# 域DNS信息收集

## 一、概述

在域内渗透测试中，获取DNS记录是一项重要的信息收集工作，通常分为两种应用场景：

* **高权限场景**：已获得域管理员权限进行后渗透时，获取DNS记录便于进一步定位目标、绘制网络拓扑

* **低权限场景**：进入内网后权限较低，需要获取DNS记录以寻找渗透方向、发现潜在攻击面

获取DNS记录的主要方法包括：LDAP查询+DNS解析、ADIDNS（Active Directory集成DNS）、PowerShell模块查询等。

## 二、域内高权限获取所有DNS记录

### （一）利用dnscmd命令行获取DNS记录

#### 1. 列出DNS区域

列出DNS区域中当前节点的资源记录，执行`dnscmd /EnumZones`命令，如图2-1所示：

```bash
dnscmd /EnumZones
```

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/c67400bc9d0187b24e8ad87c8a0abd6a.png)

#### 2. 枚举指定域的所有DNS记录

执行以下命令列举指定域的所有DNS记录：

```bash
dnscmd /EnumRecords [domain] .
```

其中`[domain]`为域名，`.`表示根区域。执行结果如图2-2所示：

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/0d4d7cb1e9705398fa7fc1f388433625.png)

### （二）远程获取DNS记录

`dnscmd`是用来管理DNS服务器的命令行程序，默认在Server版本系统安装。如果想在非Server版系统使用dnscmd管理DNS，需要安装Remote Server Administration Tools（RSAT）。但在实战环境中，我们不能在目标主机中安装RSAT。直接在个人版系统运行dnscmd会提示失败，通过测试发现缺少文件`dnscmd.exe.mui`，可将`dnscmd.exe.mui`复制到`C:\Windows\System32\en-US`下，将`dnscmd`复制到`C:\Windows\System32`下。

由于dnscmd没有提供直接输入用户名、密码的选项，需要使用如mimikatz的Overpass-the-hash技术在本地模拟身份信息。如果获得了某个域用户的明文密码，可以将明文转换为NTLM哈希再进行使用。

#### 1. 使用mimikatz进行哈希传递攻击

执行以下命令对本地进行哈希传递攻击（PTH），需要使用具有本地管理员权限并通过UAC验证：

```bash
privilege::debug
sekurlsa::pth /user:Administrator /domain:[domain] /ntlm:[ntlm hash]
```

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/234663230309e278a02a537644ed10d5.png)

#### 2. 远程获取DNS记录

完成身份模拟后，执行`dnscmd dc01.klion.local /EnumZones`命令获取DNS记录，此时远程主机名应使用FQDN或计算机名，如图2-4所示：

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/72774b36517ae296d3bedac86c74a14a.png)

## 三、普通域用户获取域内所有DNS记录

ADIDNS（Active Directory集成DNS）是Windows域环境中将DNS数据存储在Active Directory中的机制。在进入内网找到域控制器位置后，我们需要进一步渗透以获取目标信息。一般来说，通过扫描Web服务，会发现大量的Apache/Nginx/IIS默认页面或者403页面。由于配置文件在大多数情况下会被配置为只允许域名访问，我们需要用到DNS枚举获取整个域内存在什么域名，并大致判断某台主机运行什么业务。

### （一）利用SharpAdidnsdump获取DNS记录

因为普通域用户就可以访问LDAP，所以可以首先通过LDAP查询所有计算机对象名称，然后利用DNS查询对应主机的IP地址。执行以下命令：

```bash
SharpAdidnsdump.exe [domain]
```

执行结果如图3-1所示：

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/f21d189718cf88503f6ea55f04ff1fae.png)

### （二）利用LDAP通过普通域用户获取域内DNS信息

首先通过LDAP查询获得DNS记录，对二进制的DNS记录进行解码，获得实际内容。随后执行以下命令获取DNS记录：

```powershell
powershell -ep bypass -f dns-dump.ps1 -zone [domain]
```

脚本下载地址：<https://github.com/3gstudent/Homework-of-Powershell/blob/master/dns-dump.ps1>

执行结果如图3-2所示：

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/2a75c8ce90e0808d07ef8891248efd47.png)

### （三）在Linux环境使用adidnsdump获取DNS记录

默认情况下，任何经过身份验证的普通域用户都可以对ADIDNS记录进行转储。

当我们在LDAP中查询DNS记录时，选择该类的所有对象，这些对象的dnsNode代表DNS区域中的条目。当使用过滤器进行查询（`objectClass = dnsNode`）时，返回结果非常有限。对于多个对象，objectClass不可见，这是因为计算机DNS记录的默认权限不是通过ADIDNS的GUI创建的，不允许所有用户查看内容。由于IP地址实际上是该对象的一个属性，因此也无法查看这些记录的IP地址。

但就像默认情况下任何用户都可以创建新的DNS记录一样，任何用户也可以默认列出DNS区域的子对象。所以我们知道那里有记录，只是不能使用LDAP查询它，一旦通过LDAP枚举知道记录存在，我们就可以直接使用DNS查询它。可以利用工具adidnsdump进行转储，这样就可以解析区域中的所有记录。

#### 1. 查询DNS区域

连接LDAP，使用过滤器`&(objectClass=DnsZone)(!(DC=*arpa))(!(DC=RootDNS-Servers))`列出DomainDnsZone中可用的区域。

#### 2. 查询主机对象

对于每个区域，可以使用过滤器`&(!(objectClass=DnsZone))(!(DC=@))(!(DC=*arpa))(!(DC=*DNSZones))`列出所有主机对象。

#### 3. 安装adidnsdump

执行以下命令安装adidnsdump：

```bash
git clone https://github.com/dirkjanm/adidnsdump
cd adidnsdump
pip install .
```

#### 4. 执行DNS记录收集

使用以下命令通过Linux跨Windows域获取DNS信息：

```bash
adidnsdump -u [domain]\\[username] -p [password] [dc] -r
```

或者直接通过python调用对应的adidnsdump.py进行信息收集。执行结果如图3-3所示：

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/638d6620e0c6c2b9ed58639bbe75bd13.png)

**注意**：如果通过Socks5连接，配置本地Kali的proxychains即可。

## 四、使用PowerShell模块进行域信息收集

域信息收集一般可以通过net（MS-SAMR）、LDAP、RSAT等方法实现，这里重点说明RSAT的使用方法。

Windows Server 2008 R2（以及更新版本）提供了多个AD PowerShell cmdlet，这极大简化了使用ADSI（Active Directory Service Interface，活动目录服务接口）代码的繁琐过程。使用AD PowerShell cmdlet前，需要在Windows客户端上安装RSAT，并确保已安装Active Directory PowerShell模块。但是默认情况下，安装RSAT需要管理员权限，可以通过未安装RSAT的计算机上的PowerShell直接导入Microsoft.ActiveDirectory.Management.dll实现功能。

### （一）查看可用的模块

在导入模块前，在PowerShell中执行以下命令查看可使用的模块：

```powershell
Get-Command get-adcom*
```

执行结果如图4-1所示：

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/e6a015649e9f93d429af3e40f23aefc4.png)

### （二）导入ActiveDirectory.Management模块

在PowerShell中执行以下命令导入ActiveDirectory.Management模块：

```powershell
Import-Module .\Microsoft.ActiveDirectory.Management.dll
```

执行结果如图4-2所示：

![1.00](https://developer.qcloudimg.com/http-save/yehe-1277458/9c2744bb4eea445d11257ed6482a45e9.png)

**注意**：Microsoft.ActiveDirectory.Management.dll需要在已安装RSAT的计算机上获取。

### （三）使用PowerShell查询域信息

成功导入模块后，可以使用以下常用命令进行域信息收集：

#### 1. 查询域用户信息

```powershell
# 获取所有域用户
Get-ADUser -Filter * | Select-Object Name, SamAccountName, DistinguishedName

# 获取特定用户信息
Get-ADUser -Identity username -Properties *
```

#### 2. 查询计算机信息

```powershell
# 获取所有计算机
Get-ADComputer -Filter * | Select-Object Name, DNSHostName, OperatingSystem

# 获取特定计算机信息
Get-ADComputer -Identity computername -Properties *
```

#### 3. 查询域组信息

```powershell
# 获取所有组
Get-ADGroup -Filter * | Select-Object Name, GroupScope

# 获取组成员
Get-ADGroupMember -Identity "Domain Admins"
```

#### 4. 查询组织单位（OU）

```powershell
# 获取所有组织单位
Get-ADOrganizationalUnit -Filter * | Select-Object Name, DistinguishedName
```

## 五、总结

本文介绍了在不同权限场景下获取域DNS信息的多种方法：

1. **高权限场景**：使用dnscmd命令可以直接获取完整的DNS记录信息，支持本地和远程查询，配合mimikatz的哈希传递攻击可实现远程访问。

2. **低权限场景**：利用ADIDNS特性，普通域用户可以通过LDAP查询或使用SharpAdidnsdump、adidnsdump等工具获取DNS信息，为后续渗透提供方向。

3. **PowerShell方式**：通过导入ActiveDirectory.Management模块，可以使用PowerShell cmdlet进行灵活的域信息收集。

在实际渗透测试中，应根据当前权限、系统环境和目标需求选择合适的方法。同时需要注意操作隐蔽性，避免触发安全告警。获取DNS信息后，应结合其他信息收集手段，全面评估目标网络架构，为后续攻击路径规划提供依据。


域DNS信息收集一、概述在域内渗透测试中，获取DNS记录是一项重要的信息收集工作，通常分为两种应用场景：高权限场景：已获得域管理员权限进行后渗透时，获取DNS记录便于进一步定位目标、绘制网络拓扑低权限场景：进入内网后权限较低，需要获取DNS记录以寻找渗透方向、发现潜在攻击面获取DNS记录的主要方法包括：LDAP查询+DNS解析、ADIDNS（ActiveDirectory集成DNS）、PowerS

域DNS信息收集

技术经理

编程语言

前端

域渗透测试中DNS信息收集是关键步骤，高权限可用dnscmd命令获取完整记录，低权限可通过LDAP查询或SharpAdidnsdump工具。文章详解了本地/远程DNS枚举、ADIDNS机制利用及PowerShell模块查询方法，为渗透测试提供多场景技术方案。

身份验证

数据存储

服务器

Windows

Linux

热销域名限时优惠，新客首年免费！


domain

AI驱动 智领未来

tpts

4核4G3M云服务器 新用户低至38元/年！

人脸核身+人脸识别特惠活动0.6折起


faceid

对象存储COS新用户低至1元！


文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

域DNS信息收集-腾讯云开发者社区-腾讯云

域DNS信息收集

域DNS信息收集

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐