mcpField
P
post-exploit-windows

post-exploit-windows

github.com/wgpsecSecurity1.8k52 installsUpdated 4d ago
Repository

About post-exploit-windows

A Windows post-exploitation workflow skill for testers, covering privilege escalation decisions, credential collection paths, and domain-environment checks. It organizes common commands and choices into decision trees, with detailed techniques in linked references.

Key features

  1. 01Collect user, privilege, and system details
  2. 02Choose escalation paths based on privileges
  3. 03Plan local and domain credential collection
  4. 04Check for a domain environment
  5. 05Refer to specialized technique guides

Use cases

  1. 01Assess escalation options on a Windows host
  2. 02Choose a path for collecting local credentials
  3. 03Check whether a host is domain-joined

Install

Copy the command and run it in a terminal.

$npx skills add https://github.com/wgpsec/aboutsecurity --skill post-exploit-windows

After installing, type/post-exploit-windowsin Claude Code to confirm it loaded.

Bundled files

References and scripts installed along with SKILL.md.

evals/
evals.json
recall.json
references/
ad-privesc-techniques.md
printnightmare-attack.md
windows-credential.md
windows-privesc.md

Details

From the project README

Windows 后渗透方法论

⛔ 深入参考（必读）

Phase 1: 基础信息收集

whoami /all                 # 用户、组、权限（关键！看有没有 SeImpersonate）
systeminfo                  # 系统版本、补丁、域信息
ipconfig /all               # 网络配置（DNS 服务器 = 域控 IP）
net localgroup Administrators
关键权限 → 提权路径
权限提权方法
SeImpersonatePrivilegePotato 系列（GodPotato 兼容性最好）
SeBackupPrivilege读取 SAM/SYSTEM 注册表
SeDebugPrivilegedump LSASS
管理员组但被 UAC 限制fodhelper.exe 绕过
30 秒快速提权检查
#检查项命令提权方法
1Token 权限whoami /privSeImpersonate → Potato
2用户组whoami /groupsAdministrators → UAC 绕过
3服务权限sc qc [service]可写服务二进制 → 替换
4Unquoted Pathwmic service get name,pathname含空格未加引号路径
5AlwaysInstallreg query HKLM\...\InstallerMSI SYSTEM 安装
6自动登录reg query "HKLM\...\Winlogon"DefaultPassword 泄露
7补丁缺失systeminfo内核提权 CVE

快速判断：Web shell 通常有 SeImpersonate → 优先用 Potato 提权。

Phase 2: 提权决策树

当前权限？
├─ 有 SeImpersonate → Potato 提权（最常见）→ [references/windows-privesc.md](references/windows-privesc.md)
├─ 管理员组 + UAC 限制 → UAC 绕过 → [references/windows-privesc.md](references/windows-privesc.md)
├─ 低权限 → 检查服务/AlwaysInstallElevated/内核漏洞 → [references/windows-privesc.md](references/windows-privesc.md)
└─ 已是 SYSTEM/Admin → 直接进入凭据提取

Phase 3: 凭据提取决策树

需要什么凭据？
├─ 本地账户哈希 → SAM 数据库（reg save）
├─ 域凭据/明文密码 → LSASS 内存（Mimikatz / comsvcs.dll）
├─ 浏览器密码 → Chrome Login Data / Firefox logins.json
└─ 其他 → 凭据管理器 cmdkey、PowerShell 历史、config 文件搜索
详细命令 → [references/windows-credential.md](references/windows-credential.md)

Phase 4: 域环境判断

如果 systeminfo 显示 Domain 不是 WORKGROUP → 域环境，需进行域渗透。

注意事项

  • 先收集再提权：whoami /all 的输出决定整个提权路线
  • Potato 系列选择：不确定版本 → GodPotato（最广泛兼容）
  • LSASS dump 替代方案：comsvcs.dll MiniDump 不需要上传 Mimikatz

UAC 绕过

  • fodhelper.exe 等自动提升（auto-elevate）的白名单程序可绕过 UAC

LSASS 转储

  • comsvcs.dll 方法：杀软绕过，不落地文件，LOLBins（系统自带工具）

Comments

Markdown supported