域内信息搜集实战：从零构建内网渗透侦察地图

1. 从“我是谁”开始：一次真实的域内信息搜集实战复盘

如果你刚拿到一个内网渗透的授权测试任务，或者作为安全运维人员需要摸清自家网络的家底，第一步该做什么？很多人会直接去搜各种工具命令，但往往忽略了最根本的问题：我当前是谁？我在哪？在一次真实的红队评估项目中，我见过太多新手拿到一个低权限的域用户账号后，就急吼吼地开始横向移动，结果因为对当前环境的基本信息一无所知，操作起来像无头苍蝇，要么触发告警，要么效率极低。域内信息搜集，远不止是运行几个命令那么简单，它是一个有逻辑、有层次、有目的的“摸底”过程。今天，我就以一个真实的内网渗透视角，带你走一遍从“零”开始的域内信息搜集全流程，重点不是罗列命令，而是告诉你为什么要搜集这些信息，以及如何把它们串联起来，形成对目标网络的立体认知。

简单来说，域内信息搜集的目标是：明确当前权限、定位关键资产、发现攻击路径、评估安全状况。它是一切后续行动（无论是攻击方的横向移动、权限提升，还是防守方的资产梳理、风险排查）的基石。对于新手，掌握一套系统性的信息搜集方法论，远比死记硬背几十条命令更重要。下面，我们就从最基础的“立足点”信息开始。

2. 立足点信息：确认身份、主机与网络环境

当你通过某种方式（比如钓鱼、漏洞利用）获得了一个命令行窗口（cmd或powershell）时，第一件事不是去探测别人，而是先搞清楚“自己”的处境。这就像特种部队空降到陌生区域，首先要确认自己的坐标、装备和周围环境。

2.1 我是谁？——用户与权限信息

权限是内网行动的“通行证”。你需要立刻确认当前会话的身份和权限级别。

whoami与whoami /all这是最基础的命令。whoami告诉你当前用户名，而whoami /all则输出详细信息，包括用户SID、所属组以及组权限。关键要看：

• 用户名格式：是DOMAIN\user这种域用户格式，还是COMPUTERNAME\user这种本地用户格式？这直接决定了你是在域环境还是工作组环境。
• 特权组：检查是否在BUILTIN\Administrators（本地管理员）、Domain Admins（域管理员）、Enterprise Admins（企业管理员）等高权限组中。一个常见的误判是，用户可能同时属于多个组，但当前令牌（Token）可能没有包含所有组的权限，这时需要特别注意。

net user与net user /domainnet user查看本地用户列表。而net user [username] /domain或net user /domain则是查询域用户信息的关键。如果没有指定用户名，它会尝试列出所有域用户（在大型域中可能失败或返回不完整列表）。更常用的是查询特定用户：net user jack /domain。这会返回该用户的详细信息，包括：

• 全名、描述（可能包含密码提示或联系方式）。
• 上次登录时间、密码过期时间、是否可以更改密码。
• 本地组成员和全局组成员。这里能看出该用户在域内的角色和权限范围。

实操心得：net命令是古老但极其可靠的信息源，几乎所有Windows系统都默认可用，且对网络流量的特征相对较小，不易触发基于进程名的告警。但它的输出是纯文本，解析起来稍麻烦。

net localgroup administrators这条命令快速列出本地管理员组的所有成员。这里经常能发现“惊喜”，比如域用户被加入了本地管理员组，这为你后续的横向移动提供了潜在目标。同样，可以用net localgroup “Remote Desktop Users”查看有远程桌面权限的用户。

2.2 我在哪？——主机与网络配置信息

明确了身份，接下来要搞清楚所在主机的状况和它在网络中的位置。

hostname与ipconfig /allhostname获取计算机名。ipconfig /all则是网络信息的宝库，你需要关注：

• IPv4地址：判断IP段（如192.168.1.0/24,10.10.10.0/24），初步推测网络规模。
• DNS服务器：域环境的DNS服务器通常就是域控制器（DC）。看到DNS服务器指向一个域名的IP（如10.10.10.10），这很可能就是DC的地址。
• DHCP服务器：有时DHCP服务器和DC是同一台，也是一个线索。
• 域名：在“连接特定的 DNS 后缀”或“DNS 后缀搜索列表”中，可能会看到域的全名（如corp.internal）。

systeminfo这个命令会花一点时间，但能提供一份非常详细的系统报告。重点关注：

• OS 名称/版本：判断系统是Win7、Win10还是Server系列，以及具体版本号（如10.0.17763）。这直接关联到可用的漏洞和提权方法。
• 系统启动时间：可以推断主机的稳定性、是否有定期重启策略（比如补丁日）。
• 热修补程序：这里会列出已安装的补丁KB号。你可以快速扫一眼，看看有没有缺失的、众所周知的漏洞补丁（比如永恒之蓝对应的MS17-010）。但注意，这里列出的是“已安装”的，你需要自己有一个已知漏洞补丁的清单进行对比。

netstat -ano查看当前所有的网络连接和监听端口。这是发现“邻居”和本机开放服务的关键。

• ESTABLISHED 状态的连接：可以看到当前主机正在和哪些IP的哪些端口通信。这能帮你发现内网中活跃的服务器（如数据库、文件共享、管理平台）。
• LISTENING 状态的端口：本机开放了哪些服务。常见的如135（RPC）、445（SMB）、3389（RDP）、1433（MSSQL）、5985/5986（WinRM）等。这些端口可能成为你进一步利用或横向移动的入口。
• PID（进程标识符）：-ano参数中的o就是显示PID。你可以用tasklist | findstr [PID]来查看是哪个进程在监听或连接，从而判断服务的性质。

2.3 我在哪个域？——初步的域环境感知

通过以上信息，你应该能初步判断是否处于域环境中，并获取一些线索。

net config workstation这个命令会清晰地告诉你：

• “工作站域” -> 你当前计算机加入的域。
• “登录域” -> 你当前用户登录的域。
• “工作站活动目录的 DNS 名称” -> 域的完整DNS名称。

nltest /dsgetdc:[域名]如果你已经知道了域名（比如从ipconfig或net config中），可以用这个命令查询域控制器的信息。它会返回DC的主机名、IP地址、GUID、站点等信息。/dsgetdc:后面跟域名，如果不知道，可以尝试跟*或者从net config workstation的输出里获取。

踩坑记录：在一次测试中，ipconfig显示的DNS后缀是branch.corp.com，但用nltest /dsgetdc:branch.corp.com却失败了。后来发现，实际的域根是corp.com，分支站点有自己的子域。这时需要用nltest /dsgetdc:corp.com才能找到根域的DC，然后再通过其他方式定位分支站的DC。所以，DNS后缀不一定就是域的根。

至此，你已经完成了对“立足点”的全面侦察。你知道了自己的权限、主机信息、网络配置，并对所属域有了初步认识。接下来，我们要把目光从自身移开，开始探索整个域森林。

3. 绘制域地图：发现用户、组、计算机与信任关系

有了立足点，下一步就是绘制一张尽可能详细的“域地图”。这包括域内的所有主体（用户、组、计算机）以及域与域之间的关系（信任）。这部分信息是规划横向移动路径的核心依据。

3.1 枚举域用户与用户组

域用户和组是权限的载体。枚举它们是为了找到高价值目标（如管理员）和了解权限分配模型。

使用net命令进行基础枚举

• net user /domain：如前所述，尝试列出域用户。在超过1000个用户的大域中，此命令可能不返回结果或只返回部分。
• net group /domain：列出域中的所有全局组。你会看到像Domain Admins,Domain Users,Enterprise Admins,Schema Admins这样的关键组。
• net group “Domain Admins” /domain：查询“Domain Admins”组的具体成员。这是皇冠上的明珠，必须第一时间获取。
• net group “Enterprise Admins” /domain：企业管理员组，权限通常高于域管理员，存在于林根域中。
• net group “Domain Controllers” /domain：列出所有域控制器计算机账户。

使用PowerShell进行更灵活的查询PowerShell的Get-AD*cmdlets 功能更强大，但需要RSAT工具或已在DC上。如果当前主机有PowerShell且权限足够，可以尝试：

• Get-ADUser -Filter * -Properties * | select Name, SamAccountName, Description, LastLogonDate, Enabled：获取所有用户的基本信息和最后登录时间。可以加上| Export-Csv users.csv导出分析。
• Get-ADGroup -Filter * | select Name：获取所有组。
• Get-ADGroupMember -Identity “Domain Admins” -Recursive：递归获取“Domain Admins”组的所有成员（包括嵌套在子组中的成员）。

注意事项：大规模枚举AD对象会产生大量日志（4662事件等），在防守严密的网络中容易被发现。在实际渗透中，需要根据情况选择是“快准狠”地抓取关键组信息，还是“细水长流”地低流量收集。对于新手练习，在授权测试环境中可以放开手脚。

3.2 枚举域内计算机

知道了管理员是谁，还要知道他们可能管理哪些机器。枚举域内计算机是为了找到潜在的攻击目标。

net view /domain与net view /domain:[域名]net view /domain列出当前域或信任域。net view /domain:corp.com则列出指定域内所有可浏览的计算机（主要是开启了Server服务的机器）。这个列表通常不完整，但速度快。

net group “Domain Computers” /domain这个命令理论上应该列出所有加入域的计算机账户。但在大型域中，也可能有数量限制或执行问题。

使用PowerShell或LDAP查询更可靠的方式是通过LDAP协议直接查询Active Directory数据库。可以使用Get-ADComputer：

• Get-ADComputer -Filter * -Properties * | select Name, DNSHostName, OperatingSystem, LastLogonDate：获取所有计算机的详细信息，包括操作系统和最后登录时间。这对于后续选择适合的攻击载荷（例如，针对Win7和Win10的漏洞可能不同）非常有帮助。

3.3 探查域信任关系

在大型企业网络中，可能存在多个域，并通过信任关系连接成“林”。了解信任关系可以帮助你规划从子域到父域，甚至到其他林的攻击路径。

nltest /domain_trusts或nltest /domain_trusts /all_trusts这是查看信任关系最直接的工具。它会列出当前域的所有信任域，以及信任类型（如Parent-Child,Cross-Link,External,Forest）。

• 父子信任：双向可传递信任。从子域可以访问父域资源，反之亦然。这是最常见的。
• 林信任：两个林之间的信任，可能是双向可传递的，权限扩展范围广。
• 外部信任：与非林内域建立的单向或双向非传递信任。

netdom query trust /domain:[当前域名]这个命令也能列出信任关系，输出格式更友好一些。

理解信任关系后，一个经典的攻击思路是：如果攻陷了一个子域，并且该子域与父域存在双向可传递信任，那么子域中的 Domain Admins 组可能被添加到父域资源的访问控制列表（ACL）中，或者存在跨域的资源共享，从而为攻击父域创造条件。这就是所谓的“跨域信任攻击”或“林内横向移动”的基础。

4. 定位皇冠：寻找域控制器与关键服务器

域控制器（DC）是域的灵魂，存放着所有账户的密码哈希（NTDS.dit）。此外，一些关键服务器（如文件服务器、数据库服务器、邮件服务器）也存储着高价值数据。定位它们是信息搜集的高优先级目标。

4.1 定位域控制器

通过DNS记录由于DC会注册大量SRV记录，所以DNS查询是最有效的方法之一。

• nslookup -type=SRV _ldap._tcp.dc._msdcs.[域名]：查询指定域下所有DC的LDAP服务记录。
• 在PowerShell中：Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.com这些命令会返回DC的主机名和端口。

通过NetBIOS或网络命令

• net group “Domain Controllers” /domain：直接列出DC计算机账户名。
• ping [域名]：通常，直接ping域名会返回主DC的IP地址（因为域名解析到DC）。
• nltest /dsgetdc:[域名]：前面提到过，最权威的命令之一。

识别主DC与备DC

• 通常主机名带PDC、PRIMARY字样的可能是主域控制器（PDC仿真器角色持有者），但并非绝对。
• 可以通过netdom query fsmo查询五大FSMO（操作主机）角色所在DC。PDC仿真器、RID主机、结构主机通常在同一台DC上，而域命名主机和架构主机在林根域。

4.2 发现文件服务器与共享资源

文件服务器上往往有业务数据、配置文件甚至密码清单。

net view \\[计算机名]查看特定计算机上共享了哪些文件夹。例如net view \\dc01。

net share在本机运行，查看本机开启了哪些共享。但更常用的是扫描内网其他主机的共享。

使用net use和手动浏览你可以尝试用当前凭证连接共享：net use Z: \\fileserver\sharename。如果成功，就可以像本地磁盘一样浏览。但更高效的方法是使用扫描工具，或者写一个简单的PowerShell脚本循环尝试常见的共享名（如C$,ADMIN$,IPC$,NETLOGON,SYSVOL）。

特别关注SYSVOL和NETLOGON这是域控制器上的两个关键共享，所有域成员都能访问。

• \\[域名]\SYSVOL\[域名]\Policies\：这里存储着组策略文件（GPO）。有时能在Groups.xml、ScheduledTasks.xml等文件中找到经过AES加密的密码，且微软公开了加密密钥，可以轻松解密。这是“GPP密码”漏洞，虽然老，但在一些疏于管理的网络中依然存在。
• \\[域名]\NETLOGON\：存储登录脚本。

4.3 探查其他关键服务

• 数据库服务器：扫描1433(MSSQL),1521(Oracle),3306(MySQL) 等端口。可以用netstat -ano看本机连接，或者用端口扫描器扫内网段。
• Web应用/管理平台：扫描80,443,8080等端口。内网系统往往安全性较弱，可能存在默认口令或已知漏洞。
• 远程管理服务：5985/5986(WinRM/PowerShell Remoting),3389(RDP),22(SSH，Linux系统)。拥有这些服务访问权限，结合适当的凭证，就能直接控制目标。

定位到这些关键资产后，你的攻击面就从单个点扩展到了整个网络的面。接下来，你需要一种更高效、更自动化的方式来持续收集和整合这些信息。

5. 自动化与进阶：使用脚本和工具进行深度搜集

手动命令适合小规模、针对性的查询，但对于全面的信息搜集，我们需要借助脚本和工具。它们能自动化流程，解析输出，并以更结构化的方式呈现结果。

5.1 PowerShell 脚本：灵活强大的原生武器

PowerShell是Windows环境下的终极脚本工具，无需额外下载，且能深度集成系统。

PowerView (PowerSploit 的一部分)这是最著名的AD信息搜集脚本之一。它定义了一系列以Get-开头的函数。

• Get-NetDomain: 获取当前域信息。
• Get-NetUser: 获取域用户信息，支持过滤（如-AdminCount找高权限用户）。
• Get-NetGroup: 获取组信息，Get-NetGroupMember -GroupName “Domain Admins”获取成员。
• Get-NetComputer: 获取计算机信息，可以按操作系统 (-OperatingSystem “*Server*”) 或最后登录时间过滤。
• Get-NetForest: 获取林信息。
• Get-NetTrust: 获取信任关系。
• Find-LocalAdminAccess:神级功能，枚举当前用户具有本地管理员权限的计算机。这对于横向移动的跳板选择至关重要。 使用前需要导入模块：. .\PowerView.ps1。它的优势是纯内存执行，可以不落盘，规避一些静态检测。

ADModule (RSAT) 的 cmdlets如果你在域控制器或有RSAT工具的管理员主机上，可以直接使用Get-ADUser,Get-ADComputer等原生cmdlets，功能强大且稳定。

自定义简单枚举脚本你也可以自己写一些简单的循环，比如遍历IP段测试SMB连接或RDP端口，结合net use或Test-NetConnection来快速定位存活主机和开放服务。

5.2 第三方工具：专业全面的信息搜集套件

BloodHound 与 SharpHoundBloodHound 不是直接运行在目标上的搜集工具，而是一个分析平台。你需要先用数据收集器SharpHound在域内一台主机上运行（需要域用户权限）。SharpHound 会通过LDAP查询、会话枚举、本地组枚举、ACL解析等方式，收集整个AD的拓扑数据，并生成一个JSON文件。 然后，你在自己的攻击机上运行BloodHound界面，导入这个JSON文件。BloodHound会以图形化方式，清晰地展示出：

• 用户到组的归属关系。
• 用户/组到计算机的登录会话（谁登录过哪台机器）。
• 计算机到计算机的远程连接。
• 最关键的是：它会自动分析出从当前用户到高价值目标（如Domain Admins）的攻击路径。它会告诉你“要成为域管理员，你可以先攻陷A用户，因为他本地管理员权限在B机器上，而B机器上有C用户的会话...”，极大提升了攻击效率。 对于防守方，BloodHound同样可以用于发现配置不当的权限路径，清理过宽的访问权限。

CrackMapExec (CME)这是一个瑞士军刀式的后渗透工具，虽然以密码喷射和横向移动闻名，但其信息搜集功能也很强。

• cme smb [IP段] -u [用户] -p [密码] --users：枚举域用户。
• cme smb [IP段] -u [用户] -p [密码] --groups：枚举域组。
• cme smb [IP段] -u [用户] -p [密码] --loggedon-users：枚举目标主机上登录的用户（需要管理员权限）。
• cme smb [IP段] -u [用户] -p [密码] --sessions：枚举目标主机的会话。 CME的优势在于可以批量、快速地针对整个网段进行信息搜集，并将结果很好地输出。

工具使用心法：工具虽好，但不能替代思考。工具输出的是一堆数据，你需要理解数据背后的含义。例如，BloodHound显示了一条攻击路径，你需要判断路径中每个环节的利用条件是否成熟（是否需要特定漏洞、凭证是否有效、服务是否可达）。自动化工具提高了信息搜集的广度、深度和速度，但分析和决策仍然需要人的经验。

6. 信息整合与攻击路径规划：从数据到行动

搜集了大量信息后，面对一堆用户列表、计算机名和组关系，新手往往会感到茫然。关键在于如何将这些零散的信息点，串联成可行的攻击路线图。

6.1 构建目标画像

首先，从搜集到的信息中提炼出高价值目标（Target）：

1. 权限目标：Domain Admins、Enterprise Admins组成员。记录他们的用户名、最后登录时间（判断是否活跃）。
2. 资产目标：
   • 域控制器：终极目标，获取NTDS.dit。
   • 关键服务器：文件服务器（业务数据）、数据库服务器（客户信息）、邮件服务器（通讯录和邮件）、备份服务器（可能存有凭证）。
   • 管理员常用机：通过Get-NetSession或 BloodHound 数据，分析哪些计算机经常有高权限用户登录。这些机器上很可能缓存着他们的凭证（LSASS内存中）。
3. 路径节点：拥有特殊权限或位置的用户/计算机。
   • 在多个计算机上拥有本地管理员权限的用户（通过Find-LocalAdminAccess或 BloodHound 的Shortest Path to Unconstrained Delegation等分析发现）。
   • 配置了无约束委派（Unconstrained Delegation）的计算机：可以捕获其他用户访问它时的TGT票据，如果域管理员访问过这台机器，就能抓到他的TGT，从而模拟他。
   • 拥有敏感ACL权限的用户/组：例如，对某个计算机对象有“写入属性”权限，可能允许你将该计算机设置为无约束委派，或者将你自己的用户添加到该计算机的本地管理员组（Resource-Based Constrained Delegation攻击）。

6.2 分析攻击路径

结合工具（如BloodHound）的分析和手动梳理，规划出几条最有可能的攻击路径。常见的路径模式包括：

路径一：凭证窃取 -> 横向移动

• 场景：你当前用户UserA在Workstation01上。
• 信息：通过net localgroup administrators发现UserB是Workstation02的本地管理员。通过会话枚举发现UserB当前登录在Workstation02上。
• 行动：尝试从Workstation01的内存中（使用Mimikatz等工具）转储UserA的凭证。如果UserA和UserB密码相同（密码复用），或者UserA的密码是UserB密码的变形，你就可以用UserB的凭证登录Workstation02。在Workstation02上，继续寻找更高权限的凭证或横向移动机会。

路径二：权限滥用 -> 直接访问

• 场景：你当前用户UserA。
• 信息：通过BloodHound发现，UserA所在的组GroupX对服务器ServerSQL的C$共享有“写入”权限。
• 行动：直接使用net use连接\\ServerSQL\C$，上传后门或工具，计划任务执行，获取ServerSQL的控制权。因为SQL服务器上很可能有高权限服务账户。

路径三：利用配置缺陷 -> 权限提升

• 场景：你控制了一台服务器ServerWeb。
• 信息：通过setspn -L [计算机账户名]或 PowerView 的Get-DomainComputer检查，发现ServerWeb配置了无约束委派。
• 行动：在ServerWeb上监听或使用工具（如Rubeus）等待高权限用户（如域管理员）来访问该服务器上的服务（可能是IIS，可能是文件共享）。一旦捕获到域管理员的TGT票据，就可以用它向Kerberos申请任何服务的ST，从而以域管理员身份访问任何资源。

6.3 制定行动计划与注意事项

根据梳理出的路径，制定一个优先级列表：

1. 低垂的果实：密码复用、弱口令、明显的共享权限滥用。
2. 需要利用漏洞的路径：例如，利用MS17-010攻击未打补丁的系统，或者利用PrintNightmare漏洞在目标系统上执行代码。
3. 需要特定条件和技巧的路径：如Kerberos委派攻击、ACL滥用等。

在整个过程中，务必注意：

• 日志与监控：大规模LDAP查询、net group /domain命令、PowerShell的Get-AD*操作都会产生明显的日志（Windows安全事件日志中的4662、4657等）。在真实对抗中，需要权衡信息搜集的完整性和隐蔽性。
• 时间窗口：关注用户登录时间。在下班后或凌晨攻击活跃用户的成功率可能更高，但异常登录时间本身也可能成为告警指标。
• 凭证管理：搜集到的明文密码、哈希、票据要妥善保管和使用，避免在多个不安全的跳板上重复使用同一套凭证，导致暴露。

信息搜集不是一次性的动作，而是一个贯穿整个渗透测试周期的持续过程。每获得一个新的立足点（跳板），都应该重新进行一次局部甚至全局的信息搜集，因为新的权限可能让你看到之前看不到的东西（比如被隐藏的OU、更详细的ACL信息）。这套从“自我认知”到“环境侦察”，再到“路径分析”和“工具辅助”的流程，构成了域内信息搜集的完整闭环。掌握它，你就能在内网中从“盲人摸象”变为“心中有图”，行动自然也就有了章法。