【无标题】

DOS命令详解和Windows用户隐藏

目录

一、DOS命令详解... 1

1.1概念... 1

1.2 DOS窗口打开方式... 1

1.3基本的DOS命令... 5

1.3.1 Dir命令... 5

1.3.2 CD命令... 7

1.3.3 arp命令... 8

1.3.4 AT命令... 9

1.3.5 del命令... 10

1.3.6 systeminfo. 10

1.3.7 ipconfig. 11

1.3.8 netstat命令... 11

1.3.9 ping命令... 12

1.3.10 nslookup命令... 12

1.3.11 net指令... 13

二、windows用户隐藏... 13

2.1概述... 13

2.2环境搭建... 14

2.3 实验步骤... 14

一、DOS命令详解

1.1概念

dos：Disk Operating System，磁盘操作系统。dos与windows、mac、linux等一样，其实也是电脑上的一种操作系统，并且是微软推出的第一款商用操作系统。该系统可以直接以命令行的形式，来操纵管理硬盘中的文件。

从1981年MS-DOS 1.0，直到1995年MS-DOS 7，这15年间，dos都是微软个人计算机上使用的操作系统，并在IBM PC兼容机市场中也占有举足轻重的地位。截止到现在，windows系统仍然可以切换成dos形式进行操作。

1.2 DOS窗口打开方式

1. 在开始菜单里找到Windows系统文件夹里的命令提示符，就是它了！

2. "win"+"R"键打开运行窗口，输入cmd，敲一下回车，就打开了，这个黑漆漆的窗口就是Dos窗口。

3.在桌面shift+右键点击【在此处打开powershell】就得到了一个界面不同的DOS视窗了

4.在资源管理器输入cmd回车

5.搜索栏输入cmd打开【命令提示符】

1.3基本的DOS命令

1.3.1 Dir命令

Dir 命令是显示磁盘目录命令。在命令提示符窗口中输入 Dir 命令然后按下 Enter 键，即可查看当前目录下的资源列表。

根据资源列表中显示的文件/文件夹名称，可以轻松调用其中的文件资源，还可以进行路径的切换。对于一名黑客来说，必须记住 Dir命令的/a 参数，该参数是查看目标主机中带有隐藏性质的文件，例如木马程序、病毒程序等。

使用 Dir 命令的格式为 DIR+盘符+路径+/P+/W。

/P 作用是当要查看的目录太多，无法在一屏显示完屏幕会一直往上卷，不容易看清，加上/P 参数后，屏幕上会分面一次显示 23 行的文件信息，然后暂停，并提示 Press any key to continue(按下任意键继续)。

/W 作用是只显示文件名，至于文件大小及建立的日期和时间则都省略。加上参数后，每行可以显示 5 个文件名。

1.3.2 CD命令

CD(Change Directory)命令是改变目录命令，可以用于切换路径目录。

CD 命令的使用主要有以下 3 种方法。

CD PATH：PATH 是路径的意思，例 如输入 CD C:\Windows、CD \C:等。 主要路径存在，在 CD 后面就可以输 入该路径，否则提示错误信息。

 CD..：CD 后面加上两个“.”号表示回到上级父目录，例如当前命令提示符路径为 c:windows，输入CD..命令，按下 Enter 键后，将会返回到上一级目录，即 c: 目录。

CD\：表示当前提示符的路径无论在哪个子级目录下，立即返回根目录。

1.3.3 arp命令

Arp 命令是黑客和网络管理员都常用的命令，可以通过此命令进行 IP 地址和 MAC 地址的欺骗，当然也可以使用该命令来修改 ARP缓存表。

Arp 命令设计本意是用于显示和修改地址解析协议(ARP)缓存中的项目。ARP 缓存中包含一个或多个表，它们用于存储 IP 地址及其经过解析的以太网或令牌环物理地址。电脑上安装的每一个以太网或令牌环网络适配器都有自己单独的表。如果在没有参数的情况下使用，则 arp 命令将显示帮

Arp 命令语法

Arp 命令的语法为 arp[-a [InetAddr] [-NIfaceAddr]] [-g [InetAddr] [-N IfaceAddr]] [-dInetAddr [IfaceAddr]] [-s InetAddr EtherAddr[IfaceAddr]]。其中参数的含义如下。助信息。

-a[ InetAddr] [ -N IfaceAddr]：显示所有接口的当前 ARP 缓存表。要显示特定 IP 地址的 ARP 缓存项，请使用带 有 InetAddr 参数的 arp -a，此处的 InetAddr 代表 IP 地址。如果未指定 InetAddr，则使用第一个适用的接口。 要显示特定接口的 ARP 缓存表，请将 -N IfaceAddr 参数与-a参数一起使用， 此处的 IfaceAddr 代表指派给该接口 的 IP 地址。-N 参数区分大小写。

 -g[ InetAddr] [ -N IfaceAddr]：与-a 参 数相同。

-d InetAddr [IfaceAddr]：删除指定的 IP 地址项，此处的 InetAddr 代表 IP 地址。对于指定的接口，要删除表中 的某项，请使用 IfaceAddr 参数，此 处的 IfaceAddr 代表指派给该接口的 IP 地址。要删除所有项，请使用星号 (*)通配符代替 InetAddr。

-s InetAddr EtherAddr [IfaceAddr]：向 ARP 缓存添加可将 IP 地址 InetAddr 解析成物理地址EtherAddr的静态项。 要向指定接口的表添加静态 ARP 缓 存项，使用 faceAddr 参数。IfaceAddr 代表指派给该接口的 IP 地址。

1.3.4 AT命令

AT 即 Attention，AT 指令集是从终端设备(Terminal Equipment，TE)或数据终端设备(Data Terminal Equipment ， DTE) 向 终 端 适 配 器(Terminal Adapter，TA)或数据电路终端设备(Data Circuit Terminal Equipment，DCE)发送的。通过 TA、TE 发送 AT 指令来控制移动台(Mobile Station，MS)的功能，与 GSM 网络业务进行交互。用户可以通过 AT 指令进行呼叫、短信、电话本、数据业务、传真等方面的控制。

AT 命令语法

AT 命令列出了在指定的时间和日期计算 机运行的已计划命令或程序。必须正在运行计 划服务才能使用 AT 命令。它的语法如下： at [\\computername] [[id] [/delete] | /delete [/yes]] at [\\computername] time [/interactive] [/every:date[,...]| /next:date[,...]] command

\\computername：指定远程计算机。 如果省略该参数，命令将安排在本地 计算机。

id：指定指派给已计划命令的识别码。 /delete：取消已计划的命令。如果省 略了 id，计算机中已计划的命令将被 全部取消。

/yes：当删除已计划的事件时，对系 统的查询强制进行肯定的回答。

Time：指定运行命令的时间。将时间 以 24 小时标记的方式表示，即为小 时:分钟。

/interactive：允许作业与在作业运行 时登录用户的桌面进行交互。

/every:date[,...]：在每个星期或月的指 定日期(例如，每个星期四或每月的第 三天)运行命令。将 date 指定为星期 的一天或多天(M,T,W,Th,F,S,Su)，或 月的一天或多天(使用 1~31 的数字)。 用逗号分隔多个日期项。如果省略了 date，将假定为该月的当前日期。 /next:date[,...]：在重复出现下一天(例 如，下个星期四)时，运行指定命令将 date 指定为星期的一天或多天 (M,T,W,Th,F,S,Su)，或月的一天或多 天(使用 1~31 的数字)。用逗号分隔多 个日期项。如果省略了 date，将假定 为该月的当前日期。 Command：指定要运行的 Windows 2000 命令、程序(.exe 或.com 文件)或 批处理程序(.bat 或.cmd 文件)。当命 令需要路径作为参数时，请使用绝对 路径，也就是从驱动器号开始的整个 路径。如果命令在远程计算机上，请 指定服务器和共享名的 UNC 符号， 而不是远程驱动器号。如果命令不是

1.3.5 del命令

Del 即 Delete(删除)的缩写，它的作用就是删除文件。在黑客攻击目标主机时，首先使用的就是删除命令，使用 Del 命令，可以删除指定的文件，常用于在命令行中完成文件夹或文件的删除任务。

Del命令的语法为Del [Drive:][Path]FileName[…][/p][/f][/s][/q][/a[:Attributes]]，其中各参数的作用如下。

[Drive:][Path]FileName：指定要删除的文件或文件来的位置和名称。FileName 是必需的。如果要使用多个文件名，可以使用空格、逗号或分号隔开文件名。

/P：删除每一个文件之前提示确认。

/F：强制删除只读文件。

/S：从所有子目录删除指定文件。

1.3.6 systeminfo

使用 Systeminfo 命令可以快速获取目标主机的各种信息，例如操作系统版本、安装的 SP版本号等。Systeminfo 命令的语法为：SYSTEMINFO [/S system [/U username [/P password]]] [/FO format] [/NH]，其中各参数的作用如下。

/S system：指定要连接的远端系统。

/U [domain\]user：指定要执行命令的使用者內容。

/P [password]：指定提供的使用者內容的密码。

/FO format：指定输出的显示格式。有效值为 TABLE、LIST 或 CSV。

/NH：指定"Column Header"是否显示输出。

1.3.7 ipconfig

IPconfig命令用于显示当前的TCP/IP配置的设置值。这些信息一般用来检验人工配置的TCP/IP设置是否正确。如果希望快速获取当前电脑的所有网络配置信息，就必须掌握Ipconfig 命令。

Ipconfig命令常用参数

下面介绍Ipconfig命令使用到的一些常用参数，用户必须熟练掌握这些参数。

Ipconfig /all：显示本机 TCP/IP 配置的详细信息。

Ipconfig /release：DHCP 客户端手工释放 IP 地址。

Ipconfig /renew：DHCP 客户端手工向服务器刷新请求。

Ipconfig /flushdns：清除本地 DNS 缓存内容。

Ipconfig /displaydns：显示本地 DNS内容。

Ipconfig /registerdns：DNS 客户端手工向服务器进行注册。

Ipconfig /showclassid：显示网络适配器的 DHCP 类别信息。

Ipconfig /setclassid：设置网络适配器的 DHCP 类别。

Ipconfig /renew“Local Area Connection”：更新本地连接适配器的由DHCP分配IP 地址的配置。

Ipconfig /showclassid Local*：显示名称以 Local 开头的所有适配器的DHCP 类别 ID。Ipconfig /setclassid “ Local Area

Connection”TEST：将本地连接适配器的 DHCP 类别 ID 设置为 TEST。

1.3.8 netstat命令

Netstat 在前面章节中也有提到过，它是一个监控 TCP/IP 网络的非常有用的工具，它可以显示路由表、实际的网络连接以及每一个网络接口设备的状态信息。Netstat 用于显示与 IP、TCP、UDP 和 ICMP 协议相关的统计数据，一般用于检验本机各端口的网络连接情况。

Netstat 命令选项

Netstat 命令相关的选项主要有以下几种。

netstat –s：能够按照各个协议分别显示其统计数据。如果应用程序(如 IE浏览器)运行速度比较慢，或者不能显示 Web 页之类的数据，那么用户就可以 用本选项来查看所显示的信息。需要仔细查看统计数据的各行，找到出错关键字，进而确定问题所在。

netstat –e：用于显示关于以太网的统计数据。它列出的项目包括传送的数据包的总字节数、错误数、删除数、数据包的数量和广播的数量。这些统计数据既有发送的数据包数量，也有接收的数据包数量。这个选项可以用来统计一些基本的网络流量。

netstat –r：可以显示关于路由表的信息，类似于后面将要讲的使用 route print 命令时看到的信息。除了显示有效路由外，还显示当前有效的连接。

netstat –a：本选项显示一个所有的有效连接信息列表，包括已建立的连接(ESTABLISHED)，也包括监听连接请求(LISTENING)的那些连接。

netstat –n：显示所有已经建立的有效连接。

1.3.9 ping命令

Ping (Packet Internet Grope)，因特网包探索器，用于测试网络连接量的程序。Ping 发送一个 ICMP 回声请求消息给目的地并报告是否收到所希望的 ICMP 回声应答。

Ping 命令参数

Ping 命令的语法为：Ping [-t] [-a] [-n Count] [-1 Size] [-f] [-ITTL] [-v TOS] [-r Count] [-s Count] [{-j HostList | -k HostList}] [-w Timeout] [TargetName]。下面详细介绍了有关 Ping 命令的参数作用。

-t：不断使用 Ping 命令发送回响请求信息到目标主机。按下 Ctrl+C 键可以中断并退出 Ping。

-a：指定对目标主机 IP 地址进行反向名称解析，如果解析成功，Ping 将显示主机名。

-n Count：指定发送回响请求消息的次数，默认值为 4。可以自己定义发送的个数，对衡量网络速度很有帮助，例如测试发送 50 个数据包的返回的平均时间为多少，最快时间为多少，最慢时间为多少，就可以输入命令 Ping -n 50 192.168.1.86。

-1 Size：在默认情况下，ping 发送的数据包大小为 32byt，用户可以自定义它的大小，但有一个大小的限制，就是最大只能发送 65500byt。虽然大小被限制，但该参数配合其他参数以后危害依然非常大。

-f：一般情况下发送的数据包都会通过路由分段再发送给对方，加上该参数以后路由就不会再分段处理。

-i TTL：指定发送回响请求消息的 IP标题中的 TTL 字段值。默认值是主机的默认 TTL 值，对于 Windows 系统来说，该值一般是 128，TTL 的最大值为 225。

-v TOS：指定发送回响请求消息的 IP标题中将【服务类型】字段设置为TOS 指定的值，默认值为 0。

-r Count：一般情况下发送的数据包是通过一个个路由才到达对方的，通过该参数就可以设定想探测经过的路由的个数，但这里限制在 9 个，也就是说只能跟踪到 9 个路由，如果想探测更多，可以通过其他命令实现。

1.3.10 nslookup命令

Nslookup 命令可以用来监测网络中 DNS服务器是否能正确实现域名解析。黑客可以通过反馈的信息探测目标网站绑定的 IP 地址数量，找准攻击 IP 地址范围。Nslookup 命令有许多子命令可以使用，例如 ls 命令可以列出域名系统(DNS)域的信息。如果要将默认的查询类型更改为主机信息，并将超时时间更改为 30 秒，输入命令 Nslookup –querytype=hinfo –timeout=30 即可。

1.3.11 net指令

Net 命令是功能强大的以命令行方式执行的工具。它包含了管理网络环境、服务、用户、登录等重要的管理功能。使用它可以轻松地管理本地或者远程计算机的网络环境，以及各种服务程序的运行和配置。使用它还可以进行用户管理和登陆管理等。Net 命令是黑客最常用的命令之一。、

net user 查看有哪些用户

net user supermage 查看用户supermage的信息

net localgroup 查看组

net localgroup administrators 查看组administrators的信息

net user hack 123 /add 新建一个用户hack，密码为123

net user hack$ 123 /add 新建一个隐藏hack用户，密码为123

net user hack /del 删除用户hack

net localgroup administrators hack /add 将普通用户hack提权到管理员

net user guest /active:yes 激活guest用户

net user guest /active:no 关闭guest用户

net user guest 密码 更改guest用户密码

net use 查看连接

net share 查看本地开启的共享

net share ipc$ 开启ipc$共享

net share ipc$ /del 删除ipc$共享

net share c$ /del 删除C盘共享

net use \\192.168.10.15\ipc$ /u:"" "" 与192.168.10.15建立ipc空连接

net use \\192.168.10.15 /u:"" "" 与192.168.10.15建立ipc空连接，可以吧ipc$去掉

net use \\192.168.10.15 /u:"administrator" "root" 以administrator身份与192.168.10.15建立ipc连接

net use \\192.168.10.15 /del 删除ipc连接

net use \\192.168.10.15\c$ /u:"administrator" "root" 建立C盘共享

二、windows用户隐藏

2.1概述

系统隐藏账户是一种最为简单有效的权限维持方式，其做法就是让攻击者创建一个新的具有管理员权限的隐藏账户，因为是隐藏账户，所以防守方是无法通过控制面板或命令行看到这个账户的。

    2.2环境搭建

       此实验默认攻击者已经拿到了目标机的administrator权限

       目标机系统：Windows7    IP地址：192.168.13.129

    2.3 实验步骤

       本实验采用dos窗口模拟攻击端

1. 打开dos视窗

win+R打开运行窗口

输入cmd点击确定进入视窗

1. 查看当前拥有的用户

命令：net user

administrator为管理员用户；guest为访客用户

1. 创建隐藏用户

命令：net user 用户名 密码 /add

查看用户信息可以发现没有添加的用户信息

1. 查看隐藏用户

右击计算机点击管理

                           

                     点击本地用户和组>用户可以看到刚刚创建的用户

             

1. 隐藏用户

w+r打开运行输入regedit注册表

找到SAM目录右键权限设置为adminitistrator

重新打开注册表或重启

如图中目录可以找到对应文件

然后从对应的000001F4文件中将键值对F的值复制出来。

找到隐藏账户username$所对应的文件，并将从Administrator文件中复制出来的F值粘贴进 username $文件中。

最后将username $ 和000003EA从注册表中右键导出，并删除username$用户，然后将刚刚导出的两个文件重新导入进注册表中即可实现username用户的隐藏。

删除username用户

点击刚刚导出保存的 username和3EA，点击之后会自动导入注册表，下图是导入成功的（我这里因为复制错误重新操作了一次，所以表名有更改）

此时 username 隐藏账户在 “控制面板（控制面板-》用户账户-》管理账户”、"管理工具-》计算机管理-》本地用户和组-》用户"均未发现，成功隐藏

1. 使用隐藏用户登录

注：将注册表中的 username$ 账户以及其对应的 000003EB 删除即可删除该后门账户