "Proxy" /s

reg query 用于在注册表查询指定键和值

HKEY_CURRENT_USER\Software\SimonTatham\PuTTY\Sessions\：注册表位置

/f "proxy"：指定搜索的值的关键词

/s ：递归搜索子键和子值