1. 内网渗透信息收集的核心价值在安全测试和攻防演练中内网信息收集往往决定着整个渗透过程的成败。不同于外网扫描的粗放式探测内网环境需要更精准、更隐蔽的信息采集手段。根据我多年红队经验约70%的内网突破都始于某个被忽视的信息泄露点。这份手册整理了Windows和Linux双平台下最实用的信息收集命令涵盖主机发现、服务识别、权限定位等关键环节。不同于公开的速查表我们特别标注了每个命令的隐蔽性等级★到★★★★★和可能触发的安全告警类型帮助你在实战中平衡效率与隐蔽性。2. Windows环境信息收集2.1 基础系统信息:: 获取系统版本和补丁信息隐蔽性★★★ systeminfo | findstr /B /C:OS Name /C:OS Version /C:System Type :: 查询已安装软件列表隐蔽性★★ wmic product get name,version注意WMIC命令会生成4688事件日志在已部署EDR的环境中建议改用注册表查询reg query HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall2.2 网络拓扑探测:: 快速定位域控隐蔽性★★★★ nltest /dsgetdc:域名 :: ARP缓存分析隐蔽性★★★★★ arp -a :: 路由表分析隐蔽性★★★★ route print实战技巧结合for /L %i in (1,1,255) do ping -n 1 192.168.1.%i进行段内主机存活探测时建议将n值设为1并添加-w 100参数减少耗时。3. Linux环境信息收集3.1 权限提升线索收集# 检查SUID文件隐蔽性★★★ find / -perm -4000 -type f 2/dev/null # 环境变量检查隐蔽性★★★★ env | grep -i path\|home\|user3.2 服务与进程分析# 高权限进程筛查隐蔽性★★★ ps aux | grep -E root|admin # 异常端口检测隐蔽性★★ netstat -tulnp重要在较新Linux内核中netstat已被ss命令替代。建议使用ss -tulnp获得更准确结果且不会在日志中留下明显痕迹。4. 跨平台高效工具链4.1 轻量级扫描方案# 快速端口服务识别隐蔽性★★★ for port in {1..1024}; do timeout 0.5 bash -c /dev/tcp/192.168.1.1/$port echo $port open 2/dev/null; done4.2 痕迹清理必做项:: Windows日志清除需管理员权限 wevtutil cl security wevtutil cl system# Linux历史命令清理 history -c echo ~/.bash_history5. 防御视角的对抗策略根据蓝队经验以下行为最易触发告警短时间内大量WMI查询系统日志的突然清空非常规的ARP扫描流量建议采用低频长周期的收集策略将扫描间隔拉长到30分钟以上优先使用RPC、LDAP等业务协议通道利用合法管理工具如PSEXEC作为命令载体6. 实战中的命令变种技巧以常见的whoami命令为例:: 标准写法日志特征明显 whoami :: 变体写法隐蔽性提升 for /f %i in (whoami) do echo %i :: 通过certutil编码传输 whoami | certutil -encodehex -f /dev/stdout这种变形虽然不能完全规避检测但能有效增加防守方的分析成本。在最近一次的攻防演练中我们通过类似变形成功绕过了某厂商的进程行为监控。