windows渗透工具包

Mimikatz 的透工 sekurlsa::logonpasswords 命令在 Windows Server 2016 上抓出明文密码的那一刻，我就知道这台域控已经彻底沦陷了。具包整个过程不到四十秒——前提是透工你手里得有一套趁手的工具包。

Windows 渗透和 Linux 是具包两码事。Linux 下你敲几行 bash 就能搞定大半，透工Windows 的具包认证机制、权限模型、透工日志体系完全是具包另一套逻辑。所以工具的透工选择直接决定效率。

信息收集：先摸清地形

拿到一台 Windows 机器的具包初始权限后，别急着提权。透工先跑 systeminfo 看补丁级别，具包再用 whoami /all 确认当前令牌的透工权限。这两个命令看起来朴素，具包但信息量极大。透工补丁缺失意味着可能有现成的本地提权 EXP 能用，令牌权限则决定了你能碰到哪些文件和服务。

PowerView 是绕不开的。它属于 PowerSploit 框架，用 PowerShell 写的一大堆域环境侦察函数。Get-NetUser、Get-NetComputer、Find-LocalAdminAccess——这几个命令能把域内的用户、机器、信任关系、谁在哪些机器上有本地管理员权限全部拉出来。我习惯把它和 BloodHound 配合用。BloodHound 用图数据库把 AD 的攻击路径可视化，一条从普通用户到 Domain Admin 的最短路径，它几秒钟就能算出来。SharpHound 是它的数据采集端，编译好的 exe 直接丢上去跑就行，不需要 PowerShell 执行权限。

凭据窃取：Windows 渗透的核心战场

Windows 的凭据管理是个深坑。LSASS 进程里缓存着 NTLM hash、Kerberos 票据，有时候还有明文密码——取决于系统版本和补丁策略。Mimikatz 就是冲着 LSASS 去的。privilege::debug 拿到 SeDebugPrivilege，然后 sekurlsa::logonpasswords 一把梭。Windows 10 之后的版本默认开启了 LSA Protection，Mimikatz 直接读会被拦。这时候要么用 Mimikatz 的 PPL bypass 插件，要么换 ProcDump 先把 LSASS dump 下来，再离线用 Mimikatz 解析。

另一种思路是抓 Net-NTLMv2 hash。Responder 伪造 LLMNR/NBT-NS 响应，等目标机器自己把 hash 送过来。拿到之后用 Hashcat 跑字典，弱密码基本撑不住。这个手法在内网里极其好用，因为 Windows 的名称解析机制天生就会往外发广播。

横向移动：从一台到一片

拿到凭据之后就是横向。PsExec 是最老牌的选择，通过 SMB 把服务二进制写到目标机器的 ADMIN$ 共享，然后注册服务执行。缺点是动静大，会在目标机器上留服务记录。Cobalt Strike 的 beacon 在这方面做得更隐蔽，但那是商业工具，不在免费工具包的讨论范围内。

Impacket 是必须提的。这个 Python 库把一堆 Windows 协议实现了个遍。psexec.py、wmiexec.py、smbexec.py——三种横向方式，各有各的适用场景。WMI 执行不会在目标磁盘落地文件，相对隐蔽。还有 secretsdump.py，直接通过 DRSUAPI 远程拉取域控的 NTDS.dit，不用登上去。

后渗透：维持与清理

权限拿到手之后要考虑维持。计划任务、注册表 Run 键、WMI 事件订阅——这三种是常见后门位置。WMI 事件订阅最隐蔽，因为它存在 WMI 仓库里，不在文件系统也不在注册表，常规排查很容易漏掉。

清理阶段，wevtutil cl 可以清事件日志，但清日志本身就会产生一条日志（Event ID 1102），有经验的安全分析师一眼就能看出来。更好的做法是定向删除特定事件记录，不过那需要更底层的操作。

工具包这东西，版本更新很关键。Mimikatz 从 2.0 到 2.2 改了不少东西，老教程里的命令在新版本上不一定能跑。Rubeus 作为 Kerberos 攻击的专用工具，迭代速度也很快。我自己的习惯是每两个月把常用工具从 GitHub 上重新拉一遍，编译好丢进一个加密的 U 盘里。你永远不知道下次拿到的目标机器是什么补丁级别。