首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

正在尝试使用Powershell在AD中查找启用或禁用的用户

在AD中使用Powershell查找启用或禁用的用户,可以通过以下步骤实现:

  1. 打开Powershell控制台:在Windows操作系统中,按下Win + X键,然后选择“Windows PowerShell”或“Windows PowerShell(管理员)”。
  2. 连接到AD域控制器:在Powershell控制台中,使用以下命令连接到AD域控制器:
代码语言:txt
复制
Import-Module ActiveDirectory
  1. 查找启用的用户:使用以下命令查找启用的用户:
代码语言:txt
复制
Get-ADUser -Filter {Enabled -eq $true}

该命令将返回所有启用的用户的详细信息,包括用户名、姓氏、名字、邮箱等。

  1. 查找禁用的用户:使用以下命令查找禁用的用户:
代码语言:txt
复制
Get-ADUser -Filter {Enabled -eq $false}

该命令将返回所有禁用的用户的详细信息。

以上命令中的-Filter参数用于指定筛选条件,{Enabled -eq $true}表示筛选启用的用户,{Enabled -eq $false}表示筛选禁用的用户。

Powershell是一种强大的脚本语言和命令行工具,广泛应用于Windows系统管理和自动化任务。它可以通过调用各种系统API和命令来实现对AD的管理操作。使用Powershell可以快速、灵活地查询和管理AD中的用户、组、计算机等对象。

推荐的腾讯云相关产品:腾讯云提供了一系列云计算产品,包括云服务器、云数据库、云存储等,可以满足各种云计算需求。具体推荐的产品和介绍链接如下:

  • 云服务器(CVM):提供弹性、可靠的云服务器实例,支持多种操作系统,适用于各种应用场景。详细介绍请参考:腾讯云云服务器
  • 云数据库MySQL版(TencentDB for MySQL):提供高性能、可扩展的云数据库服务,支持MySQL数据库引擎,适用于Web应用、移动应用等场景。详细介绍请参考:腾讯云云数据库MySQL版
  • 云对象存储(COS):提供安全、可靠的对象存储服务,适用于存储和处理各种类型的数据,包括图片、视频、文档等。详细介绍请参考:腾讯云云对象存储

请注意,以上推荐的腾讯云产品仅供参考,具体选择应根据实际需求进行。

页面内容是否对你有帮助?
有帮助
没帮助

相关·内容

Linux 上为特定用户用户启用禁用 SSH

通过以下内容,我们可以为指定用户用户列表启用 ssh 访问。如果你想要允许多个用户,那么你可以添加用户同一行中用空格来隔开他们。...通过以下内容,我们可以配置指定用户用户列表禁用 ssh。如果你想要禁用多个用户,那么你可以添加用户同一行中用空格来隔开他们。...是的,这里 user1 用户禁用名单。所以,当你尝试登录时,你将会得到如下所示错误信息。...通过以下内容,我们可以允许一个指定多个组使用 ssh。 如果你想要允许多个组使用 ssh 那么你添加用户组时需要在同一行中使用空格来隔开他们。...通过以下内容,我们可以禁用指定多个组使用 ssh。 如果你想要禁用多个用户使用 ssh,那么你需要在添加用户组时同一行中使用空格来隔开他们。

2.5K60

使用 AD 诱饵检测 LDAP 枚举和Bloodhound Sharphound 收集器

image.png 现在,攻击者使用从 Active Directory(使用 SharpHound)收集信息来理解 AD 数据并对其进行分析以了解目标组织 AD 结构,并找出各种有趣事实和快捷路径以访问域管理员和不同主机上用户权限等...对象详细信息,包括所有启用帐户、禁用帐户、具有 SPN 帐户、所有组织单位、组策略对象、AD 所有安全和非安全组、内置容器组等....首先,让我们确保正确配置 AD 环境并启用高级日志记录策略,这是完成此任务所需。检测此枚举过程所需唯一策略是目录服务访问审核策略。域控制器上,它默认启用。...如果它被禁用,我们可以使用 auditpol 命令域控制器上启用它,如下所示: 以下是启用此所需高级审计命令: auditpol /set /subcategory:”Directory Service...因为攻击者通常在 LDAP 查询搜索 *Admin* 以枚举高权限帐户 重要受保护以及域管理员创建诱饵 创建诱饵网络共享并启用审计 将用户和计算机放在不同 OU 创建计算机对象作为诱饵并分配不受约束委派

2.5K20
  • PS命令之操作系统远程管理及进程服务操作示例

    当前仅在Windows平台上支持基于WS-ManagementPowerShell远程处理(此cmdletLinuxMacOS版本PowerShell不可用)。...Tips : Windows Server 平台上默认启用PowerShell远程处理, 通常不允许计算机位于公用网络上时Windows客户端版本上启用PowerShell远程处理,但是您可以使用SkipNetworkProfileCheck...因此与禁用端点连接尝试失败,并显示“拒绝访问”错误。...计算机名存储变量“$names”`Get Credential`提示您输入用户名和密码,并将值存储变量“$Creds”`Restart Computer`使用ComputerNameCredential...Start-Process -FilePath "powershell" -Verb RunAs # 6.此示例演示如何查找启动进程时可以使用动词,可用谓词由进程运行文件文件扩展名决定。

    7.2K40

    域内计算机本地管理员密码管理

    中大型企业,则会使用AD活动目录来进行统一身份认证,此时域用户账号密码则集中保留AD数据库,并且用户权限也是保留在ADAD安全性远高于普通PC,因此安全性大大提升。...直接禁用本地管理员 这是一种简单粗暴方式,直接省去管理本地账号工作,这种方式可以使用组策略来实现,问题是电脑因故障脱离域,或是无法使用域账号登录时,电脑就无法登录,需要借助PE等工具启用本机管理员并设置密码...4.为每台PC本地管理员设置随机密码 少部分企业,通过计算机开机脚本,为每台计算机设置随机密码,并通过其他方法配合禁止有本地管理员权限用户去更改本地账号密码,此种方式与直接禁用本地管理员账号优缺点并不太大差异...Enable local admin password management启用本地管理员帐户密码管理 如果启用此设置,则管理本地管理员密码 如果禁用未配置此设置,则不管理本地管理员密码 7.客户端刷新策略...使用LAPS UI修改密码时,客户端必需刷新策略,客户端更改后再写入到AD

    3K20

    从上而下死亡:从 Azure 到 On-Prem AD 横向移动

    如果组织正在使用混合 Azure AD 加入来管理本地 Windows 系统,则控制“全局管理员”“Intune 管理员”主体攻击者可以作为 SYSTEM 用户在这些本地设备上执行任意 PowerShell...image.png 让我再说一遍:从 Azure AD 租户转向本地 AD 域可以完全不同身份管理环境和不明确相互信任甚至相互不了解平台之间启用攻击路径。...左侧导航,单击“设备:” image.png 此页面将列出“加入”到 Azure AD 租户所有设备,无论加入类型如何。...接下来,以激活“全局管理员”“Intune 管理员”角色用户身份登录 Azure Web 门户(我们将在稍后帖子讨论如何升级到这些角色。)...您可以选择:每个可能系统上运行脚本,或者通过将脚本限定为现有安全组将特定设备或用户添加到新安全组来将其限制为仅在某些系统上运行。

    2.5K10

    windows提权看这一篇就够了

    ,通过组策略管理控制台中配置组策略首选项,管理员可以推出多种策略,例如,当用户登录其计算机时自动映射网络驱动器,更新内置管理员帐户用户对注册表进行更改。...SYSVOL: SYSVOL是AD(活动目录)里面一个存储域公共文件服务器副本共享文件夹,所有的认证用户都可以读取。...普通技术,该模块使用反射式DLL注入技术并只除去了DLL payload 二进制文件,而不是三个单独二进制文件。但是,它需要选择正确体系架构(对于SYSWOW64系统也使用x64)。...它允许你不提供密码其他凭证前提下,访问网络和系统资源,这些令牌将持续存在于系统,除非系统重新启动。 令牌有很多种: 访问令牌(Access Token):表示访问控制操作主体系统对象 。...这里窃取令牌,主要是窃取进程令牌 #使用令牌假冒用户 impresonate_Token "令牌名" ......

    3.3K20

    windows提权看这一篇就够了

    ,通过组策略管理控制台中配置组策略首选项,管理员可以推出多种策略,例如,当用户登录其计算机时自动映射网络驱动器,更新内置管理员帐户用户对注册表进行更改。...SYSVOL: SYSVOL是AD(活动目录)里面一个存储域公共文件服务器副本共享文件夹,所有的认证用户都可以读取。...普通技术,该模块使用反射式DLL注入技术并只除去了DLL payload 二进制文件,而不是三个单独二进制文件。但是,它需要选择正确体系架构(对于SYSWOW64系统也使用x64)。...它允许你不提供密码其他凭证前提下,访问网络和系统资源,这些令牌将持续存在于系统,除非系统重新启动。 令牌有很多种: 访问令牌(Access Token):表示访问控制操作主体系统对象 。...这里窃取令牌,主要是窃取进程令牌 #使用令牌假冒用户 impresonate_Token "令牌名" ......

    15.9K31

    无需登录域控服务器也能抓 HASH 方法

    AD 还支持特殊 NC,通常称为应用程序分区非域命名上下文 (NDNC)。DNS 使用 NDNC(例如,DomainDnsZones、ForestDnsZones)。...我们实验室,我们有一个名为 storagesvc 用户,它是 Domain Admins 组成员,如下面的屏幕截图所示。...所以我们现在可以使用 Invoke-Mimikatz PowerShell 脚本执行 OverPass-The-Hash 攻击,并使用 storagesvc 用户权限启动一个新 PowerShell...检测 为了检测 OverPass-The-Hash 攻击、基于 ACL 攻击和 DCSync 攻击,我们需要在模拟攻击之前域控制器上启用少量日志。我们实验,我们已经启用了这些日志。...但是您可以按照下面提到步骤环境启用日志。 我们还在实验室中部署了 Sysmon 以进行额外日志记录。

    2.7K10

    LAPSToolkit:一款LAPS环境安全审计工具

    是微软发布一款用来LDAP上存储本地管理员密码工具。只要一切都配置正确,那么该工具使用起来将非常不错。...微软建议将特定用户和组扩展权限移动到这些属性。这是一个不错方法,但它正确设置起来将非常痛苦。长话短说,如果你正在使用LAPS,那么域内某一个用户将能够读取到这些本地管理员凭证明文信息。...该工具可以查询由系统管理员指定用户组,查找具有“全部扩展权限”用户(可查看密码),而且还可以查看全部启用了LAPS计算机设备。...Find-AdmPwdExtendedRights 针对每一个启用了LAPS活动目录计算机,进行扩展权限分析,并查找哪一个用户组拥有AD读取权限,以及其中用户是否具有“全部扩展权限”。...系统管理员可能不知道哪一个具有“全部扩展权限”用户可以查看密码,以及用户哪一个用户安全等级比较低。这个功能可以针对每一个AD设备解析ACL权限,但对于范围比较大域,解析时间会比较久。

    99760

    通过ACLs实现权限提升

    ,枚举是关键,AD访问控制列表(ACL)经常被忽略,ACL定义了哪些实体对特定AD对象拥有哪些权限,这些对象可以是用户帐户、组、计算机帐户、域本身等等,ACL可以单个对象上配置,也可以组织单位(.../下行对象身份和相应权限,ACE中指定身份不一定是用户帐户本身,将权限应用于AD安全组是一种常见做法,通过将用户帐户添加为该安全组成员,该用户帐户被授予ACE配置权限,因为该用户是该安全组成员...,如前所述用户帐户将继承用户所属(直接间接)组设置所有资源权限,如果Group_A被授予AD修改域对象权限,那么发现Bob继承了这些权限就很容易了,但是如果用户只是一个组直接成员,而该组是...psexec.py调用PowerShell函数Invoke-Webrequest,它将从系统角度运行,标志-UseDefaultCredentials将启用NTLM自动身份验证 应该注意是,Active...Directory默认配置针对LDAP中继攻击是可能,因为LDAP签名在一定程度上缓解了这种攻击,但在默认情况下是禁用,即使启用了LDAP签名,仍有可能中继到LDAPS(SSL/TLS上LDAP

    2.3K30

    内网渗透-活动目录利用方法

    DNS Records 默认情况下,Active Directory任何用户都可以枚举域林DNS区域中所有DNS记录,类似于区域传输(用户可以AD环境列出DNS区域子对象)。...当一个帐户使用证书对AD进行身份验证时,DC需要以某种方式将证书凭据映射到一个AD帐户。Schannel首先尝试使用KerberosS4U2Self功能将凭据映射到用户帐户。...如果不成功,它将尝试使用证书SAN扩展、主题和颁发者字段组合,或者仅根据颁发者将证书映射到用户帐户。默认情况下,AD环境,不支持使用Schannel直接进行AD身份验证协议并不多。...扩展操作来显示当前正在进行身份验证用户AD CS 枚举 就像对于AD大部分内容一样,通过查询LDAP作为域身份验证但没有特权用户,可以获取到前面提到所有信息。...当使用 winrs.exe 时,端口转发 WinRM 请求似乎也是有效。如果您意识到 PowerShell 正在被监控,这可能是一个更好选择。

    9210

    Windows系统曝0day漏洞,影响所有版本Windows Print Spooler

    该公司甚至警告用户PrintNightmare漏洞正在被广泛利用。由于该漏洞允许攻击者以系统权限运行任意代码,因此成功利用该漏洞不法分子可以安装程序、处理数据创建具有完全用户权限新账户。...微软建议禁用 Windows Print Spooler 服务 目前,微软正在开发补丁,但有证据表明 PoC 漏洞已被使用。企业和企业用户最容易受到攻击,但一般用户也可能面临风险。...但一般用户需要使用Powershell命令将其关闭,这将保护您 PC 免受任何 PrintNightmare 威胁: 使用任务栏Windows开始菜单搜索“Powershell”; 右键单击Powershell...Windows启动时重新启用 Print Spooler 服务: Set-Service -Name Spooler -StartupType Disabled 等到微软发布补丁并完成安全更新后,您可以使用以下两个命令...Spooler 除此之外,网络安全和基础设施安全局(CISA)建议管理员“域控制器和无需打印服务系统禁用 Windows Print Spooler 服务”。

    71620

    围绕PowerShell事件日志记录攻防博弈战

    • Microsoft-Windows-WinRM/Analytic.etl 通常PowerShell 2.0事件日志可以提供命令活动脚本执行开始和停止时间,加载提供程序(指示正在使用功能类型...Analytic日志记录了更多信息,可以帮助我们定位一些错误是什么地方发生,但Analytic日志如果启用(默认情况下禁用)在生产环境中将产生大量记录数据可能会妨碍实际分析。...如果正在使用PowerShell远程处理,则访问系统将使用HostName = ServerRemoteHost记录这些事件。 两条消息都不记录与PowerShell活动关联用户帐户。...包括用于访问WinRM用户名和身份验证机制; • 事件ID 142:如果远程服务器禁用了WinRM,则客户端尝试启动远程Shell连接时将产生该记录; Microsoft-Windows-PowerShell...• 事件ID 142:如果远程服务器禁用了WinRM,则客户端尝试启动远程Shell连接时将产生该记录; Microsoft-Windows-WinRM/Analytic.etl 与PowerShell

    1.8K10

    Exchange 2013信息权限保护之Exchange集成RMS

    下面就来对Exchange以及RMS进行配置,使得Exchange可以正常使用到RMS服务。 1....添加活动目录Exchange Servers、AD RMS Service Group组,并设置为允许“读取”和“读取及运行” ? 4....下面需要登录到Exchange Server,打开Exchange Powershell,键入New-DistributionGroup –Name ‘RMS_SuperUser’ –SamAccountName...RMS超级用户成员,可以不被限制地访问被IRM保护数据,RMS组成员可以进行解密工作。超级用户组默认是被禁用,需要手动启用。同时,这个组需要是一个启用了邮件功能通用组。...下面回到RMS服务器,打开AD RMS管理控制台,展开安全策略,启用超级用户。 ? 7. 完成启用后打开更改超级用户组,把之前创建RMS_SuperUser添加进去。 ? 8.

    1.3K41

    WinRM横向移动详解

    即使WinRM服务正在运行,也无法接收发送请求数据WS-Management协议消息。 Internet连接防火墙(ICF)阻止访问端口。...-u[sername]:USERNAME - 命令行上指定用户名。如果未指定该用户名,则工具将使用协商身份验证提示指定名称。...-comp[ression] - 启用压缩。远程计算机上旧安装可能不支持压缩,因此默认情况下处于禁用状态。...script via WinRM cobalt strike 官方文档我们知道cobalt strike中使用wimRM过程是: 使用powershell调用winRM所以我们可以看看下图 ?...利用后,模块将尝试修改PowerShell执行策略以允许执行未签名脚本。然后,将PowerShell脚本写入磁盘并自动执行以返回Meterpreter会话。

    2.6K10

    神兵利器 - APT-Hunter 威胁猎人日志分析工具

    许多分析师忽略了windows事件日志不知道在哪里搜索可疑活动,他们大多不知道什么事件日志收集情况下,攻击.我作为安全专家SOC环境工作,我们提供威胁狩猎,事件响应和取证调查给我们客户。...Powershell [T1543]检测操作Windows服务Sc.exe [T1059]检测wscriptcscript运行脚本 [T1218.005]检测到系统中正在运行Mshta [T1053...检测Exchange Web服务利用,例如(CVE-2020-0688) 使用安全日志检测密码喷雾攻击 使用安全日志检测通过哈希攻击 使用安全日志检测可疑枚举用户尝试 使用Powershell...远程计算机进行检测 使用安全日志使用Net命令检测用户创建 使用安全日志检测可疑位置运行进程 使用安全日志使用令牌提升检测特权提升 使用安全日志检测可运行可执行文件 使用安全日志检测可疑Powershell...使用安全日志检测系统审核策略更改 使用安全日志检测计划任务创建 使用安全日志检测计划任务删除 使用安全日志检测计划任务更新 使用安全日志检测启用计划任务 使用安全日志检测禁用计划任务 检测Windows

    1.8K10

    1.Powershell基础入门介绍与安装升级

    随着.NET FrameWork开源和跨平台,最新版本PowerShell 使用 .NET Core 5.0 作为运行时,此时它可以 Windows、macOS 和 Linux 平台上运行。...Tips :对于未获得官方支持 Linux 分发,可尝试使用 PowerShell Snap 包安装 PowerShell。...还可尝试直接使用 Linux tar.gz存档 部署 PowerShell 二进制文件,但是需要在各个步骤基于 OS 设置必要依赖项。.../powershell 从 Windows PowerShell 5.1 迁移到 PowerShell 7 描述: 当前Windows10以及Server2019默认PS版本为5.1为了使用尝试使用...若要更轻松地转换到 Visual Studio Code,请使用“命令面板”启用 ISE 模式”功能即请按 Ctrl+Shift+P 打开“命令面板”,键入“PowerShell”,然后选中“PowerShell

    7.1K20

    域渗透:使用蜜罐检测出Kerberoast攻击

    蜜罐帐户是一种策略性地定位在网络帐户,在这种情况下使用蜜罐帐户主要目的是检测Kerberoasting(@ myexploit2600文章),根据我们在行业经验,这是攻击之后使用最常见攻击媒介之一...使用蜜罐帐户优点之一是没有额外软件成本。许多蓝队解决方案要花费大量资金,并且需要大量资源来实施和管理。但是当使用蜜罐账户时,由于绝对不应请求使用该账户,因此产生误报可能性也为零。...如果您拥有SIEM使用SOC管理服务,则应该已经捕获了这些事件,并且可以创建自定义警报,但是对于此博客文章,我们将说明如何在没有其他服务产品情况下识别此活动。 ?...如果我们不执行此步骤,则在大型AD环境,将有成千上万4769事件日志,并且很难识别恶意活动。...最后一步,我们将操作设置为启动powershell.exe,但是您应该将其更改为启动PowerShell脚本,该脚本通过电子邮件向管理员发送电子邮件,说明正在进行恶意活动也将禁用该帐户。 ?

    1.1K20

    win11系统安全性真牛逼

    win11系统安全性真不是盖,举3个例子 1、锁屏界面,输用户名和密码 部分版本win11系统,即便启用了Administrator用户后,登录界面仍然不显示Administrator用户名,而是...对于每个事件日志,脚本会尝试使用wevtutil cl命令清空它,并捕获可能出现错误。如果无法清空某个日志,脚本将输出警告消息。...“LiveId”目录下看不到“Analytic”,所以没法判断它到底是启用还是禁用状态。有啥办法干预注册表实现吗?...定位,该.evtx文件被WinHttpAutoProxySvc服务占用,WinHttpAutoProxySvc服务是运行状态 尝试提权停止、禁用WinHttpAutoProxySvc服务均失败,总之...总之,要彻底清空win11系统日志相当麻烦,最后还是winpe实现删.evtx文件,单纯只清空.evtx文件内容实现不了。

    35720
    领券