wgpsec/post-exploit-windows
skills/postexploit/post-exploit-windows/SKILL.md
Windows 系统后渗透全流程。当通过 RCE/webshell/RDP 获取到 Windows shell 后使用。覆盖系统信息收集、UAC 绕过、本地提权、凭据提取(SAM/LSASS/浏览器)、域信息侦察。适用于独立主机和域环境
$ install --global
skillsauthnpx skillsauth add wgpsec/AboutSecurity post-exploit-windowsInstall this skill globally with one command. Works with Claude Code, Cursor, and Windsurf.
Security Scan Results
3 of 9 scanners reported clean
Some scanners were skipped, did not run, or reported a non-clean status. Review each row below.
3
Scanners Passed
9
Scanners in report
Clean
TrivyContainer and dependency vulnerability scanner
95%
Clean
SemgrepStatic code analysis for vulnerabilities
95%
Clean
mcp-scan (Snyk)Model Context Protocol security validation
95%
Skipped
Snyk (dep)Open source security scanning
50%
Skipped
Socket.devSupply chain security analysis
50%
Skipped
VirusTotalMulti-engine malware detection
50%
Skipped
CrowdStrikeAdvanced threat intelligence
50%
Skipped
OSV-ScannerOpen Source Vulnerability database check
50%
Skipped
OWASP Dep-Check
50%
Last scanned: Apr 25, 2026, 2:49 AM53.9s7 files scanned
SKILL.md
- name:
- post-exploit-windows
- description:
- Windows 系统后渗透全流程。当通过 RCE/webshell/RDP 获取到 Windows shell 后使用。覆盖系统信息收集、UAC 绕过、本地提权、凭据提取(SAM/LSASS/浏览器)、域信息侦察。适用于独立主机和域环境
- tags:
- post-exploit,windows,privesc,domain,credential,提权,后渗透,uac,sam,lsass,mimikatz,域,windows提权,windows后渗透,hashdump,printnightmare,CVE-2021-34527,CVE-2021-1675,print-spooler-rce
- category:
- postexploit
- mitre_attack:
- T1003,T1055,T1053,T1547,T1112
Windows 后渗透方法论
⛔ 深入参考（必读）
- 需要 Potato/服务/UAC/内核提权详细命令 → references/windows-privesc.md
- 需要 SAM/LSASS/浏览器凭据提取、域侦察、敏感数据搜索 → references/windows-credential.md
- 需要 KrbRelayUp/AMSI 绕过/Potato 兼容矩阵/权限映射表 → references/ad-privesc-techniques.md
- → references/printnightmare-attack.md — CVE-2021-34527 PrintNightmare 远程代码执行
Phase 1: 基础信息收集
whoami /all # 用户、组、权限（关键！看有没有 SeImpersonate）
systeminfo # 系统版本、补丁、域信息
ipconfig /all # 网络配置（DNS 服务器 = 域控 IP）
net localgroup Administrators
关键权限 → 提权路径
| 权限 | 提权方法 | |------|----------| | SeImpersonatePrivilege | Potato 系列（GodPotato 兼容性最好）| | SeBackupPrivilege | 读取 SAM/SYSTEM 注册表 | | SeDebugPrivilege | dump LSASS | | 管理员组但被 UAC 限制 | fodhelper.exe 绕过 |
30 秒快速提权检查
| # | 检查项 | 命令 | 提权方法 |
|---|--------|------|----------|
| 1 | Token 权限 | whoami /priv | SeImpersonate → Potato |
| 2 | 用户组 | whoami /groups | Administrators → UAC 绕过 |
| 3 | 服务权限 | sc qc [service] | 可写服务二进制 → 替换 |
| 4 | Unquoted Path | wmic service get name,pathname | 含空格未加引号路径 |
| 5 | AlwaysInstall | reg query HKLM\...\Installer | MSI SYSTEM 安装 |
| 6 | 自动登录 | reg query "HKLM\...\Winlogon" | DefaultPassword 泄露 |
| 7 | 补丁缺失 | systeminfo | 内核提权 CVE |
快速判断：Web shell 通常有 SeImpersonate → 优先用 Potato 提权。
Phase 2: 提权决策树
当前权限？
├─ 有 SeImpersonate → Potato 提权（最常见）→ [references/windows-privesc.md](references/windows-privesc.md)
├─ 管理员组 + UAC 限制 → UAC 绕过 → [references/windows-privesc.md](references/windows-privesc.md)
├─ 低权限 → 检查服务/AlwaysInstallElevated/内核漏洞 → [references/windows-privesc.md](references/windows-privesc.md)
└─ 已是 SYSTEM/Admin → 直接进入凭据提取
Phase 3: 凭据提取决策树
需要什么凭据？
├─ 本地账户哈希 → SAM 数据库（reg save）
├─ 域凭据/明文密码 → LSASS 内存（Mimikatz / comsvcs.dll）
├─ 浏览器密码 → Chrome Login Data / Firefox logins.json
└─ 其他 → 凭据管理器 cmdkey、PowerShell 历史、config 文件搜索
详细命令 → [references/windows-credential.md](references/windows-credential.md)
Phase 4: 域环境判断
如果 systeminfo 显示 Domain 不是 WORKGROUP → 域环境，需进行域渗透。
注意事项
- 先收集再提权：whoami /all 的输出决定整个提权路线
- Potato 系列选择：不确定版本 → GodPotato（最广泛兼容）
- LSASS dump 替代方案：comsvcs.dll MiniDump 不需要上传 Mimikatz
UAC 绕过
- fodhelper.exe 等自动提升（auto-elevate）的白名单程序可绕过 UAC
LSASS 转储
- comsvcs.dll 方法：杀软绕过，不落地文件，LOLBins（系统自带工具）
Related Skills
wgpsec/azure-pentesting
testing
VerifiedTrustedCommunity
Azure 云环境渗透测试总体方法论。当目标使用 Azure/Microsoft 365/Entra ID、发现 Azure 相关资产（Blob Storage/App Service/Azure VM/Azure Functions）、获取 Azure 凭据（Service Principal/Managed Identity/Access Token）、或需要对 Azure 环境进行安全评估时使用。提供从未授权枚举到 Entra ID 攻击、服务提权、Cloud-to-OnPrem 横向移动的全流程决策树。覆盖 35+ Azure 服务攻击面
1,393SKILL.mdUpdated Apr 24, 2026
wgpsec/mythic-c2
tools
VerifiedTrustedCommunity
Mythic C2 操作方法论。当需要部署 Mythic、选择 Mythic Agent、安装 C2 Profile、配置 HTTP/DNS/WebSocket/SMB/TCP 通信、生成 payload、管理回连任务，或把 Mythic 作为跨平台 C2 框架用于授权红队演练时使用。覆盖 mythic-cli 安装、Agent/Profile 选择、SSL 证书配置、payload 构建和基础 OPSEC 判断
1,345SKILL.mdUpdated May 22, 2026
wgpsec/docker-pentesting
development
VerifiedTrustedCommunity
Docker 安全测试与容器渗透方法论。当需要评估 Docker 容器、Docker Daemon、Docker Registry、镜像层、构建产物或容器逃逸风险时使用。覆盖容器环境识别、特权容器逃逸、docker.sock/Remote API 利用、procfs/cgroup/capabilities 滥用、Docker 用户组提权、运行时/内核 CVE、Registry 枚举、镜像层 Secret 分析和构建上下文泄露。发现 Docker 容器环境、Registry 暴露、镜像凭据或容器配置错误时应使用此技能
1,345SKILL.mdUpdated May 22, 2026
wgpsec/padbuster-padding-oracle
development
VerifiedTrustedCommunity
使用 PadBuster 进行 Padding Oracle 攻击。当发现 Web 应用使用 CBC 模式加密且存在 Padding Oracle 漏洞时使用。PadBuster 可自动解密密文和伪造任意明文对应的合法密文，适用于加密 Cookie/Token/URL 参数。任何涉及 Padding Oracle 攻击、CBC 密文解密、Cookie 伪造的场景都应使用此技能
1,345SKILL.mdUpdated May 6, 2026