重返命令行

韩冰

这几天一直在学习批处理，看了好多很好的文章，今天也把自己认为新学到的东西写出来和大家分享，嘎嘎 :> （ 别笑我写的不好） 1 p+ V G* d4 T, m5 J& c o

1 x' \1 L- ]& R) I; G9 I一.echo命令在深入 恐怕echo命令是大家最熟悉的命令之一了，常用格式： 4 G+ ~7 @+ Y$ P* C7 yecho on echo off / O# X! ]7 z5 l( `) {" uecho 欲输出信息

下面写几个很多人不是特别熟悉的使用方法 <1>首先进cmd: **************************************************************** Microsoft Windows 2000 [Version 5.00.2195] (C) 版权所有 1985-2000 Microsoft Corp.

/ w# q* m9 b. b, V& u A$ _

C:\>echo off回车 //之后c:\> 就会消失，直到你重新输入echo on

echo on

# i1 R& }2 k& p5 _

C:\> ****************************************************************

<2>如何用echo向一个*.txt文件中写如一个回车呢？ 用echo 回车>a.txt 吗，哈，当然不是 ，这里就要用的命令： echo.>a.txt,echo.是关键，相当输出空行，即一个回车

& p! S: ], `% @; n

[e.g] echo.|time //把回车传递给time命令处理，在批处理中常用此法来显示时间并把信息写入一个指定的文件

echo.|del *.* //呵呵，搞破坏是很有用啊

etc.

' l' D8 O+ \! T) }! R) R

<3>利用echo命令让喇叭唧唧的叫，哈哈 //可以用来吓唬人呦 2 n4 L3 y% j J9 Y! o在cmd下输入: echo空格，然后在按住ctrl键，之后连续点GGGGGGGGGGGGG,这样就会写出如下命令： : g; J1 C3 u F) A4 _. B3 Hecho ^G^G^G^G^G^G^G^G^G^G^G^G^G //注意：g越多，响的时间越长

二.批处理与应急响应 6 b% t+ b) W$ _首先引用2003年10月《黑客x档案》上的一些东西（那会儿一直忙着学习，没时间看，现在才......555555555):

创建响应工具包： cmd.exe----------------------------------nt/2000命令解释器 loggeden---------------------------------显示远程和本地连接的用户 rasusers---------------------------------显示出哪些用户具有权限访问nt工具命令箱 * x) E, |0 |% S' u W9 M5 lnetstat----------------------------------列出监听端口 h: w- x! `) ]8 A) D: Zfport------------------------------------端口进程关联工具 ' a5 y5 E6 p* z* Opslist-----------------------------------列出进程 listdll----------------------------------列出运行进程以来的动态连接库 9 P' Y" M1 U# c1 |7 Pnbtstat----------------------------------列出最近十分钟NetBios的连接 3 Y! i( C' c# T; B( R5 karp--------------------------------------显示最后一分钟连接的系统的MAC地址 md5sum-----------------------------------md5校检和工具 : Y6 X% _( t# F' @cca.exe----------------------------------检验克隆管理员帐号的工具 ) G, w6 Y$ z6 ~( Q2 Ldoskey-----------------------------------显示cmd命令历史的工具 ....... 5 d/ [8 d2 m h3 T6 C/ a3 ^3 u+ \....... K8 P5 ^* Y& C# D/ F: l M....... , f8 I3 ^% W/ }6 z把你认为的对取证有用的东西都放进去

" ?# q B9 h9 w3 S; }

原文的作者说的取证的方法是一次一次的输入命令并把information转移到安全的存储设备中去，这样一个麻烦的工作，我们何不利用批处理文件简化它呢，我的方法如下：

! Y2 j9 b/ y6 m" m' q% R

比如受害的机器名是qq，安全的机器是127.0.0.1 （这里，qq&127.0.0.1都是我，也就是说我是在一台机器上模拟我想说名的过程）

0 w; _- P! U! E2 U+ {4 Y$ M( W

qq_cmdline: xiangying.bat|nc -vv 127.0.0.1 1234

127.0.0.1_cmdline: nc -l -p 1234>xiangying.txt

+ @2 J4 g1 ?% }+ \ p

--------------------xiangying.bat------------------------- @echo off echo ****************************** echo ******* start date ********* * p; o8 T, k+ c6 I9 kecho ****************************** echo.|date echo ****************************** 1 {, g4 a7 F8 u/ J6 F# recho ****** start time ********** echo ****************************** , S1 W+ l3 z# j0 K, E5 W* ]& Uecho.|time echo ****************************** echo ****** netstat -an ********** 7 }. D4 {# X8 q% Becho ****************************** netstat -an 5 k( g% f3 h2 M* Kecho ***************************** ) J& K- K3 t& R/ ?0 @& w2 Jecho ****** arp -a *************** echo ***************************** 6 @) R( e/ _! ?arp -a : `' T# }: f7 l; ~- Kecho ***************************** 5 n+ D# X6 z5 H) C# zecho ******fport ***************** 8 u6 v/ Y2 _$ x; H) }% Iecho ***************************** fport echo ***************************** 4 G1 E' O* m8 ~. T( Techo ****** pslist ************** echo ***************************** pslist echo ***************************** echo ****** nbtstat -c************ ( U W2 ]5 G1 Z8 Zecho ***************************** nbtstat -c 3 p* h! ]' z) e9 _echo ***************************** 5 z6 B ^5 B1 E/ V5 R" Iecho ****** ipconfig ************ echo ***************************** - p: p* o: i9 u) I: U; x4 \# Xipconfig /all 2 C: }- o+ \; O' Q( M2 Secho ***************************** echo ******* end time *********** 5 J F5 u9 |' _5 h# yecho ***************************** ( H+ J3 R$ @3 c9 ^, W$ x7 H5 ^echo.|time echo ****************************** 5 t" K" n9 d: ?2 e2 pecho ******* end date ********* echo ****************************** 0 ~* }. x) e; y5 C! e( Fecho.|date ; ~* d+ c7 r" H3 u) d7 W----------------------------end,save as xiangying.bat---------------------------

注意：在本例中，由于我的电脑上没有那么多工具，所以我xiangying.bat的内容是不全面的，但是大家就可以按照上面给出的格式自己写了

# Q. X8 B$ `* C

下面我给出我实验是得到的xiangying.txt是什么样子

****************************** - Z9 z# y" Q8 Q******* start date ********* ; J: j$ ^8 b0 @2 {****************************** 当前日期: 2002-07-08 星期一 输入新日期: (年月日) . k3 t: o2 W$ G3 @3 _; ?****************************** ****** start time ********** ****************************** 当前时间: 9:27:07.80 输入新时间: ****************************** ****** netstat -an ********** 9 b: f4 t$ z0 v0 l' S$ Z1 X% h( m2 `******************************

; u9 F, U) I; J# s

Active Connections

: w6 O2 _- X( Z h6 O3 `

Proto Local Address Foreign Address State 3 }' R, k. m% z5 H( ^% qTCP 0.0.0.0:135 0.0.0.0:0 LISTENING TCP 0.0.0.0:445 0.0.0.0:0 LISTENING , ?: g }; K9 Z9 F: c( JTCP 0.0.0.0:1025 0.0.0.0:0 LISTENING TCP 0.0.0.0:1027 0.0.0.0:0 LISTENING TCP 0.0.0.0:1028 0.0.0.0:0 LISTENING 6 V; j/ m! P2 B5 z# h& m3 J) N jTCP 0.0.0.0:1234 0.0.0.0:0 LISTENING TCP 127.0.0.1:1028 127.0.0.1:1234 ESTABLISHED TCP 127.0.0.1:1234 127.0.0.1:1028 ESTABLISHED UDP 0.0.0.0:135 *:* UDP 0.0.0.0:445 *:* UDP 0.0.0.0:1026 *:* ***************************** ****** arp -a *************** 5 C; `8 U* M" L$ |, Y8 b3 V***************************** ) P! q4 d- P3 ~6 P5 vNo ARP Entries Found 3 S$ I! [3 c5 f& t0 `2 V) k& @: M***************************** 0 p/ S O6 G( K! c' u7 g******fport ***************** - V. o9 m2 o4 G! G( C" H* h$ J0 F***************************** . |+ v9 W: q; {! g; a9 wFPort v2.0 - TCP/IP Process to Port Mapper 3 m3 ?9 \4 l5 C7 l. u% r; M _Copyright 2000 by Foundstone, Inc. ( Z! s6 M5 Z0 V; H$ ghttp://www.foundstone.com

Pid Process Port Proto Path 0 y+ g+ H1 y% {' l6 `5 o. M400 svchost -> 135 TCP C:\WINNT\system32\svchost.exe 8 System -> 445 TCP 548 MSTask -> 1025 TCP C:\WINNT\system32\MSTask.exe 8 System -> 1027 TCP $ ]) e4 ]) x6 F772 nc -> 1028 TCP d:\nc.exe ) W' ?4 |5 C0 E0 c. ~5 ?804 nc -> 1234 TCP D:\nc.exe

0 s% j- s. |$ M6 h& t* u" p

400 svchost -> 135 UDP C:\WINNT\system32\svchost.exe 8 System -> 445 UDP * C) t. q; h: B6 R216 services -> 1026 UDP C:\WINNT\system32\services.exe

: g0 }+ k& X/ |# p6 S7 v" Q

***************************** ****** pslist ************** ' n! J6 f) R3 @9 I" @+ H$ W*****************************

PsList 1.22 - Process Information Lister Copyright (C) 1999-2002 Mark Russinovich 3 g1 \1 t/ Q8 _6 C) ~3 \8 O! SSysinternals - www.sysinternals.com

Process information for QQ:

Name Pid Pri Thd Hnd Mem User Time Kernel Time Elapsed Time Idle 0 0 1 0 16 0:00:00.000 1:00:26.364 1:01:14.203 9 s0 x, V% O U7 s) J) |System 8 8 34 60 276 0:00:00.000 0:00:02.603 1:01:14.203 smss 144 11 6 33 352 0:00:00.010 0:00:00.190 1:01:14.203 csrss 168 13 10 290 1216 0:00:00.100 0:00:06.218 1:01:11.649 9 f: a1 u* N/ [5 f$ wwinlogon 164 13 16 363 2692 0:00:00.220 0:00:00.610 1:01:10.307 ! C( g# T+ i6 ~services 216 9 30 443 5016 0:00:00.320 0:00:00.731 1:01:09.216 2 Z) P; v7 t1 P% a; Wlsass 228 9 15 251 1176 0:00:00.240 0:00:00.080 1:01:09.196 ' w9 u' k4 R- _" b$ esvchost 400 8 9 242 3236 0:00:00.050 0:00:00.070 1:01:06.952 1 l9 z9 |2 f0 E0 n3 _( P8 |spoolsv 432 8 11 151 3672 0:00:00.030 0:00:00.020 1:01:06.742 ! J3 ?8 c5 D1 ?: X2 csvchost 464 8 26 422 7416 0:00:00.120 0:00:00.180 1:01:06.722 ' i P* w; c* VKAVSvc 480 8 9 57 6732 0:00:01.582 0:00:00.130 1:01:06.622 U) P4 c8 A; S5 Iregsvc 532 8 2 30 964 0:00:00.010 0:00:00.010 1:01:06.201 MSTask 548 8 6 117 3124 0:00:00.010 0:00:00.030 1:01:06.051 4 Q" p* f, Q+ L6 C/ N: Z! M! xWinMgmt 600 8 3 105 160 0:00:05.998 0:00:00.260 1:01:05.020 , c9 h) u6 O! I( s- X" E! ]1 Tsvchost 672 8 5 144 4532 0:00:00.010 0:00:00.050 1:01:04.319 Explorer 836 8 18 385 7152 0:00:02.633 0:00:06.889 1:00:45.662 delttoul 1000 8 1 21 1516 0:00:00.010 0:00:00.000 1:00:43.158 ' e8 t( p5 `6 _" Linternat 1016 8 1 31 1412 0:00:00.040 0:00:00.200 1:00:43.038 wordpad 320 8 4 85 944 0:00:08.462 0:00:07.530 1:00:22.729 conime 840 8 1 19 1016 0:00:00.020 0:00:00.030 0:53:19.230 ; _* { u7 a: v7 a# r( f9 ?+ Rcmd 924 8 1 24 56 0:00:00.010 0:00:00.030 0:03:46.075 nc 804 8 2 74 468 0:00:00.010 0:00:00.010 0:02:48.552 cmd 392 8 1 24 516 0:00:00.010 0:00:00.010 0:01:19.774 M' r3 F2 ~) ^: P- ^- nCMD 916 8 1 24 1076 0:00:00.010 0:00:00.020 0:00:00.410 - k( z6 o2 ]7 Knc 772 8 2 75 2648 0:00:00.020 0:00:00.020 0:00:00.400 8 H5 _7 `5 J0 E2 E Xpslist 820 13 2 79 1452 0:00:00.020 0:00:00.020 0:00:00.120 ***************************** : x ^0 ^) e6 H8 r6 }& ?****** nbtstat -c************ - h9 c) H" v; C& [* q! s2 S***************************** 4 H" Z. w& Q! C) |***************************** ****** ipconfig ************ ***************************** % i2 b( k) [6 X( q* J: K: n% v JWindows 2000 IP Configuration Host Name . . . . . . . . . . . . : qq Primary DNS Suffix . . . . . . . : Node Type . . . . . . . . . . . . : Broadcast IP Routing Enabled. . . . . . . . : No WINS Proxy Enabled. . . . . . . . : No ***************************** 5 {: M" u: D& T# y% m3 [8 [8 R$ E******* end time *********** ***************************** 1 ~: M L8 w4 H' i6 i当前时间: 9:27:08.28 , U, T+ g) @" `输入新时间: ****************************** $ a! v$ m5 c% i$ J/ k6 G2 }! |******* end date ********* ****************************** 当前日期: 2002-07-08 星期一 " \' M/ k+ q1 {. N! C" Y: K3 ~4 c输入新日期: (年月日)

- C6 N/ A" K$ w p( Q8 Z# {怎么样，我们现在可以用得到的数据进行分析了吧，哈哈

三.几个要注意的小问题： 1.在批处理文件中%win32% <=> c:\windows\system 2.在批处理文件中使用环境变量的时候，必须用%将变量包起来 0 ?- A' y J- A' I. D" R3.for %f in (*.*) do command cmdline , ?3 M& s2 A% W. {' S在批处理文件中%f要写成%%f

) |- V: |+ @7 ]

5 I8 S8 }* `' ?, h& Y4 n