内网渗透测试信息收集命令大全与实战靶场笔记

内网渗透测试这三个词，可能让新人兴奋，也让老手沉默——沉默是因为大家心里都清楚，真正能决定一次测试上限的，不是某个高深的漏洞利用，而是信息收集够不够细。我参与过不少授权测试项目，也见过有人钻进某个漏洞死磕，最后卡在原地，回头复盘才发现，开局阶段本该轻轻松松把全局摸清楚。这篇内容围绕“信息收集命令大全、靶场实战、笔记整理”展开，把我在内网渗透项目中用得多、顺手、也容易被忽略的命令和思路，完整梳理一遍。如果你是刚入行，建议整篇看完，它会影响你打内网的基本体感；如果已经有经验，直接翻后面的速查表，也能捡到几张有用的笔记模板。

所有命令默认以Windows环境为主，必要时补充Linux侧的对照。场景设定在企业内网最常见的主机形态上，目标网络统一称为“测试范围”，实际使用时请确保已经获得授权。

1. 信息收集整体设计：先动手不如先动脑

1.1 信息收集到底在收集什么

很多教程喜欢直接把命令列出来，背完就完事。但实际项目里，信息收集的“信息”是分层级的，每一层都有不同目的。

• 本机信息：系统版本、补丁、当前用户权限、网络配置、进程服务、启动项。回答的问题是“我站在哪”。
• 网络信息：存活主机、开放端口、共享资源、网段边界。回答的问题是“周围有什么”。
• 域信息：域控位置、域用户、域组、组策略、信任关系。回答的问题是“我属于哪，谁管着我，我能摸到谁”。
• 敏感信息：明文口令、凭据文件、配置文件、浏览器痕迹、历史命令。回答的问题是“有没有现成的钥匙能直接开门”。

这四个层级不是割裂的，而是层层递进。比如先拿到一台普通域主机，在本机信息里看到有本地管理员账号，在浏览器记录里发现管理员登录过某台服务器，在ARP表里发现C段还有不少存活机器，这些线索拼在一起，才能形成一条可操作的渗透路径。如果只盯着其中一层，很容易把路走窄。

1.2 信息收集的思维模型

我自己在执行信息收集时，习惯用一个“四步循环”模型，每一步都在回答一个具体问题：

1. 当前我知道什么（已收集的信息）
2. 我还缺少什么（待确认的信息）
3. 哪条信息成本最低、风险最小（优先级判断）
4. 拿到之后对下一步有什么影响（价值判断）

这个循环走完一遍，才算完成一轮有效的信息收集。实际测试中，我经常先花半小时做系统层和网络层的快速收集，这半小时决定后续是往纵深打还是横向扩。

1.3 授权与合规红线

无论我说多少命令，有一个前提必须刻在脑子里：只有获得书面授权的渗透测试项目、企业内部安全评估或合规教学靶场，才可以执行这些操作。未授权的扫描和探测本身就可能构成违法行为。代码和能力本身是中性的，用在哪里、怎么用，决定了它的性质。这篇文章所有内容，默认都是在授权测试范围内使用，建议每一步都留好记录。

2. 基础环境信息收集：从一台机器看清全局

2.1 系统、补丁与权限信息

拿到一台机器的第一个命令，我几乎永远是这条：

bash复制systeminfo

这条命令一次能给出操作系统版本、补丁编号、主机名、网卡信息、内存大小等一堆信息。为什么第一优先？因为打补丁的情况直接决定后续能不能继续挖漏洞。如果一台机器是老的Windows Server 2008，补丁停更已久，那大概率存在可以直接利用的已知漏洞；如果是全补丁的Windows Server 2022，就要把重心放到配置缺陷和凭据滥用上。注意systeminfo执行比较慢，如果主机负载高，可以适当等待，别把它当成瞬间出结果的命令。

紧接着看当前用户到底是什么级别：

bash复制whoami /all

这条会显示当前用户的SID、所在的组、以及是否有管理员权限。尤其要注意是否属于“本地管理员组”还是“域管理员组”，这决定了后续横向扩的能力边界。如果当前用户权限足够，很多后续命令才能稳定执行。

再补充本地用户和密码策略：

bash复制net user
net localgroup
net accounts

net user查看本机所有账号，net localgroup查看本地组，尤其留意Administrators组里有没有异常成员。net accounts能看密码最长使用时间、最短使用时间、密码长度要求，这些信息直接决定密码猜测和爆破策略的参数配置。有些项目里，测试人员没有先看策略就去爆破，结果密码策略要求14位且带特殊字符，白跑一晚上。

2.2 网络配置、路由与ARP信息

网络信息是横向移动的地图。先执行：

bash复制ipconfig /all

这个命令会输出当前主机的IP地址、子网掩码、网关、DNS服务器、DHCP信息。重点关注DNS服务器，因为域环境通常会把DNS指向域控，通过DNS地址能快速猜测域控位置，省去后面的扫描。

再看路由表和ARP缓存：

bash复制route print
arp -a

route print能告诉你这台机器能到达哪些网段。如果路由表里有多个网段，说明这台机器可能承担路由角色，或者被配置了多网卡，这种情况下它的视野会比普通主机大得多。arp -a则是近距离侦察神器——只要这台机器近期和同一网段的机器有过通信，ARP缓存里就会留下对方的IP和MAC地址，相当于别人主动告诉你“我和谁聊过天”。

网络连接状态也不能漏：

bash复制netstat -ano

这个命令列出所有处于活动状态的TCP/UDP连接，以及对应的进程PID。看到某个PID在连接高端口到内网其他主机，就用tasklist /fi "PID eq xxx"查一下是哪个进程。如果是一个数据库客户端在连接另一台数据库服务器，那这条链路就是非常值得关注的业务通道。

2.3 进程、服务与启动项排查

进程和服务能告诉你在跑什么业务，也暴露了很多隐藏问题。

bash复制tasklist /svc
wmic service list full
wmic process list full

tasklist /svc把进程和服务对应起来，看着名进程就能知道是不是和某个已知服务绑定。wmic process list full可以看到进程的执行路径、命令行参数、所属用户，有时候命令行参数里就直接带着口令。我曾经在授权测试中见过有人把数据库口令写进启动脚本的命令行参数里，明文躺在进程列表里。

启动项也别放过：

bash复制reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
reg query HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
wmic startup list full

启动项是持久化最常见的位置，收集阶段看启动项，一方面是为了确认有没有异常自启动程序，另一方面是为了找可能存放口令的脚本。很多管理员图省事，把带口令的批处理文件丢在启动目录里，一开机就运行，这种属于比较容易捡漏的敏感信息。

2.4 防火墙与安全软件状态

最后看一眼本机防护情况：

bash复制netsh advfirewall show allprofiles state
netsh advfirewall firewall show rule name=all

第一条确认每个网络配置文件下的防火墙是否开启，第二条列出所有自定义规则。如果防火墙规则里开放了某个不常用端口，或者对某IP段有特殊放行，这就是一个很好的突破口。常见杀软的进程也会在tasklist里直接显示，发现之后要避免触发高强度的扫描动作，改用更轻量的探测方式。

3. 内网存活主机与服务定位：把打击面铺开

3.1 存活主机发现方法论

单机信息收集完成后，就该看旁边还有哪些活着的机器。这一步最忌讳直接拿着重型工具开扫，动静太大容易被安全设备盯上。从最原生的方法开始：

bash复制for /L %i in (1,1,254) do @ping -n 1 -w 1 192.168.1.%i | findstr "TTL="

这条命令会ping 192.168.1.2到192.168.1.255，只输出有响应（TTL字段）的IP。ping不通不代表主机不存在，很多主机为了降低暴露面，会禁止ICMP回显，所以ping扫描结果只能作为初步参考。

更可靠的方式是结合ARP和NetBIOS：

bash复制arp -a
net view /domain

arp -a能显示已通信过的活跃主机，net view /domain则会显示当前网络中的所有域和工作组。如果机器之前有大量广播流量，ARP表往往比ping结果更准确。

在允许安装工具、且网段规模较大的情况下，我推荐用轻量级扫描工具做网段扫描，比如nmap的ping扫描模式：

bash复制nmap -sn 192.168.1.0/24

nmap默认会发送ICMP、TCP 80端口探测等，比纯ping探测覆盖面更广，能发现更多存活主机。但在极敏感的环境中，这个操作会产生大量连接记录，需要权衡风险后才执行。

3.2 端口扫描与服务指纹识别

确认存活主机之后，下一步是对重点主机做端口扫描，判断主机角色。判断“重点主机”的依据一般包括：DNS服务器指向的IP、网关附近的IP、响应速度异常快的IP、ARP缓存里频繁出现的IP。

端口扫描不建议上来就跑全端口，先用常见端口列表快速过一遍：

bash复制nmap -sT -sV -p 21,22,23,25,53,80,110,135,139,143,443,445,1433,1521,3306,3389,5432,6379,8080,8088,9000,9200 10.10.1.10

-sT表示TCP全连接扫描，相对连接稳定，输出可靠；-sV会去识别端口对应服务的版本。看到445端口开放，说明目标可能开了SMB共享；3389说明开了远程桌面；1433、3306、6379则分别指向SQL Server、MySQL、Redis。这些信息组合起来基本能判断一台机器的角色，比如Web服务器、数据库服务器、运维跳板机、域控。

对个别关键主机，可以再扩大端口范围，但要控制并发和速率，避免对业务造成影响：

bash复制nmap -sT -sV -p 1-10000 --min-rate 2000 10.10.1.20

3.3 共享资源与NetBIOS信息

Windows网络里，SMB共享是最常见的横向移动入口之一。查看共享资源有几个命令：

bash复制net view \\10.10.1.20
net share

net view \IP可以列出目标机器上开放的共享名，net share是看本地共享。如果发现某个共享名称很奇怪，比如名为“backup”“temp”“admin”，优先去访问一下，确认是否存在权限配置不当。访问共享时务必只读，不要修改或删除任何文件，这是底线。

NetBIOS信息也能通过nbtstat获取：

bash复制nbtstat -A 10.10.1.20

这条命令会返回目标机器的主机名、所在域或工作组、MAC地址等。多台主机之间通过NetBIOS名称可以快速建立拓扑关系，尤其在同一网段内。收集NetBIOS信息对判断主机名命名规则很有帮助，比如名字里带“DC”字样的主机，十有八九就是域控制器。

4. 域环境信息收集：从普通域主机到全域视野

4.1 域信息与域控定位

当目标机器属于域环境时，整个信息收集的格局就不一样了。第一步，先确认是否真的在域中：

bash复制net time /domain

如果机器已经加入域，这条命令会从域控制器同步时间，并输出域控的名称或IP。域环境要求域内主机时间尽量同步，所以这个操作通常会触发一次时间同步，看起来不太显眼。如果输出的结果里带了一个主机名，那基本就是域控的关键线索。

再进一步定位域控地址：

bash复制nltest /dclist:corp.local
nltest /dsgetdc:corp.local

corp.local替换成实际域名。nltest是内置的域信息查询工具，/dclist能列出域内所有域控列表，/dsgetdc能拿到当前指定的域控。把所有域名记录在案，然后在扫描结果里点名验证，域控的轮廓就出来了。

同时可以用一条很简单的命令看看网络环境里的域和工作组：

bash复制net view /domain
net view /domain:corp.local

第一条列出当前网络中的所有域/工作组，第二条列出指定域里共享的计算机。这条命令能快速勾勒出域内主机的大致名单，效率很高。

4.2 域用户、域组与密码策略枚举

域环境真正的大宝库是用户和组。默认自带命令里最经典的三条：

bash复制net user /domain
net group /domain
net group "Domain Admins" /domain

net user /domain列出域内所有用户；net group /domain列出所有域组；net group "Domain Admins" /domain列出域管理员组的成员。我屡次强调，域管理员组成员名单是整个域渗透路线里的核心目标，因为你一旦拿到其中任何一个成员的会话，基本等于拿到了整个域的钥匙。

密码策略同样重要：

bash复制net accounts /domain

这条命令会输出域内的密码复杂度、密码长度、锁定阈值、锁定时间等。判断策略后，才能决定账号枚举和口令测试的投入产出比。如果策略很严，14位复杂度且5次锁定，那暴力尝试的性价比就很低，不如把精力放在凭据滥用和钓鱼这类的非爆破手段上。

在安装了Active Directory模块的机器上，还可以用PowerShell直接查询：

powershell复制Get-ADDomain
Get-ADUser -Filter * -Properties *
Get-ADGroupMember "Domain Admins"
Get-ADComputer -Filter * -Properties operatingsystem

虽然这些命令没有net系列那么通用，但在能执行时输出信息结构化程度更高，对后续整理笔记非常有帮助。

4.3 组策略、委派与信任关系

组策略是域控制的重要手段，查看当前生效的组策略结果：

bash复制gpresult /r
gpresult /z

gpresult /r输出当前用户和计算机匹配的组策略结果摘要，/z显示全部详细信息。策略里往往藏着很多关键信息：默认账户锁定阈值、安装限制、脚本执行策略，甚至是某些自定义脚本的路径。如果某个GPO里设置了登录脚本或启动脚本，务必记录路径，很多管理员会把网络共享口令写在脚本里。

再看信任关系和委派关系，这一步对判断“能不能横向跨域”至关重要：

bash复制nltest /domain_trusts

nltest /domain_trusts列出当前域与所有信任域之间的关系。如果有多个存在的信任关系，说明整个环境的边界可能比想象中大得多，后续测试范围需要重新评估。

委派关系的查询需要额外工具，比如PowerShell的ActiveDirectory模块，这里给出最基础的检测命令：

powershell复制Get-ADUser -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation
Get-ADComputer -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation

看到大量机器或用户配置了非约束性委派，就意味着某台主机的账号可以被用来冒充其他用户访问其他服务，这是域内横向移动绕不开的关键控制点。信息收集阶段先标记出来，后续环节再深入验证。

5. 敏感信息与凭据收集：信息收集中压轴的一环

5.1 Windows凭据管理器与缓存

很多管理员为了方便，会把远程桌面密码、共享密码直接保存在Windows凭据管理器中。查询命令：

bash复制cmdkey /list

cmdkey /list会列出当前用户保存的所有Web凭据和Windows凭据条目，包括目标地址和用户名。如果里面数据库密码一目了然，那基本就是捡到开门钥匙。有时候cmdkey记录里的账号是域管账号，那横向移动只需要一次认证即可完成。

注册表里的WDigest验证设置也要看：

bash复制reg query HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential

将这个值设置为1时，系统会在内存中以明文形式保存登录口令。这个信息对判断后续清内存凭证的成功率很有参考价值，但请务必在授权环境下记录和使用。

5.2 浏览器与常用软件的痕迹

内网办公场景里，浏览器保存的密码是很常见的信息源。主流Chromium内核浏览器的密码库文件通常位于用户目录的AppData\Local下，具体路径因浏览器而异，一般形如：

text复制%USERPROFILE%\AppData\Local\...\User Data\Default\Login Data
%USERPROFILE%\AppData\Local\...\User Data\Default\History

收集阶段不要求把数据库内容解开，重点是确认这个文件是否存在、生成时间、以及是否有其他备份副本。解密浏览器密码涉及的操作受环境限制较大，我这里不做展开，只提醒两点：一是必须在授权测试范围内处理这类数据，二是不要主动下载或外传敏感数据。看到账号密码存在，向客户报告风险点即可。

5.3 配置文件、脚本与历史命令

工具和环境变量里经常能挖到明文口令。先看环境变量：

bash复制set

环境变量中偶尔会存放数据库连接字符串、后台密码等，虽然少见但值得一查。历史命令则是另一个重点，尤其是PowerShell历史记录：

bash复制type %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt

PowerShell会把每次执行过的命令记录在ConsoleHost_history.txt里，如果管理员在命令行走了很多安装、连库、改配置的流程，历史记录里很可能出现口令。这个文件的排查优先级很高，因为它属于默认开启、大多数人不知道清理的类型。

针对文件系统中的密码搜索，可以用一个相对克制的命令组合：

bash复制dir /s /b C:\*.config C:\*.ini C:\*.txt C:\*.bat C:\*.ps1 2>nul

但直接全盘搜索会非常慢，我通常会把范围缩小到特定目录，比如：

• 运维脚本目录（C:\Scripts、D:\Scripts
• Web目录（C:\inetpub、D:\wwwroot）
• 备份目录（D:\backup、C:\backup）
• 管理员桌面和文档目录

在这类目录里找带“password”“passwd”“secret”“backup”字样的文件名，然后用findstr搜内容里的关键字：

bash复制findstr /s /i /m "password passwd pwd 口令 密码" *.config *.ini *.bat *.ps1 *.txt

输出文件列表后，逐一确认是否有敏感明文。很多项目到这一步才发现问题，比如备份文件里的web.config带了数据库口令、某个运维批处理里写死了管理员密码。发现之后不用深挖细节，记录好路径，交给客户整改就行。

6. 实战靶场演练：一次完整的内网信息收集过程

6.1 环境设定与初始入口

假设我在某个授权测试项目中拿到的是一台位于办公网段的Windows Server 2016，IP为10.10.1.10，当前用户是本地普通管理员，尚未进入域管理员权限。目标域名为corp.local，内网按10.x.x.x划分。我需要通过信息收集回答三个问题：

• 域控在哪
• 谁是域管理员
• 哪些机器上有值得关注的共享和数据

整个流程如下。

6.2 本机信息收集实操

登录目标机器后，我依次输入：

bash复制systeminfo
whoami /all
ipconfig /all
route print
arp -a
netstat -ano
net user
net localgroup administrators
net accounts /domain
net time /domain

大概两分钟，我得到几个关键信息：

• 系统是Windows Server 2016，补丁更新到最近，常规漏洞利用的优先级下降
• 当前用户sid较长，属于本地Administrators组，但不是域管理员
• DNS指向10.10.2.11，大概率是域控
• ARP缓存里出现10.10.1.20、10.10.1.30、10.10.2.11三个IP，说明这台机器近期和它们都有过通信
• net time /domain返回了域控主机名dc01.corp.local，对应IP 10.10.2.11

我直接在笔记里记录：域控为10.10.2.11，办公网段10.10.1.0/24，域为corp.local。

6.3 内网横向探测与域枚举

下来做网段存活探测。为了减少暴露，先基于ARP缓存的活跃记录做定点验证：

bash复制ping -n 1 -w 1 10.10.1.20
ping -n 1 -w 1 10.10.1.30
ping -n 1 -w 1 10.10.2.11

三台都有响应，说明侧网段也通了。再用nmap对办公网段做一个轻量扫描：

bash复制nmap -sn 10.10.1.0/24

结果显示办公网段还有几台未被ARP表记录的机器，包括10.10.1.15、10.10.1.22、10.10.1.25。我对重点机器10.10.1.15和10.10.1.22做端口扫描：

bash复制nmap -sT -sV -p 21,80,135,139,443,445,1433,3389,8080 10.10.1.15 10.10.1.22

10.10.1.15开放了80和8080，可能是Web服务器；10.10.1.22开放了445和3389，可能是文件备份服务器。先看10.10.1.22的共享：

bash复制net view \\10.10.1.22

列出共享名backup、public。我用只读方式检查了public目录，发现一份设备运维清单Excel，里面有若干设备IP和管理员备注，记录关键设备信息。这份信息不做二次扩散，仅记录下一步关注点。

接着做域信息收集：

bash复制net view /domain
nltest /dclist:corp.local
net user /domain
net group "Domain Admins" /domain
gpresult /r

net user /domain返回了一长串用户列表，重点关注名字明显的“admin”“backup”“ops”类账号；Domain Admins组返回三名成员，其中一名和我当前用户名相似但不同，需要进一步确认该账号是否被绑定到某台机器上；gpresult /r显示当前机器应用了名为“Finance-Default”的GPO，里面配置了一个登录脚本，脚本路径在\10.10.2.11\SYSVOL\corp.local\scripts\，后续可以考虑查看该脚本内容。

6.4 信息汇总与下一步决策

收集到这一步，我已经能形成一张清晰的内部拓扑：

• 域控：dc01（10.10.2.11）
• Web服务器：10.10.1.15
• 文件备份服务器：10.10.1.22
• 域名：corp.local
• 域管理员：三名成员
• 默认GPO：Finance-Default，带登录脚本

基于这些信息，我最优路径不再是对外网服务疯狂爆破，而是优先去做GPO脚本内容检查、以及备份服务器上敏感文件的权限确认。如果脚本里写了口令，甚至可以直接用该口令尝试登录域管账号。这样的判断，在信息收集不充分的场景里很难做出，因为测试人员往往会在无效路径上消耗大量时间。

7. 常见问题与踩坑记录：笔记整理才是终极护甲

7.1 高频报错与排查思路

信息收集阶段最常见的报错，基本集中在几个原因上，整理成速查表：

这些报错看着基础，但几乎每个项目都会遇到。能在现场快速判断原因，比多记十个命令更实用。

7.2 笔记整理方法建议

信息收集最好边做边记录。我的方法是建一个Markdown文档，按机器IP、域、端口、共享、凭证、脚本路径六个块去归类。每跑完一条命令，只记录关键输出，不复制整屏日志。

一个简单的笔记模板：

text复制# 测试范围：10.10.0.0/16
## 192.168.1.10（入口机）
- 系统：Windows Server 2016
- 当前用户：local-admin（本地管理员）
- DNS：10.10.2.11
- ARP发现：10.10.1.20、10.10.1.30、10.10.2.11
- 端口：445、3389
## 域信息
- 域控：dc01.corp.local / 10.10.2.11
- 域管组：admin01，ops02
## 共享与文件
- \\10.10.1.22\public：设备清单.xlsx
## GPO
- Finance-Default：登录脚本 \\10.10.2.11\SYSVOL\...

记录的目的不只是备忘，更是为了让后续协作的人能快速接手现场。项目一旦跨天，没有笔记的习惯会让前一天发现的所有线索全部作废。

7.3 信息收集命令速查总表

把上面提到的关键命令浓缩成一张表，适合现场快速查阅：

这张表不是用来背的，直接打印或存进笔记里，到了现场按表执行，效率比临时回忆高很多。

7.4 最后的经验之谈

这篇内容基本就是我平时做内网渗透信息收集的标准流程。要真说有什么心得，我觉得最重要的一点是：信息收集靠的其实不是命令种类多，而是读输出信息的速度。一条命令跑出来的结果，通常只有三四个字段是真正有用的，其余都是噪音。多看几遍输出，把注意力集中在IP、用户、端口、路径、策略这几个核心对象上，你的脑子里自然就会形成一张活的拓扑图。

另外一个小技巧：每收集到一条“新的身份信息”（比如某个用户名、某个主机名），顺手在全场范围内搜索一遍，看看同一名字是否在其他地方重复出现。内网里最常见的弱点就是“一套账号通行整个域”，找到一次，就等于找到了整把锁的钥匙。

希望这篇命令速查和实战笔记能帮你把内网渗透信息收集这件事做得更快、更稳。真实的项目环境比任何靶场都复杂，请一定牢记授权的边界，也希望每位同行都能安全、合规、专业地做好每一次安全评估。