02 windows 基础

系统目录, 服务, 端口, 注册表

系统目录

ProgramData : 存放程序临时文件

Windows/System32/config, SAM 文件存放系统用户名与密码, 系统启动就会占用这些文件, 你可以用 PE 系统来改密码, 可以用彩虹表破解

服务

运行 > service.msc 可以查看计算机运行了哪些服务

服务决定了计算机的一些功能是否被启用, 不同的服务对应的功能不同, 通过计算机提供的服务可以有效实现资源共享

常见服务有 : web 服务, dns 服务, 邮件服务, telnet 服务, ssh 服务, ftp 服务, smb 服务

telnet 服务是 windows 远程登录用的

win7 没有自带这个组件, 控制面板 > windows 功能 > telnet 客户端

CMD : telnet 命令

这就是远程命令行终端

服务端口

端口的作用

我们知道, 一台用于 IP 地址的主机可以提供许多服务, 这些服务完全可以通过 1 个 IP 地址来实现. 那么, 主机是怎样区分不同的网络服务呢 ? IP 地址与网络服务实际上是 "一对多" 的关系, 也就是通过 "IP 地址+ 端口号" 来区分不同的服务的.

端口就是用来区分服务用的

端口范围 1 ~ 65535, 1024 之前称为预保留端口

端口分类

知名端口即众所周知的端口号, 范围从 0 ~ 1023, 这些端口号一般固定分配给一些服务. 比如 21 端口分配给 FTP 服务, 25 端口分配给 SMTP 服务, 80 端口一般分配给 HTTP 服务, 135 端口分配给 RPC 服务等.

动态端口的范围从 1024 到 65535, 这些端口号一般不固定分配给某个服务, 也就是说许多服务都可以使用这些端口. 只要运行的程序向系统提出访问网络的申请, 那么系统就可以从这些端口号中分配一个供该程序使用. 比如 1024 端口就是分配给第一个向系统发出申请的程序. 在关闭程序进程后, 就会释放所占用的端口号.

不过动态端口也常常被病毒木马程序所利用, 如冰河默认连接端口是 7626, WAY 2.4 是 8011等.

RDP 远程桌面 3389

注册表

注册表 (Registry, 繁体中文版 Windows 称之为登录档) 是 Windows 中的一个重要的数据库, 用于存储系统和应用程序的设置信息.

打开注册表

运行 > regedit

注册表的作用

注册表是 windows 的一个核心数据库, 其中存放着各种参数, 直接控制着 windows 的启动, 硬件驱动程序的装载以及一些 windows 应用程序的运行. 这些作用包括了软, 硬件的相关配置和状态信息, 比如注册表中保存有应用程序和资源管理器外壳的初始条件, 首选项和卸载数据等, 联网计算机的整个系统的设置和各种许可, 文件扩展名与应用程序的关联, 硬件部件的描述, 状态和属性, 性能记录和其他底层的系统状态信息, 以及其他数据等.

msconfig 看启动项查是否中木马

CMD netstat -an netstat -o 查看网络活动

注册表结构

注册表结构

入侵中常用注册表

HKEY_LOCAL_MACHINE\software\hzhost\config\settings\mysqlpass

HKEY_LOCAL_MACHINE\software\hzhost\config\settings\mssqlpss

HKEY_LOCAL_MACHINE\software\hzhost\config\Settings\mastersvrpass

HKEY_LOCAL_MACHINE\SYSTEM\LIWEIWENSOFT\INSTALLFREEADMIN\11

HKEY_LOCAL_MACHINE\SYSTEM\LIWEIWENSOFT\INSTALLFreeHost\11

DOS 命令

color 改变 cmd 颜色; color /? 查帮助

ping -t -l 65550 ip

ipconfig /all 查看详细信息 ipconfig /release 释放 ip ipconfig /renew 重新获取 ip

systeminfo 获取系统详细信息

arp -a 获取当前局域网中 arp 泛洪缓存表中的主机

net view 查看局域网中主机计算机名称

shutdown -s -t 180 -c "You shutdown" 关机 shutdown -a 取消

dir 查看目录

cd 切换目录

start onetale.xyz 打开网页

start 123.txt 打开 123.txt

copy con c:\123.txt 创建 123.txt 文件

msg 弹窗; win10 是 net send

del 删除文件

type 在命令行显示文本

ren 重命名

move 移动

tree 查看树形结构

net use 磁盘映射, 防火墙会拦截

net start 查看开启了哪些服务

net start 服务名 开启服务, 禁用的服务不能打开

net user 用户名 密码 /add 建立用户

net user guest /active:yes 激活 guest 用户

net user 查看有哪些用户

net user 账户名 查看账户的属性

net localgroup administrators 用户名 /add 把用户添加到管理员组, 如果这个组名字有空格, 就用引号""把它括起来.

netstat -a 查看开启了哪些端口, 常用 netstat -an

netstat -n 查看端口的网络连接情况, 常用 netstat -an

netstat -v 查看正在进行的工作

netsh 网络工具, 创建网络

at id号 开启已注册的某个计划任务

at /delete 停止所有计划任务, 用参数 /yes 则不需要确认就直接停止

at 查看所有的计划任务

attrib 文件名 (目录名) 查看某文件 (目录) 的属性

attrib 文件名 -A -R -S -H 或 +A +R +S +H 去掉 (添加) 某文件的存档, 只读, 系统, 隐藏属性, 用 + 则是添加属性

tasklist 查看系统进程

taskkill /im 进程名 结束进程

批处理

批处理文件是 dos 命令的组合文件, 写在批处理文件的命令会被逐一执行, 后缀名为 .bat