1. Windows权限提升前的信息收集基础在渗透测试和红队评估中Windows权限提升往往是最关键的突破点之一。但很多新手会犯一个致命错误——拿到初始shell就急着提权。我见过太多人直接运行各种提权脚本结果触发AV被踢出系统。正确的做法应该是先全面收集目标主机信息就像外科医生动手术前要先看CT片一样。1.1 为什么信息收集如此重要去年我在做某次企业内网评估时通过钓鱼拿到了一台Win10主机的普通用户权限。当时我犯懒直接运行了PowerUp.ps1结果触发了EDR。后来复盘发现其实那台机器安装了未打补丁的旧版打印机服务完全可以通过CVE-2021-1675优雅提权。这个教训让我明白提权不是碰运气而是基于情报的精准打击。完整的主机信息收集能帮你识别易受攻击的服务/驱动版本发现错误配置的权限设置定位敏感凭证和配置文件避开杀软/EDR的监控点1.2 OSCP考试中的特殊要求在OSCP考试环境中信息收集阶段有几个特别需要注意的点禁止使用自动化扫描工具如Metasploit的post模块需要详细记录每条命令的输出必须明确标注哪些信息可能用于提权对敏感文件的操作需要特别谨慎别把目标机搞崩了重要提示考试时建议专门建立信息收集笔记按系统配置-用户权限-网络服务-安全防护分类记录这对后续提权路径选择至关重要。2. 基础信息收集实战指南2.1 系统基础信息采集拿到cmd或powershell后我通常会按这个顺序收集信息# 系统版本和架构 systeminfo | findstr /B /C:OS Name /C:OS Version /C:System Type # 更详细的版本信息适用于Win10/WinServer2016 [System.Environment]::OSVersion.Version避坑经验在Win7及以下系统systeminfo可能会卡住。这时可以用wmic os get caption,version,osarchitecture /value补丁信息是提权的黄金数据# 快速查看已安装补丁 wmic qfe get Caption,Description,HotFixID,InstalledOn # 导出为CSV便于分析 wmic qfe list full /format:csv patches.csv2.2 用户和权限枚举# 当前用户权限 whoami /all # 本地用户组 net localgroup # 特别注意特权组 net localgroup administrators高阶技巧检查隐藏的本地用户reg query HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList2.3 网络配置和服务发现# 活动网络连接 netstat -ano # ARP缓存 arp -a # 防火墙规则 netsh advfirewall firewall show rule nameall服务枚举的几种姿势# 基础服务列表 net start # 带权限的服务关键 sc query stateall # 更详细的配置 wmic service get name,displayname,pathname,startmode,state3. 深度信息收集技术3.1 文件系统敏感位置检查这些路径经常藏有惊喜# 查找配置文件 dir /s /b C:\*.config # 检查共享目录 net share # 回收站内容经常被忽略 dir C:\$Recycle.Bin /A实用脚本快速检查可写目录Get-ChildItem -Path C:\ -Recurse -ErrorAction SilentlyContinue | Where-Object { $_.Attributes -match Directory -and (Test-Path -Path $($_.FullName)\test.txt -ErrorAction SilentlyContinue) } | Select-Object FullName3.2 注册表关键项检查注册表是Windows的宝藏地图# 自动登录凭证 reg query HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon # 最近使用的文件 reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs # 安装的软件列表 reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall3.3 计划任务和启动项# 计划任务 schtasks /query /fo LIST /v # 启动程序 wmic startup get caption,command # 更直观的查看方式 msconfig.exe4. 安全防护检测与规避4.1 杀毒软件识别# 通过进程识别 tasklist /svc | findstr /i avira|avg|avast|defender|sophos|symantec|mcafee # 通过服务识别 net start | findstr /i antivirus|firewall|endpoint实战技巧如果发现Defender先检查实时防护状态Get-MpComputerStatus | select RealTimeProtectionEnabled4.2 日志与监控规避在敏感操作前建议先清理日志# 查看日志配置 wevtutil enum-logs # 清除指定日志 wevtutil cl Security注意在考试环境中清除日志可能违反规则建议先查看考试要求。5. 信息整理与分析框架收集完数据后我习惯用这个框架分析系统漏洞维度未打补丁的Windows版本存在漏洞的第三方软件配置错误维度弱服务权限可写路径存储的凭证权限继承维度组策略设置令牌权限计划任务上下文案例分享有次在某金融机构内网发现服务器安装了未更新的Oracle数据库同时存在可写的服务路径通过上传plsql触发DLL劫持成功提权这种多维度交叉分析往往能发现意想不到的提权路径。建议把收集的信息整理成类似下表信息类型具体内容潜在利用方式风险等级系统版本Windows Server 2012 R2检查MS14-068高安装软件Java 8u121可尝试反序列化中服务权限SomeService以SYSTEM运行且可写路径DLL劫持极高最后提醒信息收集不是一次性工作。在尝试提权失败后要回到信息收集阶段寻找新线索。我通常会在桌面上保留一个不断更新的checklist.txt记录已尝试和待尝试的提权路径。