@
🍫测试网络状态--ping
命令 | 功能 |
---|---|
ping 网址/IP | 测试是否可以访问目标网络地址。发三次数据包 |
ping -t 网址/IP | ping指定的主机,直到停止 |
ping -t -l size 网址/IP | ping指定的主机并指定发送数据包大小,直到停止 。死亡之ping:ping -t -l 65500 网址/IP (最大size为65500) |
ping (Packet Internet Groper),因特网包探索器,用于测试网络连接量的程序。Ping发送一个ICMP;回声请求消息给目的地并报告是否收到所希望的ICMP echo (ICMP回声应答)。它是用来检查网络是否通畅或者网络连接速度的命令
ICMP协议是“Internet Control Message Protocol”(因特网控制消息协议)的缩写。它是TCP/IP协议族的一个子协议,用于在IP主机、路由器之间传递控制消息。
ping是端对端连通,通常用来作为连通可用性的检查,但是某些恶意程序会通过大量执行 ping 命令来抢占网络资源,导致系统变慢,网速变慢(如部分DOS攻击会使用此方式)
返回的数值包括字节、时间和TTL。时间是表示和这个地址连接的时间长短,数值越小表示时间越快。TTL值表示生存时间(Time To Live),指数据被路由器丢弃之前允许通过的网段数量。
🍫IP地址信息--ipconfig
命令 | 功能 |
---|---|
ipconfig /all | 获取windows主机所有网卡的IP地址信息 |
ipconfig /release | 释放网络IP位置 |
ipconfig /renew | 更新网络IP位置 |
ipconfig /flushdns | dns解析器暂存内容全数删除 |
🍫获取端口信息--netstat
命令 | 功能 |
---|---|
netstat -an | 获取主机所有网络连接及开放端口信息 |
netstat -ano | 获取网络连接、端口、进程号 |
netstat -anob | 获取网络连接、端口、进程号和进程名称 |
netstat -v | 查看正在进行的工作 |
netstat -an -p tcp | 列举指定协议的信息,协议(IP、IPv6、ICMP、ICMPv6、TCP、TCPv6、UDP 和 UDPv6) |
查看该端口被那个PID所占用
netstat -ano | findstr 端口号
发现没有本地的80端口被占用
端口号为5354,所对应的PID为4808
查看该PID对应的进程名称
tasklist | findstr 4808
netstat -anob
可以直接查看端口号对应的进程和对应的PID
🍫获取服务信息--net start
命令 | 功能 |
---|---|
net start | 查看系统开启的所有服务 |
net start 服务名 | 开启指定服务 |
net stop 服务名 | 关闭指定服务 |
Windows很多第三方程序都是通过服务运行的。
如果攻击者从服务信息中获取了第三方程序的名称,即可利用相关漏洞进程提权。
服务信息的收集还可以用于关闭杀毒软件和防火墙
services.msc
图形化界面查看服务
🍫用户账户管理--net user
命令 | 功能 |
---|---|
net user admin 123 /add | 添加用户 |
net user admin /del | 删除用户 |
net localgroup administrators admin /add | 将指定用户添加为管理员 |
net localgroup administrators | 查看系统管理员用户组 |
net localgroup "Remote Desktop Users" admin /add | 将用户添加为远程桌面用户组 |
net user admin | 查看用户信息 |
net user admin /active:yes | 激活用户 |
net user admin 1234 | 修改用户密码 |
net user | 查看所有用户 |
🍫获取进程信息--tasklist
前面有提到
命令 | 功能 |
---|---|
tasklist | 显示本机的所有进程信息,包括进程名、进程D、会话名、内存情况 |
tasklist /s IP /u 用户名 /p 密码 | 显示远程主机的所有进程信息tasklist /s 192.168.1.3 /u admin /p 123 |
tasklist /m 模块名 | 查看哪些进程含有指定模块 tasklist /m rundll32.dll |
tasklist | findstr "notepad" | 查询指定进程信息 |
taskkill /im 杀软.exe /f | 结束进程 |
taskkill /pid 10032 | 结束进程 |
🍫地址解析--arp
命令 | 功能 |
---|---|
arp -a或者arp /a | 局域网内所有连接的主机信息,包括ip,mac,它们之间的一一对应 |
arp -s IP MAC | 绑定或添加一条ARP记录 |
arp -s |
ARP命令是地址解析协议,它也是一种TCP/IP协议,作用是根据IP地址来获取设备的MAC地址。经常用到的包括查询、添加和删除记录。
关注arp欺骗
🍫获取系统信息
命令 | 功能 |
---|---|
systeminfo | 显示系统信息,打补丁信息 |
systeminfo /s IP /u 用户名 /p 密码 | 显示远程主机系统信息,打补丁信息 |
ver | 查看系统内核 |
whoami | 查看当前连接的用户 |
query user | 查询登录本机的所有用户(一般用于windows server) |
systeminfo查看补丁,非常重要,可以使用该系统未打补丁的漏洞,去进行提权之类的
🍫网络共享--net share
命令 | 功能 |
---|---|
net share | 查看本地开启的共享 |
net share ipc$ | 开启ipc$共享 |
net share ipc$ /del | 删除ipc$共享 |
net share c$ /del | 删除C:共享 |
\\本机IP地址\C$
是直接能访问到的
🍫计划任务--at和schtasks
计划任务可用于提权
命令 | 功能 |
---|---|
at id号 | 开启已注册的某个计划任务 |
at 时间 命令 | 新建一个计划任务 at 10:09 "c:\windows\system32\cmd.exe" |
at /delete | 停止所有计划任务 |
at id号 /delete | 停止某个已注册的嘉计划任务 |
at | 查看所有的计划任务 |
schtasks | 查看所有计划任务 |
windows10弃用at
内网信息收集时候会用到很多windows命令,不止上述内容