域控-信息收集

判断域

命令汇总：

net view /domain 查询域列表
net time/domain 从域控查询时间，若当前用户是域用户会从域控返回当前时间，亦用来判 断主域，主域一般用做时间服务器
net localgroup administrators 本机管理员【通常含有域用户】
net user /domain 查询域用户(当前域)
net group /domain 查询域工作组
net group "domain computers" /domain 查看加入域的所有计算机名
net group "domain admins" /domain 查询域管理员用户组和域管用户
net localgroup administrators /domain 查看域管理员
net group "domain controllers" /domain 查看域控
net accounts /domain 查看域密码策略

定位域控

• 通常域内主机 DNS 地址就是域控地址
• 查看是否开启 53(DNS)，88(kerberos)，389(LDAP) 等端口
• ping 域控计算机名
• 利用nbtscan扫描识别，标注SHARING DC即为域控
• 域控计算机名可以通过3389信息，如用户切换时的提示查看
• 还可以通过smb嗅探POWERSHELL

nltest /DCLIST:ak 查看域控制器的机器名
Nslookup -type=SRV_ldap._tcp 查看域控制器的主机名
net time /domain 查看当前时间，还可以看主域控
net group "Domain Controllers" /domain 查看域控制器组
netdom query pdc 查看域的主域控制器

如果获得是一台不在域内的机器，可以通过端口扫描探测，开放389端口的机器，如果DC和DNS在同一个服务器也会开放53端口。

定位域管

在域网络攻击测试中，获取域内的一个支点后，需要获取域管理员权限；定位域内管理员的常规渠道，一是日志，二是会话。
常见域管理员定位工具：

• psloggedon.exe
• PVEFindADUser.exe
• netview.exe
• Nmap的NSE脚本
• PowerView脚本
• Empire的user_hunter模块

简单方法：

net group "Domain admins" /domain 查询域管理员用户
net group "Enterprise admins" /domain 查询管理员用户组

非域信息收集

信息收集包括操作系统、权限、内网IP地址段、杀毒软件、端口、服务、补丁更新频率、网络连接、共享、会话等。如果是域内主机，那么操作系统、应用软件、补丁、服务、杀毒软件一般都是批量安装的。

• 查询网络配置信息
• 查询操作系统及软件信息
• 查询本机服务信息