rpcclient 能查到什么
rpcclient 通过远程过程调用接口查询域信息，常用的有用户列表、用户组列表、域口令策略与共享清单。这些命令全部是只读查询，输出可以直接作为口令策略与暴露面的证据。它不是漏洞利用工具，而是把域内可读信息整理出来的取证工具，因此记录与留档比操作技巧更重要。
基本信息
| 连接方式 | 指定账号与口令连接目标，支持匿名与空会话尝试 |
|---|---|
| 常用命令 | 用户、用户组、口令策略、共享枚举 |
| 性质 | 只读查询，不修改任何对象 |
| 前置条件 | 目标开启相关 RPC 接口且网络可达 |
| 留档 | 输出重定向保存后离线整理 |
典型使用场景
- 口令策略核实：核对锁定阈值与最小长度是否与制度一致
- 账号清点：列出域内用户与用户组，配合清理长期未用账号
- 共享核查：与文件服务器台账比对共享清单
- 匿名可见性核查：确认未认证状态下能获取哪些域信息
- 与其他工具交叉：结果与目录查询、共享扫描工具的结论互相印证
查询示例
查询示例
rpcclient -U 'audit%REDACTED' 10.0.10.5
> enumdomusers 列出域用户
> enumdomgroups 列出域用户组
> getdompwinfo 查询域口令策略
> netshareenumall 枚举共享
> queryuser audit 查询指定用户属性
# 输出重定向到文件后离线整理，避免终端刷屏漏读常用命令与用途
| 命令 | 查询内容 | 证据用途 |
|---|---|---|
| enumdomusers | 域用户清单 | 账号清点与离职账号核查 |
| enumdomgroups | 域用户组清单 | 高权组构成核对 |
| getdompwinfo | 域口令策略 | 核对锁定与复杂度要求 |
| netshareenumall | 共享清单 | 与台账比对共享范围 |
| queryuser | 指定用户属性 | 确认账号状态与描述字段 |
连接口令会出现在命令历史与进程列表中：优先用交互式输入或凭据文件，事后清理记录。
非域环境执行这些命令会产生大量报错：先确认目标是否属域及域控指向，避免把失败当无发现；匿名与认证两轮结果要分开记录，未认证能读到的信息本身就是结论。