Enumération locale

Mémo des commandes utiles pour énumérer rapidement un poste Windows après accès initial : permissions des services, statut de Windows Defender, règles AppLocker, mode PowerShell (Constrained Language vs Full), et utilisation de WinPEAS ou SharpUp pour automatiser la recherche de vecteurs d'élévation.

Identifier des problèmes de permissions sur des services¶

.\SharpUp.exe audit

Winpeas¶

.\WinPeas.exe

Voir le statut de Windows Defender¶

Get-MpComputerStatus

Lister les règles AppLocker¶

Get-AppLockerPolicy -Effective | select -ExpandProperty RuleCollections

Savoir si powershell est en "Constrained Language Mode" ou en "Full language Mode"¶

$ExecutionContext.SessionState.LanguageMode

Liste les process en cours¶

tasklist /svc

Énumérer les variables d'environnement¶

set

Énumérer les informations système¶

systeminfo

Énumérer les différents patchs/updates appliqués¶

wmic qfe
ou
Get-HotFix | ft -AutoSize

Lister les programmes installés¶

wmic product get name
ou
Get-WmiObject -Class Win32_Product |  select Name, Version

Lister les services réseaux¶

netstat -ano

Lister les users loggés¶

query user

Énumérer les comptes utilisateur et les groupes¶

net user
net localgroupe

Lister les informations à propos d'un groupe en particulier¶

net localgroup $group

Creds hunting¶

findstr /SIM /C:"password" *.txt *.ini *.cfg *.config *.xml *.bak

gc 'C:\Users\htb-student\AppData\Local\Google\Chrome\User Data\Default\Custom Dictionary.txt' | Select-String password

gci -Path . -recurse -ea SilentlyContinue -Include *.ini,*.cfg,*.txt

Lire historique powershell¶

gc (Get-PSReadLineOption).HistorySavePath

Tenter de lire celui de tout les utilisateurs¶

foreach($user in ((ls C:\users).fullname)){cat "$user\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt" -ErrorAction SilentlyContinue}