NetExec（nxc）是一款面向 Active Directory 环境的网络利用与后渗透工具，本技能为其参考手册，汇总了全局语法、认证方式、各协议命令与模块用法。
一、用途 NetExec 用于对 Active Directory 环境进行网络发现、枚举、凭据获取、漏洞检测与后渗透操作。它支持多种协议，可在一次调用中对单个目标、多个 IP、CIDR 网段、IP 范围、主机名或目标文件列表执行操作。
二、全局语法与选项 基本语法：nxc <protocol> <target(s)> [auth options] [action options] [global options] 可用协议：smb、ssh、ldap、ftp、wmi、winrm、rdp、vnc、mssql、nfs。 目标格式支持 CIDR（如 192.168.1.0/24）、多个 IP、IP 范围（如 192.168.1.1-28）、主机名以及目标文件（如 ~/targets.txt）。 全局标志包括：-t THREADS（并发线程，默认 100）、--timeout（每线程超时秒数）、--jitter（连接间随机延迟，如 3、2-5、4-4）、--no-progress（隐藏进度条）、--verbose、--debug。
三、认证方式 支持单用户名、多用户名或用户名文件（-u），明文密码（-p，特殊字符需加引号，以 - 开头的密码用 -p= 形式），NT 哈希或完整 NTLM 哈希（-H），以及从 nxcdb 使用凭据（-id）。--local-auth 用于本地用户认证。 Kerberos 认证：使用 -k 自动处理 TGT；通过 KRB5CCNAME 环境变量配合 --use-kcache 使用已有 ccache 票据；可用 --kdcHost 显式指定 KDC。多域环境可在用户文件中使用 DOMAIN\user 格式。
四、输出颜色与 Pwn3d! 含义 红色表示认证失败，绿色表示认证成功，品红色表示密码有效但账户非管理员，(Pwn3d!) 表示具备管理员访问或可执行代码。不同协议下 Pwn3d! 含义不同：SMB 为本地/域管理员访问，WMI 为本地管理员，WinRM/RDP/VNC 为可执行代码，LDAP 为通往域管理员的路径，SSH 为 root 访问，FTP 无检查。
五、密码喷洒与暴力破解 可对多用户喷洒单一密码（--no-bruteforce --continue-on-success），或进行用户×密码组合的完整暴力破解。支持哈希喷洒。使用 --jitter 限速以避免账户锁定。注意 --no-bruteforce 会按 user[0]:pass[0]、user[1]:pass[1] 配对，不加则为完整暴力破解。--continue-on-success 可在找到有效凭据后继续。OpSec 提示：jitter 按主机生效，对多主机喷洒会成倍增加认证尝试，喷洒前应先用 --pass-pol 检查域锁定策略。
六、SMB 协议 网络发现：nxc smb 192.168.1.0/24 可获取操作系统、主机名、域、签名、SMBv1 等信息。 枚举：--shares（共享与访问权限）、空会话共享枚举、Guest 登录检查、--users 与 --users-export（域用户）、--rid-brute（通过 RID 爆破枚举用户，无需域凭据）、--pass-pol（密码策略）、--loggedon-users（需管理员）、--reg-sessions（基于注册表，无需管理员）、--qwinsta（需管理员）、--local-group、--disks、--interfaces（需管理员）、空会话、--gen-relay-list（生成 SMB 签名未强制的中继候选列表）、-M ntlmv1、-M enum_av（枚举 AV/EDR，无需管理员）、-M bitlocker、--remote-processes（需管理员）、-M lockscreendoors（需管理员）。 共享爬取：--spider 指定共享与文件模式；-M spider_plus 列出所有可读共享，可配合 DOWNLOAD_FLAG=True 下载全部文件，或用 PATTERN 按内容/正则过滤。 文件操作：--get-file 下载文件，--put-file 上传文件。 命令执行（需管理员/Pwn3d!）：-x 执行 cmd 命令，-X 执行 PowerShell 命令，--exec-method 可强制 wmiexec、atexec 或 smbexec，自动回退顺序为 wmiexec → atexec → smbexec。--amsi-bypass 可绕过 AMSI。-M pi 可进行进程注入（需 SYSTEM）。 凭据转储（除注明外均需本地管理员）：--sam（SAM 哈希，可用 secdump 回退）、--lsa（LSA 机密，需域管理员或 DC 本地管理员）、--ntds（完整 AD 哈希转储，需域管理员，支持 --enabled、vss、--user 等选项）、-M ntdsutil、-M ntds-dump-raw、-M lsassy、-M nanodump、-M mimikatz（已弃用）、--dpapi（浏览器凭据与凭据管理器，支持 cookies、nosystem）、-M wam（Azure/M365 令牌缓存）、-M backup_operator（利用 SeBackupPrivilege，无需本地管理员）、--sccm（SCCM 凭据，支持 disk、wmi）、-M keepass_discover、-M keepass_trigger、-M veeam、-M wifi、-M winscp、-M vnc、-M mremoteng、-M rdcman、-M putty、-M notepad、-M notepad++。 漏洞扫描：-M zerologon（CVE-2020-1472）、-M nopac（需凭据）、-M printnightmare、-M smbghost（CVE-2020-0796）、-M ms17-010（EternalBlue）、-M ntlm_reflection（CVE-2025-33073，需凭据）、-M coerce_plus（PetitPotam、DFSCoerce、PrinterBug、MSEven、ShadowCoerce 等强制认证漏洞，可指定 LISTENER、ALWAYS、METHOD）。可同时运行多个漏洞检查。 LAPS：--laps 读取 LAPS 密码（需具备 ReadLAPSPassword 权限），可指定非默认管理员名。 委派滥用：--delegate 用于 RBCD 模拟任意用户；--delegate --self 用于 S4U2Self（使用计算机账户通常可获得本地管理员）。 其他：-M schtask_as 模拟已登录用户、--change-password 修改用户密码、--modify-group 修改组成员、-M teams_localdb 转储 Teams cookie、-M steal_teams_cookies 窃取 Teams cookie、-M spooler、-M webdav。
七、LDAP 协议 认证：支持普通认证与 Kerberos（-k，可配合 --kdcHost）。 用户枚举：--users、--users-export、--active-users、--get-user-descriptions、--admin-count。 组枚举：--groups、--group-members。 域信息：--dc-list、--find-domain-sid、--trusts、--machine-account-quota、--get-scriptpath、--extract-subnet、--check-ldap-signing。 Kerberos 攻击：--asreproast（ASREPRoast，可匿名或认证后执行，输出可用 hashcat -m18200 破解）、--kerberoasting（Kerberoasting，输出可用 hashcat -m13100 破解）、--targeted-kerberoast（定向 Kerberoasting，需对 servicePrincipalName 有 WriteProperty 权限）、-M pre2k（Pre2k 计算机账户滥用，票据保存至 ~/.nxc/modules/pre2k/ccache/）。 提权与委派：--find-delegation（查找所有错误配置的委派）、--unconstrained-delegation。 ACL/DACL 分析：-M daclread 可读取目标对象 ACE、检查特定主体权限、查找 DCSync 权限、检查 DENY ACE、备份多个目标的 DACL。 凭据与机密提取：--gmsa（转储 gMSA 密码，自动使用 LDAPS）、-M get-gmsa-creds、--gmsa-convert-id。 BloodHound 数据收集：--bloodhound --collection All/DCOnly/Session,LoggedOn。 SCCM/Entra ID/DNS：-M enum-sccm、--entra-id、--enumerate-unsecure-dns-zones、--query 自定义 LDAP 查询。 域信任提权：-M raisechild。
八、WinRM 协议 可检查认证、执行命令（-X）、转储凭据（--sam、--lsa 需管理员；--dpapi 无需管理员，转储当前用户凭据）。WinRM 上的 Pwn3d! 表示可执行代码，可使用 evil-winrm 获取交互式 shell。
九、适用场景与限制 该技能适用于渗透测试与红队场景下快速查阅 NetExec 命令，覆盖网络发现、枚举、凭据获取、漏洞检测与后渗透等环节。使用时应遵守授权范围与法律法规。部分操作需管理员或域管理员权限，部分模块有特定前提条件（如凭据、权限、目标配置）。关于收费、价格、平台支持范围等信息，资料中暂未提供。