註：以下文章非本人撰寫為中國大陸網路轉載文章，並經本人整理。
來源：Cmd模式下的入侵技术大全<黑客该有的技术>
作者：HMC
##CONTINUE##
註：為免版面凌亂[----]中間所包夾的範圍為指令或程式碼。
前言：
Cmd Shell(命令列介面)是駭客永恆的話題，它歷史悠久並且長盛不衰。
本文旨在介紹和總結一些在命令列下控制Windows系統的方法。這些方法都是盡可能地利用系統內建的工具實現的。
網路配置篇：
Windows 內建的關於網路的命令列工具很多，比如大家熟悉的ping,tracert,ipconfig,telnet,ftp,tftp,netstat，還有不太熟悉的nbtstat,pathping,nslookup,finger,route,netsh......
這些命令又可分成三類：網路檢測（如ping）、網路連接（如telnet）和網路配置（如netsh）。前面兩種相對簡單，本文只介紹兩個網路配置工具。
--------------------------------------------------------------------
netsh 指令
在遠端shell中使用netsh首先要解決一個對話模式的問題。前面說過，很多shell不能再次重定向輸出輸出，所以不能在這種環境下交互地使用ftp等命令列工具。解決的辦法是，一般互動式的工具都允許使用Script（或者叫應答檔）。比如ftp -s:filename。netsh也是這樣：netsh -f filename。
netsh命令的功能非常多，可以配置IAS、DHCP、RAS、WINS、NAT伺服器，TCP/IP協定，IPX協定，路由等。我們不是管理員，一般沒必要瞭解這麼多，只需用netsh來瞭解目標主機的網路配置資訊。
1：TCP/IP配置
echo interface ip >s
echo show config >>s
netsh -f s
del s
由此你可以瞭解該主機有多個網卡和IP，是否是動態分配IP(DHCP)，內網IP是多少（如果有的話）。
這個命令和ipconfig /all差不多。
注意，以下命令需要目標主機啟動 remoteaccess 服務。如果它被禁用，請先通過導入註冊表解禁，然後
net start remoteaccess
2：ARP
echo interface ip >s
echo show ipnet >>s
netsh -f s
del s
這個比arp -a命令多一點資訊。
3：TCP/UDP連接
echo interface ip >s
echo show tcpconn >>s
echo show udpconn >>s
netsh -f s
del s
這組命令和netstat -an一樣。
4：網卡資訊
如果netsh命令都有其他命令可代替，那它還有什麼存在的必要呢？下面這個就找不到代替的了。
echo interface ip >s
echo show interface >>s
netsh -f s
del s
netsh的其他功能，比如修改IP，一般沒有必要使用（萬一改了IP後連不上，就"叫天不應叫地不靈"了），所以全部略過。
--------------------------------------------------------------------
IPSec 指令
首先需要指出的是，IPSec 和 TCP/IP 篩選是不同的東西，大家不要混淆了。TCP/IP 篩選的功能十分有限，遠不如 IPSec 靈活和強大。下面就說說如何在命令列下控制 IPSec。
XP系統用 ipseccmd，2000下用ipsecpol。遺憾的是，它們都不是系統自帶的。ipseccmd 在xp系統安裝盤的 SUPPORT\TOOLS\SUPPORT.CAB中，ipsecpol在2000 Resource Kit裡。而且，要使用 ipsecpol 還必須帶上另外兩個檔：ipsecutil.dll 和 text2pol.dll 。三個文件一共119KB。
IPSec 可以通過群組原則來控制，但我找遍MSDN，也沒有找到相應的安全範本的語法。已經配置好的IPSec策略也不能被匯出為範本。所以，群組原則這條路走不通。IPSec的設置保存在註冊表中(HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local)，理論上可以通過修改註冊表來配置IPSec。但很多資訊以駭客動畫吧形式存放，讀取和修改都很困難。相比之下，上傳命令列工具更方便。
關於 ipsecpol 和 ipseccmd 的資料，網上可以找到很多，因此本文就不細說了，只是列舉一些實用的例子。
在設置IPSec策略方面，ipseccmd命令的語法和ipsecpol幾乎完全一樣，所以只以ipsecpol為例：
1：防禦rpc-dcom攻擊
ipsecpol -p myfirewall -r rpc-dcom -f *+0:135:tcp *+0:135:udp *+0:137:udp *+0:138:udp *+0:139:tcp *+0:445:tcp *+0:445:udp -n BLOCK -w reg -x
這條命令關閉了本地主機的TCP135,139,445和udp135,137,138,445埠。
具體含義如下：
-p myfirewall 指定策略名為myfirewall
-r rpc-dcom 指定規則名為rpc-dcom
-f ...... 建立7個篩選器。*表示任何位址(源)；0表示本機位址(目標)；+表示鏡像(雙向)篩選。詳細語法見ipsecpol -?
-n BLOCK 指定篩選操作是"阻塞"。注意，BLOCK必須是大寫。
-w reg 將配置寫入註冊表，重啟後仍有效。
-x 立刻啟動該策略。
2：防止被ping
ipsecpol -p myfirewall -r antiping -f *+0::icmp -n BLOCK -w reg -x
如果名為myfirewall的策略已存在，則antiping規則將添加至其中。
注意，該規則同時也阻止了該主機ping別人。
3：對後門進行IP限制
假設你在某主機上安裝了DameWare Mini Remote Control。為了保護它不被別人暴破密碼或溢出，應該限制對其服務埠6129的訪問。
ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg
ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.89+0:6129:tcp -n PASS -w reg -x
這樣就只有 123.45.67.89 可以訪問該主機的6129埠了。
如果你是動態IP，應該根據IP分配的範圍設置規則。比如：
ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg
ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.*+0:6129:tcp -n PASS -w reg -x
這樣就允許123.45.67.1至123.45.67.254 的IP 訪問6129埠。
在寫規則的時候，應該特別小心，不要把自己也阻塞了。如果你不確定某個規則
的效果是否和預想的一樣，可以先用計畫任務 "留下後路"。例如：
c:\>net start schedule
Task Scheduler 服務正在啟動 ..
Task Scheduler 服務已經啟動成功。
c:\>time /t
12:34
c:\>at 12:39 ipsecpol -p myfw -y -w reg
新加了一項作業，其作業 ID = 1
然後，你有5分鐘時間設置一個 myfw 策略並測試它。5分鐘後計畫任務將停止該策略。
如果測試結果不理想，就刪除該策略。
c:\>ipsecpol -p myfw -o -w reg
注意，刪除策略前必須先確保它已停止。不停止它的話，即使刪除也會在一段時間內繼續生效。持續時間取決於策略的刷新時間，默認是180分鐘。
如果測試通過，那麼就啟用它。
c:\>ipsecpol -p myfw -x -w reg
最後說一下查看IPSec策略的辦法。
對於 XP 很簡單，一條命令搞定：ipseccmd show filters
而ipsecpol沒有查詢的功能。需要再用一個命令列工具netdiag。它位於2000系統安裝盤的SUPPORT\TOOLS\SUPPORT.CAB中。（已經上傳了三個檔，也就不在乎多一個了。
netdiag 需要RemoteRegistry 服務的支援。所以先啟動該服務：
net start remoteregistry
不啟動RemoteRegistry就會得到一個錯誤：
[FATAL] Failed to get system information of this machine.
netdiag 這個工具功能十分強大，與網路有關的資訊都可以獲取！不過，輸出的資訊有時過於詳細，超過命令列控制台cmd.exe的輸出暫存記憶體，而不是每個遠端cmd shell都可以用more命令來分頁的。
查看ipsec規則的命令是：
netdiag /debug /test:ipsec
然後是一長串輸出資訊。IPSec規則位於最後。
--------------------------------------------------------------------
軟體安裝
一個軟體/工具的安裝過程，一般來說只是做兩件事：拷貝檔案到特定目錄和修改註冊表。只要搞清楚具體的內容，那麼就可以自己在命令列下實現了。（不考慮安裝後需要註冊啟動等情況）
WinPcap 是個很常用的工具，但必須在視窗介面下安裝。在網上也可以找到不用GUI的版本（但還是有版權頁），其實我們完全可以自己做一個。
以WinPcap 3.0a 為例。通過比較安裝前後的檔案系統和註冊表快照，很容易瞭解整個安裝過程。
除去反安裝的部分，關鍵的檔有三個：wpcap.dll，packet.dll和npf.sys。前面兩個檔位於system32目錄下，第三個在system32\drivers下。而註冊表的變化是增加了一個系統服務NPF。注意，是系統服務（即驅動）不是Win32服務。
作為系統服務，不但要在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下增加主鍵，在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root下也增加主鍵。而後者默認只有SYSTEM身份才可以修改。幸運的是，並不需要手動添加它，winpcap被調用時會自動搞定。甚至完全不用手動修改註冊表，所有的事winpcap都會自己完成，只需要將三個檔複製到合適的位置就行了。
作為範例，還是示範一下如何修改註冊表：利用前面說過的 inf 檔來實現。
--------------------------------------------------------------------
[Version]
Signature="$WINDOWS NT$"
[DefaultInstall.Services]
AddService=NPF,,winpcap_svr
[winpcap_svr]
DisplayName=Netgroup Packet Filter
ServiceType=0x1
StartType=3
ErrorControl=1
ServiceBinary=%12%\npf.sys
--------------------------------------------------------------------
將上面這些內容保存為_wpcap_.inf文件。
再寫一個批次處理_wpcap_.bat：
--------------------------------------------------------------------
rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %CD%\_wpcap_.inf
del _wpcap_.inf
if /i %CD%==%SYSTEMROOT%\system32 goto COPYDRV
copy packet.dll %SYSTEMROOT%\system32\
copy wpcap.dll %SYSTEMROOT%\system32\
del packet.dll
del wpcap.dll
:COPYDRV
if /i %CD%==%SYSTEMROOT%\system32\drivers goto END
copy npf.sys %SYSTEMROOT%\system32\drivers\
del npf.sys
:END
del %0
--------------------------------------------------------------------
然後用winrar將所有檔（5個）打包為自動解壓的exe，並將『進級自動解壓選項』->『解壓後運行』設置為_wpcap_.bat，命令列的winpcap安裝包就製作完成了。
注意，批次處理最後一行沒有Enter鍵。否則會因為正在運行而無法刪除自己。
所有的軟體安裝，基本上可以套用這個思路。但也有例外的，那就是系統修補程式的安裝。由於系統修補程式有可能要替換正在被執行或存取的檔案，所以用copy命令是不行的。
幸好，Windows修補程式支援命令列安裝。
例如：
KB824146.exe -n -z -q
-n 不保留備份
-z 不重起
-q 安靜模式
如果有一堆補丁要打，那麼用RAR打包成自動解壓檔，外加一個批次檔處理。
for %%f in (KB??????.exe) do %%f -n -z -q
for %%f in (KB??????.exe) do del %%f
del %0
--------------------------------------------------------------------
Windows Script
很多事情用Script來做是很簡潔的。
下面幾個常用Script的echo版本程式語法。
1：顯示系統版本
--------------------------------------------------------------------
@echo for each ps in getobject _ >ps.vbs
@echo ("winmgmts:\\.\root\cimv2:win32_operatingsystem").instances_ >>ps.vbs
@echo wscrīpt.echo ps.caption^&" "^&ps.version:next >>ps.vbs
cscrīpt //nologo ps.vbs & del ps.vbs
--------------------------------------------------------------------
2：列舉程序
--------------------------------------------------------------------
@echo for each ps in getobject _ >ps.vbs
@echo ("winmgmts:\\.\root\cimv2:win32_process").instances_ >>ps.vbs
@echo wscrīpt.echo ps.handle^&vbtab^&ps.name^&vbtab^&ps.executablepath:next >>ps.vbs
cscrīpt //nologo ps.vbs & del ps.vbs
--------------------------------------------------------------------
3：終止程序
--------------------------------------------------------------------
@echo for each ps in getobject _ >pk.vbs
@echo ("winmgmts:\\.\root\cimv2:win32_process").instances_ >>pk.vbs
@echo if ps.handle=wscrīpt.arguments(0) then wscrīpt.echo ps.terminate:end if:next >>pk.vbs
--------------------------------------------------------------------
要終止PID為123的程序，使用如下語法：
cscrīpt pk.vbs 123
如果顯示一個0，表示終止成功。
然後：del pk.vbs
4：重啟系統
--------------------------------------------------------------------
@echo for each os in getobject _ >rb.vbs
@echo ("winmgmts:{(shutdown)}!\\.\root\cimv2:win32_operatingsystem").instances_ >>rb.vbs
@echo os.win32shutdown(2):next >>rb.vbs & cscrīpt //nologo rb.vbs & del rb.vbs
--------------------------------------------------------------------
5：列舉自動啟動的服務
--------------------------------------------------------------------
@echo for each sc in getobject("winmgmts:\\.\root\cimv2:win32_service").instances_ >sc.vbs
@echo if sc.startmode="Auto" then wscrīpt.echo sc.name^&" - "^&sc.pathname >>sc.vbs
@echo next >>sc.vbs & cscrīpt //nologo sc.vbs & del sc.vbs
--------------------------------------------------------------------
6：列舉正在運行的服務
--------------------------------------------------------------------
@echo for each sc in getobject("winmgmts:\\.\root\cimv2:win32_service").instances_ >sc.vbs
@echo if sc.state="Running" then wscrīpt.echo sc.name^&" - "^&sc.pathname >>sc.vbs
@echo next >>sc.vbs & cscrīpt //nologo sc.vbs & del sc.vbs
--------------------------------------------------------------------
7：顯示系統最後一次啟動的時間
--------------------------------------------------------------------
@echo for each os in getobject _ >bt.vbs
@echo ("winmgmts:\\.\root\cimv2:win32_operatingsystem").instances_ >>bt.vbs
@echo wscrīpt.echo os.lastbootuptime:next >>bt.vbs & cscrīpt //nologo bt.vbs & del bt.vbs
--------------------------------------------------------------------
顯示結果的格式是：
yyyymmddHHMMSSxxxxxxZZZZ
_年_月日時分秒_微秒_時區
--------------------------------------------------------------------
8：顯示系統執行時間
--------------------------------------------------------------------
@echo for each os in getobject _ >rt.vbs
@echo ("winmgmts:\\.\root\cimv2:win32_perfrawdata_perfos_system").instances_ >>rt.vbs
@echo s=os.timestamp_sys100ns:l=len(s):s=left(s,l-7):for i=1 to l-7 >>rt.vbs
@echo t=t^&mid(s,i,1):d=t\86400:r=r^&d:t=t mod 86400:next >>rt.vbs
@echo wscrīpt.echo cint(r)^&"d "^&t\3600^&"h "^&t\60 mod 60^&"m "^&t mod 60^&"s":next >>rt.vbs
cscrīpt //nologo rt.vbs & del rt.vbs
--------------------------------------------------------------------
這個執行時間是從效能計數器中獲得的64位整型數，不會出現在49.7天後溢出的情況。
--------------------------------------------------------------------
相關連結：
Cmd模式下的入侵：檔案傳輸篇
Cmd模式下的入侵：註冊表、服務和群組原則篇
