重返命令行

韩冰

这几天一直在学习批处理，看了好多很好的文章，今天也把自己认为新学到的东西写出来和大家分享，嘎嘎 :> （ 别笑我写的不好） 8 ^$ e h# r& ^; q

一.echo命令在深入 恐怕echo命令是大家最熟悉的命令之一了，常用格式： echo on echo off echo 欲输出信息

下面写几个很多人不是特别熟悉的使用方法 <1>首先进cmd: 2 M& i) H/ B6 }& y+ w**************************************************************** Microsoft Windows 2000 [Version 5.00.2195] 8 H) d2 e6 D1 U1 I6 t* z( D(C) 版权所有 1985-2000 Microsoft Corp.

k6 [% Y O- e1 a7 J

C:\>echo off回车 //之后c:\> 就会消失，直到你重新输入echo on

) a- E1 y6 l* j5 h

echo on

C:\> 4 Q: t1 B4 H4 {1 {- A) v****************************************************************

<2>如何用echo向一个*.txt文件中写如一个回车呢？ 用echo 回车>a.txt 吗，哈，当然不是 ，这里就要用的命令： echo.>a.txt,echo.是关键，相当输出空行，即一个回车

[e.g] echo.|time //把回车传递给time命令处理，在批处理中常用此法来显示时间并把信息写入一个指定的文件

4 P- v$ m% i4 ], H: G! K

echo.|del *.* //呵呵，搞破坏是很有用啊

* x2 v: N R; b0 M" ~# Q

etc.

<3>利用echo命令让喇叭唧唧的叫，哈哈 //可以用来吓唬人呦 1 o4 o$ r J7 v在cmd下输入: ( C! c% \, y% {. b3 ?6 M, J" B fecho空格，然后在按住ctrl键，之后连续点GGGGGGGGGGGGG,这样就会写出如下命令： $ [4 Q4 U9 C, }' S7 Eecho ^G^G^G^G^G^G^G^G^G^G^G^G^G //注意：g越多，响的时间越长

二.批处理与应急响应 首先引用2003年10月《黑客x档案》上的一些东西（那会儿一直忙着学习，没时间看，现在才......555555555):

3 d, I( B4 X8 Z2 Q6 r3 d9 ^! O1 t2 w

创建响应工具包： 5 u4 q! A9 j: q8 Ucmd.exe----------------------------------nt/2000命令解释器 7 O W+ a. W4 w Y! B- f& ^loggeden---------------------------------显示远程和本地连接的用户 rasusers---------------------------------显示出哪些用户具有权限访问nt工具命令箱 2 n1 y9 n6 A: U. n& M wnetstat----------------------------------列出监听端口 : Y& v4 ?% q) x. A* tfport------------------------------------端口进程关联工具 D. T4 v# X& E2 epslist-----------------------------------列出进程 listdll----------------------------------列出运行进程以来的动态连接库 nbtstat----------------------------------列出最近十分钟NetBios的连接 ; G! Q( g; i7 h5 xarp--------------------------------------显示最后一分钟连接的系统的MAC地址 md5sum-----------------------------------md5校检和工具 . ]8 y, b- l- U& Bcca.exe----------------------------------检验克隆管理员帐号的工具 ! A! Q3 [, h6 x( [# @- d( }doskey-----------------------------------显示cmd命令历史的工具 ....... ....... " A. ]! ^( p4 N' O; K; K....... : a, @: M! ~* b" m$ D8 J把你认为的对取证有用的东西都放进去

: @; w* @- R9 U

原文的作者说的取证的方法是一次一次的输入命令并把information转移到安全的存储设备中去，这样一个麻烦的工作，我们何不利用批处理文件简化它呢，我的方法如下：

A5 b }: }! }

比如受害的机器名是qq，安全的机器是127.0.0.1 ) N' g1 R1 W$ b# x4 H9 H. V（这里，qq&127.0.0.1都是我，也就是说我是在一台机器上模拟我想说名的过程）

qq_cmdline: xiangying.bat|nc -vv 127.0.0.1 1234

6 N+ g3 L( j" K( M" T: [

127.0.0.1_cmdline: nc -l -p 1234>xiangying.txt

2 Q5 j1 [- F% L, w

--------------------xiangying.bat------------------------- @echo off + l& z5 o4 l1 w8 W+ J) P: Mecho ****************************** echo ******* start date ********* , C% e3 Q, T. q7 H$ J' @5 t/ kecho ****************************** echo.|date 4 u4 H1 u+ u; i9 F. mecho ****************************** echo ****** start time ********** 3 o! p( o+ X8 n% R0 D# Wecho ****************************** + n U) l K& J( q6 p+ J @echo.|time echo ****************************** . n, E3 i% g/ l# [echo ****** netstat -an ********** echo ****************************** 7 G* B$ L+ p/ D7 I. z* ]9 S+ }netstat -an V+ ?+ n$ X: J3 \2 mecho ***************************** echo ****** arp -a *************** echo ***************************** , _. T; c# g5 F/ Iarp -a / L5 u$ U3 t4 _echo ***************************** - h, b" s4 T4 M2 ^! Jecho ******fport ***************** % c8 C. X- i$ k2 iecho ***************************** fport echo ***************************** echo ****** pslist ************** echo ***************************** , M" u' w, E; \4 f) ]% tpslist echo ***************************** echo ****** nbtstat -c************ echo ***************************** + q r) v' o% unbtstat -c echo ***************************** echo ****** ipconfig ************ . w* C2 _6 R% s) ~! H- M+ ?! r1 ?' fecho ***************************** 5 [& x3 p6 }" i; z. ^) _- d) @6 jipconfig /all echo ***************************** echo ******* end time *********** echo ***************************** 2 q! i! q4 p3 ]/ J( w& Iecho.|time 2 L# {; u9 ]4 [& fecho ****************************** echo ******* end date ********* echo ****************************** f/ \' {5 s1 d7 L0 w- _+ T" fecho.|date / j! h+ ?1 z8 C9 X/ i----------------------------end,save as xiangying.bat---------------------------

/ @# _' L2 [3 A2 A$ j i

注意：在本例中，由于我的电脑上没有那么多工具，所以我xiangying.bat的内容是不全面的，但是大家就可以按照上面给出的格式自己写了

9 m- V1 @ I! ?: f6 J

下面我给出我实验是得到的xiangying.txt是什么样子

****************************** / C2 _$ C6 D+ S7 c# J******* start date ********* ( W) X+ n _4 z****************************** 当前日期: 2002-07-08 星期一 , _; c: n( R: W7 y输入新日期: (年月日) ****************************** ****** start time ********** ****************************** ( G2 K$ |) B' i" G+ P) ?当前时间: 9:27:07.80 输入新时间: ****************************** ****** netstat -an ********** $ \4 r, v0 c- m/ ~/ Q" G& W! _/ m******************************

Active Connections

Proto Local Address Foreign Address State TCP 0.0.0.0:135 0.0.0.0:0 LISTENING . Q" \1 v! H2 PTCP 0.0.0.0:445 0.0.0.0:0 LISTENING TCP 0.0.0.0:1025 0.0.0.0:0 LISTENING % N& R. j+ I5 j' Z% V& V, v2 `( ITCP 0.0.0.0:1027 0.0.0.0:0 LISTENING 6 o$ s/ ?' N4 }: T$ LTCP 0.0.0.0:1028 0.0.0.0:0 LISTENING % e& P" C# E2 t. n& pTCP 0.0.0.0:1234 0.0.0.0:0 LISTENING - Z$ {! d$ G' |9 f8 \+ iTCP 127.0.0.1:1028 127.0.0.1:1234 ESTABLISHED TCP 127.0.0.1:1234 127.0.0.1:1028 ESTABLISHED UDP 0.0.0.0:135 *:* 1 o0 [9 N( r2 d, N0 yUDP 0.0.0.0:445 *:* 2 i4 T! [" h$ ^; C( x- ~UDP 0.0.0.0:1026 *:* ***************************** ****** arp -a *************** ! K2 N6 ?5 _1 Z- @* I***************************** - l' \8 K" A, a, Q1 ONo ARP Entries Found ***************************** . ~1 a" v9 P, G$ Q******fport ***************** ***************************** # {; o% B+ M7 k: C. U, hFPort v2.0 - TCP/IP Process to Port Mapper Copyright 2000 by Foundstone, Inc. http://www.foundstone.com

* ?8 Q. o" Q2 e, O# Q

Pid Process Port Proto Path 2 `; w% o3 b- x* J: Y( D+ i400 svchost -> 135 TCP C:\WINNT\system32\svchost.exe - p! f0 A& ~ C8 System -> 445 TCP + Z3 o% z, v! ?/ H! i# X9 s548 MSTask -> 1025 TCP C:\WINNT\system32\MSTask.exe 8 System -> 1027 TCP 3 m' h9 @. s6 @: U/ E2 N0 Z' w772 nc -> 1028 TCP d:\nc.exe # E( _( `' H* ^8 s; o7 e804 nc -> 1234 TCP D:\nc.exe

400 svchost -> 135 UDP C:\WINNT\system32\svchost.exe 2 ]8 l# X' D7 N% r9 j% m# P4 s8 System -> 445 UDP # p0 m; ]( ^- W- b8 T216 services -> 1026 UDP C:\WINNT\system32\services.exe

: i @7 ~2 B y7 D

***************************** ****** pslist ************** *****************************

$ d6 i; s+ r, a: P& e

PsList 1.22 - Process Information Lister 7 ]" v# L! G- I% G# dCopyright (C) 1999-2002 Mark Russinovich 9 D3 l. G2 \5 H, V+ F; u4 a4 f2 OSysinternals - www.sysinternals.com

Process information for QQ:

Name Pid Pri Thd Hnd Mem User Time Kernel Time Elapsed Time Idle 0 0 1 0 16 0:00:00.000 1:00:26.364 1:01:14.203 . r5 _2 j% V* b- @System 8 8 34 60 276 0:00:00.000 0:00:02.603 1:01:14.203 smss 144 11 6 33 352 0:00:00.010 0:00:00.190 1:01:14.203 csrss 168 13 10 290 1216 0:00:00.100 0:00:06.218 1:01:11.649 winlogon 164 13 16 363 2692 0:00:00.220 0:00:00.610 1:01:10.307 services 216 9 30 443 5016 0:00:00.320 0:00:00.731 1:01:09.216 lsass 228 9 15 251 1176 0:00:00.240 0:00:00.080 1:01:09.196 4 M9 b- `/ [) }3 bsvchost 400 8 9 242 3236 0:00:00.050 0:00:00.070 1:01:06.952 5 D/ {# R8 }8 {- h6 S* s8 m& Ospoolsv 432 8 11 151 3672 0:00:00.030 0:00:00.020 1:01:06.742 % {, U1 V& f7 X6 k6 [1 ysvchost 464 8 26 422 7416 0:00:00.120 0:00:00.180 1:01:06.722 KAVSvc 480 8 9 57 6732 0:00:01.582 0:00:00.130 1:01:06.622 ; g0 u7 d; M& a/ ~regsvc 532 8 2 30 964 0:00:00.010 0:00:00.010 1:01:06.201 MSTask 548 8 6 117 3124 0:00:00.010 0:00:00.030 1:01:06.051 WinMgmt 600 8 3 105 160 0:00:05.998 0:00:00.260 1:01:05.020 svchost 672 8 5 144 4532 0:00:00.010 0:00:00.050 1:01:04.319 , l C3 j. \# MExplorer 836 8 18 385 7152 0:00:02.633 0:00:06.889 1:00:45.662 delttoul 1000 8 1 21 1516 0:00:00.010 0:00:00.000 1:00:43.158 internat 1016 8 1 31 1412 0:00:00.040 0:00:00.200 1:00:43.038 wordpad 320 8 4 85 944 0:00:08.462 0:00:07.530 1:00:22.729 conime 840 8 1 19 1016 0:00:00.020 0:00:00.030 0:53:19.230 " P, I; D( N2 Y6 gcmd 924 8 1 24 56 0:00:00.010 0:00:00.030 0:03:46.075 nc 804 8 2 74 468 0:00:00.010 0:00:00.010 0:02:48.552 cmd 392 8 1 24 516 0:00:00.010 0:00:00.010 0:01:19.774 CMD 916 8 1 24 1076 0:00:00.010 0:00:00.020 0:00:00.410 1 j3 A4 C3 i# x6 D ~3 p$ inc 772 8 2 75 2648 0:00:00.020 0:00:00.020 0:00:00.400 pslist 820 13 2 79 1452 0:00:00.020 0:00:00.020 0:00:00.120 ***************************** " W% L: Y) o5 R6 L) y9 r% z****** nbtstat -c************ / D3 [4 o. I: i; u***************************** 1 z% [6 q, [5 y9 Q' R. T* G1 N, j***************************** 2 _2 ?$ ]2 M9 b! w****** ipconfig ************ ; X" Q8 r0 L) p* s+ o1 P/ g***************************** Windows 2000 IP Configuration Host Name . . . . . . . . . . . . : qq ( A `& h+ U8 TPrimary DNS Suffix . . . . . . . : Node Type . . . . . . . . . . . . : Broadcast IP Routing Enabled. . . . . . . . : No WINS Proxy Enabled. . . . . . . . : No % D# k' e1 c# d***************************** ******* end time *********** & j) P) B) Q1 T0 H* S/ x$ ^( d7 o***************************** , _, o( o" b+ c4 y当前时间: 9:27:08.28 8 L0 u6 o4 U4 F) \输入新时间: # W% D6 E. s, `' y# x) M* B****************************** 8 C+ K, S+ Q, n******* end date ********* 9 O' @* I0 o3 V/ D****************************** ' F+ j: X( k9 s2 P, R [当前日期: 2002-07-08 星期一 输入新日期: (年月日)

怎么样，我们现在可以用得到的数据进行分析了吧，哈哈

' u+ j, X- ^6 F% K& m8 p* t) U' x

三.几个要注意的小问题： 4 z) y1 P9 t8 ~1.在批处理文件中%win32% <=> c:\windows\system 2 f( A; \, v0 t* l: ]2.在批处理文件中使用环境变量的时候，必须用%将变量包起来 A. h, P9 A/ ~9 w3.for %f in (*.*) do command cmdline , B# ^, s: F. \. ~4 W! I4 `在批处理文件中%f要写成%%f

8 w! L) J# g9 k! _; B6 j) A7 k * s& G+ p3 c6 v& E: u$ o