域渗透

net view /domain 查询域列表，如果发生 6118 错误尝试：1. 关闭防火墙；2. 打开 computer browse 服务
net time /domain 从域控查询时间，若当前用户是域用户会从域控返回当前时间，亦用来判断主域，主域一般用做时间服务器
net localgroup administrators 本机管理员【通常含有域用户】
net user /domain 查询域用户(当前域)
net group /domain 查询域工作组
net group "domain computers" /domain 查看加入域的所有计算机名
net group "domain admins" /domain 查询域管理员用户组和域管用户
net localgroup administrators /domain 查看域管理员
net group "domain controllers" /domain 查看域控
net accounts /domain 查看域密码策略
ping 域控计算机名   查找域控地址
ipconfig /all  通常域内主机 DNS 地址就是域控地址

adfind.exe -h DNS_SERVER_IP -sc u:rcoil(目标用户)
adfind.exe -h DNS_SERVER_IP -sc u:rcoil | findstr userWorkstations //非域权限执行需要指定账户密码
 
adfind.exe -h DNS_SERVER_IP -sc u:*

Get-NetUser -Domain demo.rcoil.me  //domain 参数请加完整的域名
Invoke-EnumerateLocalAdmin

for /f "delims=" i\C$ password /u:domain\domain_admins_user
    if not errorlevel 1 (
        for /f "delims=" i\C$\users\') do (
            echo j>> test.log
        )
        net use \\i in (live.txt) DO (
    for /f "delims=" i\C$\users\') do (
        echo j>> test.log
    )
)

wevtutil qe security /q:"Event[System[(EventID=4624 or EventID=4768 or EventID=4776)]]" /f:text /rd:true /c:1 > EvtLogon.dat
 
# 参数说明
qe: 从日志或日志文件中查询事件；（默认 xml 格式显示）
Security: 指定安全事件的日志；
/q: 筛选规则，可以打开 Windows 事件查看器的筛选器配置筛选条件后转至 XML 复制筛选规则；
/f: 以 text 格式显示
/rd: 指定读取事件的方向
/c: 指定个数
其它参数参考 wevtutil /?

wevtutil qe Security /q:"*[EventData[Data[@Name='LogonType']='10'] and EventData[Data[@Name='TargetUserName']='RcoIl'] and System[(EventID=4624) and TimeCreated[timediff(@SystemTime) <= 2592000000]]]"
 
wevtutil qe Security /q:"*[System[(Keywords='0x8020000000000000')] and EventData[Data[@Name='SubjectUserName']='RcoIl']]" /f:text /rd:true /c:2

C:\inetpub\logs\LogFiles\W3SVC1（W3SVC2）

C:\Program Files\Microsoft\Exchange Server\V14\Logging\RPC Client Access