rpc扫描扫描渗透测试命令

真正搞过内网渗透的扫试命人都知道，rpc扫描是描扫描渗个被严重低估的活儿。它不像nmap那样大张旗鼓地扫端口，透测而是扫试命悄无声息地通过135端口摸进Windows域环境，把目标机器的描扫描渗用户列表、共享资源、透测系统信息全扒出来。扫试命这种扫描方式在红队行动里特别吃香，描扫描渗因为很多防守方压根不监控rpc协议的透测异常流量。

先说说最基础的扫试命命令。用rpcclient连接目标，描扫描渗一条srvinfo就能拿到系统版本和域信息。透测但这只是扫试命开胃菜，真正的描扫描渗狠活儿是枚举用户。在域环境下，透测一条enumdomusers就能把整个域的用户名全列出来，配合queryuser参数还能提取每个用户的rid、密码策略、最后登录时间。去年我测试某集团内网，就是靠这个找到了一个两年没改密码的域管账号，rid是500，直接拿下。

别急着高兴，rpc扫描最骚的操作是利用impacket工具包里的samrdump.py。这玩意儿能通过rpc调用远程sam数据库，把本地用户和组关系全导出来。命令长这样：python3 samrdump.py domain/user:pass@target_ip。但注意，这招需要先有一个合法账号，哪怕是guest都行。我遇到过不少企业把guest账号禁用，但忘了禁用它的rpc访问权限，这种低级错误在真实环境里比比皆是。

真正的高手会组合使用rpc扫描和SMB空会话。用enum4linux一把梭，先跑-U枚举用户，再跑-S枚举共享，最后-P查密码策略。如果目标开了空会话，这些信息直接白给。有一次我接到授权测试，对方是家银行，防火墙规则严得像铁桶，但就是忘了封135端口。我通过rpc扫描发现他们的备份账户密码永不过期，顺着这个线索一路摸到核心数据库。整个过程中，目标的安全设备连个告警都没弹。

还有个野路子——rpc扫描配合MSRPC漏洞利用。比如经典的MS17-010（永恒之蓝），虽然主要走SMB，但初始探测也依赖rpc的ncacn_np管道。用msfconsole里的auxiliary/scanner/dcerpc/endpoint_mapper模块，能快速发现哪些rpc接口暴露在外。碰到老系统，直接上exploit/windows/smb/ms17_010_eternalblue，一条命令弹回system shell。不过现在补丁打得勤，这招更适合打运维松懈的边缘节点。

写到这里得提醒一句，rpc扫描的流量特征其实不难抓。防守方只要在域控上开启审核策略，记录事件ID 4624和4672，再配合对135端口流量的深度包检测，就能发现异常枚举行为。所以实战中我习惯用proxychains套跳板机，每扫一个目标就换一次代理IP，把rpc请求分散到不同时间段，模仿正常运维操作。记住，rpc扫描最大的价值不是一次性梭哈，而是像水滴石穿一样慢慢磨出目标的内网拓扑。

最后给个实用技巧：扫到用户后别急着爆破，先跑rpcclient $> querydispinfo，把用户的描述信息拉出来。很多管理员偷懒，会把"密码是生日""和域管同名"这种备注写在用户属性里。这种信息泄露比任何0day都致命。工具是死的，思路是活的，rpc扫描的精髓就在于把每个看似无用的响应字段都当成拼图碎片。