Windows系统信息收集指南

一、信息收集的重要性

在渗透测试和安全评估中，Windows系统的信息收集是成功的关键第一步。通过全面了解目标系统的配置、服务和运行状态，安全人员可以：

1. 识别潜在的攻击路径

2. 发现系统漏洞和错误配置

3. 制定针对性的测试策略

4. 评估系统的整体安全状况

二、基础系统信息收集

1. 系统标识信息

hostname  # 获取主机名
echo %COMPUTERNAME%  # 替代方法
systeminfo | findstr /B /C:"OS Name" /C:"OS Version" /C:"Domain"  # 关键系统信息

2. 网络配置信息

ipconfig /all  # 完整网络配置
route print  # 路由表信息
arp -a  # ARP缓存

三、进程与服务深度分析

1. 进程信息收集

tasklist /V /FO LIST  # 详细进程列表
wmic process get name,executablepath,processid,commandline  # 进程详细信息

2. 服务信息收集

sc queryex state=all  # 所有服务状态
wmic service get name,displayname,pathname,startmode,state  # 服务详细信息

四、安全关键信息收集

1. 补丁与漏洞信息

wmic qfe get hotfixid,installedon  # 已安装补丁
systeminfo | findstr "KB"  # 快速查看补丁

2. 用户与权限信息

net user  # 本地用户
net localgroup administrators  # 管理员组成员
whoami /priv  # 当前用户特权

五、高级信息收集技术

1. 共享资源分析

net share  # 本地共享
net view /all /domain  # 域内共享资源

2. 网络连接分析

netstat -ano -p tcp  # TCP连接
netstat -ano -p udp  # UDP连接

3. 计划任务分析

schtasks /query /fo LIST /v  # 详细计划任务
Get-ScheduledTask | Select TaskName,State,TaskPath  # PowerShell方式

六、日志与注册表收集

1. 事件日志收集

wevtutil epl System system_backup.evtx  # 导出系统日志
wevtutil epl Security security_backup.evtx  # 导出安全日志

2. 注册表关键信息

reg export "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" autorun.reg  # 自启动项
reg export "HKLM\SYSTEM\CurrentControlSet\Services" services.reg  # 服务配置

七、防御与检测建议

1. 权限控制：限制普通用户执行系统信息收集命令

2. 日志监控：建立关键命令执行的监控机制

3. 系统加固：

   • 禁用不必要的服务

   • 限制共享访问

   • 及时安装安全补丁

4. 异常检测：监控异常的信息收集行为