重返命令行

韩冰

这几天一直在学习批处理，看了好多很好的文章，今天也把自己认为新学到的东西写出来和大家分享，嘎嘎 :> （ 别笑我写的不好） 1 |1 c& e6 W. G& v6 K; ^

一.echo命令在深入 恐怕echo命令是大家最熟悉的命令之一了，常用格式： ! J& z- C. ^0 y* \) eecho on echo off 2 K( {( O4 H [! q9 A9 _% \3 f" r, becho 欲输出信息

下面写几个很多人不是特别熟悉的使用方法 <1>首先进cmd: 0 S" F- a* G4 @2 j! N6 N**************************************************************** Microsoft Windows 2000 [Version 5.00.2195] (C) 版权所有 1985-2000 Microsoft Corp.

4 }: r2 W; Y' j; l: R) R6 w

C:\>echo off回车 //之后c:\> 就会消失，直到你重新输入echo on

echo on

: q+ I. ]) I1 d6 P0 P$ X

C:\> ****************************************************************

<2>如何用echo向一个*.txt文件中写如一个回车呢？ 9 r2 q3 ~4 g( t7 S用echo 回车>a.txt 吗，哈，当然不是 ，这里就要用的命令： echo.>a.txt,echo.是关键，相当输出空行，即一个回车

[e.g] echo.|time //把回车传递给time命令处理，在批处理中常用此法来显示时间并把信息写入一个指定的文件

echo.|del *.* //呵呵，搞破坏是很有用啊

etc.

' ?- l/ e: _ s$ x- {2 m, Z8 L

<3>利用echo命令让喇叭唧唧的叫，哈哈 //可以用来吓唬人呦 在cmd下输入: & a5 Z) m9 d/ ~# V* x- w" y% H( C* Gecho空格，然后在按住ctrl键，之后连续点GGGGGGGGGGGGG,这样就会写出如下命令： * P. R6 R2 M# ]$ C7 cecho ^G^G^G^G^G^G^G^G^G^G^G^G^G //注意：g越多，响的时间越长

0 `/ O! |; d+ r. b0 L/ {

二.批处理与应急响应 2 L! z# B) ~8 Q- M# \首先引用2003年10月《黑客x档案》上的一些东西（那会儿一直忙着学习，没时间看，现在才......555555555):

$ V3 i* A# `: L# @

创建响应工具包： ! ]' `- D& r" L, a; Xcmd.exe----------------------------------nt/2000命令解释器 & U% _' ?8 |/ nloggeden---------------------------------显示远程和本地连接的用户 B- ~1 K, ~+ w9 Krasusers---------------------------------显示出哪些用户具有权限访问nt工具命令箱 ! b$ m7 H9 L3 M7 }5 q6 }! snetstat----------------------------------列出监听端口 3 G6 T+ Q. j7 U: P& n! Q% G- wfport------------------------------------端口进程关联工具 pslist-----------------------------------列出进程 listdll----------------------------------列出运行进程以来的动态连接库 nbtstat----------------------------------列出最近十分钟NetBios的连接 arp--------------------------------------显示最后一分钟连接的系统的MAC地址 md5sum-----------------------------------md5校检和工具 \/ }9 a+ r) E( [cca.exe----------------------------------检验克隆管理员帐号的工具 doskey-----------------------------------显示cmd命令历史的工具 4 g5 J* C! w* k....... 8 s4 m2 A* y a( j$ V....... ....... 把你认为的对取证有用的东西都放进去

原文的作者说的取证的方法是一次一次的输入命令并把information转移到安全的存储设备中去，这样一个麻烦的工作，我们何不利用批处理文件简化它呢，我的方法如下：

比如受害的机器名是qq，安全的机器是127.0.0.1 （这里，qq&127.0.0.1都是我，也就是说我是在一台机器上模拟我想说名的过程）

0 I5 J$ o8 ^) s

qq_cmdline: xiangying.bat|nc -vv 127.0.0.1 1234

127.0.0.1_cmdline: . L _8 m, Z3 ~$ b( |nc -l -p 1234>xiangying.txt

/ [8 k$ {5 ~8 X: t7 y+ t3 |

--------------------xiangying.bat------------------------- @echo off 6 X; Y3 z m$ c Becho ****************************** echo ******* start date ********* echo ****************************** echo.|date , x' _6 V/ B% i' @1 \* x" Decho ****************************** : w6 R2 x9 O0 w9 n% r; lecho ****** start time ********** echo ****************************** 9 y' [4 Y( |4 j/ f' P& _echo.|time echo ****************************** echo ****** netstat -an ********** echo ****************************** netstat -an * p' h6 Z8 h: C) kecho ***************************** $ l) ~. j& T& ]- Mecho ****** arp -a *************** echo ***************************** arp -a " u9 P$ M7 t0 I5 ~# s6 f$ qecho ***************************** echo ******fport ***************** 5 v l6 W1 f) A, v4 necho ***************************** & b' l% c* L" W, \: Bfport 2 {8 y' i+ H0 g. t( w3 M; {; ~$ p9 }echo ***************************** echo ****** pslist ************** echo ***************************** pslist $ j3 v F, b2 }6 H- p& Q3 l' g; h, aecho ***************************** echo ****** nbtstat -c************ echo ***************************** nbtstat -c 5 k9 e' ~6 L8 Recho ***************************** echo ****** ipconfig ************ echo ***************************** 9 o. i* H9 h- zipconfig /all echo ***************************** echo ******* end time *********** ?# O6 v6 |/ R% ^5 a) @echo ***************************** ; a+ H1 l9 L! mecho.|time echo ****************************** 6 w9 p5 q* A( I2 L3 l: J4 ]echo ******* end date ********* + R: v0 B% N( D$ {echo ****************************** echo.|date 6 a* F0 t5 U$ Q* Y----------------------------end,save as xiangying.bat---------------------------

注意：在本例中，由于我的电脑上没有那么多工具，所以我xiangying.bat的内容是不全面的，但是大家就可以按照上面给出的格式自己写了

下面我给出我实验是得到的xiangying.txt是什么样子

0 w3 p) b3 q6 b( {

****************************** 4 D H1 T/ n' E4 i3 t, g6 T: u+ u5 w******* start date ********* ' }5 m) D) _: n- n5 [****************************** 当前日期: 2002-07-08 星期一 输入新日期: (年月日) 6 G: \8 L$ F, c0 Y! Q% x****************************** 9 N' c f- F5 X: E, v: v****** start time ********** ****************************** 1 c1 ? z8 \9 F s: z当前时间: 9:27:07.80 输入新时间: $ p/ t! q4 N0 K8 [****************************** ****** netstat -an ********** 3 A' F! U$ O' P1 z+ K/ W* L******************************

7 _" }2 g! G9 V0 |

Active Connections

Proto Local Address Foreign Address State TCP 0.0.0.0:135 0.0.0.0:0 LISTENING . {. J% A( v5 L7 q! l, l0 MTCP 0.0.0.0:445 0.0.0.0:0 LISTENING TCP 0.0.0.0:1025 0.0.0.0:0 LISTENING $ I( Z% c- m8 ^. JTCP 0.0.0.0:1027 0.0.0.0:0 LISTENING TCP 0.0.0.0:1028 0.0.0.0:0 LISTENING 1 p T! }% ?* q) I8 f, {TCP 0.0.0.0:1234 0.0.0.0:0 LISTENING TCP 127.0.0.1:1028 127.0.0.1:1234 ESTABLISHED : E* j0 k# t/ {& c1 mTCP 127.0.0.1:1234 127.0.0.1:1028 ESTABLISHED UDP 0.0.0.0:135 *:* + A* c' ^/ t) |8 p& _UDP 0.0.0.0:445 *:* UDP 0.0.0.0:1026 *:* ) \4 o1 C3 I9 X# B2 Q! c, u2 c( j***************************** ) k& m% d, x* j' I* P3 g) m****** arp -a *************** ***************************** , g, ^0 l" h2 C) m$ U( X8 ENo ARP Entries Found : ]0 Y8 D4 J4 x3 w* G***************************** ' A+ b/ q1 G# M" o0 c******fport ***************** % Z& q: @0 A6 t* w***************************** FPort v2.0 - TCP/IP Process to Port Mapper Copyright 2000 by Foundstone, Inc. 1 A9 R. ^! _. f5 z, Q# \% Zhttp://www.foundstone.com

Pid Process Port Proto Path 400 svchost -> 135 TCP C:\WINNT\system32\svchost.exe % P6 D( b8 r( |# F8 System -> 445 TCP 548 MSTask -> 1025 TCP C:\WINNT\system32\MSTask.exe 8 System -> 1027 TCP 772 nc -> 1028 TCP d:\nc.exe 804 nc -> 1234 TCP D:\nc.exe

: S' T0 D- D7 q. q/ Y. E6 s/ C5 N

400 svchost -> 135 UDP C:\WINNT\system32\svchost.exe 5 p( O7 s. T- y, P+ O/ v8 System -> 445 UDP # o6 o3 n B. n @) _216 services -> 1026 UDP C:\WINNT\system32\services.exe

. `' {/ `& j/ f" d' K# P

***************************** : Y+ f3 ^4 h, Z; t# A****** pslist ************** * H, J( X6 Y8 J; n6 U+ p*****************************

PsList 1.22 - Process Information Lister : S$ L% D z; PCopyright (C) 1999-2002 Mark Russinovich Sysinternals - www.sysinternals.com

Process information for QQ:

Name Pid Pri Thd Hnd Mem User Time Kernel Time Elapsed Time Idle 0 0 1 0 16 0:00:00.000 1:00:26.364 1:01:14.203 System 8 8 34 60 276 0:00:00.000 0:00:02.603 1:01:14.203 $ [6 T; A6 P- B. i5 Ismss 144 11 6 33 352 0:00:00.010 0:00:00.190 1:01:14.203 csrss 168 13 10 290 1216 0:00:00.100 0:00:06.218 1:01:11.649 winlogon 164 13 16 363 2692 0:00:00.220 0:00:00.610 1:01:10.307 services 216 9 30 443 5016 0:00:00.320 0:00:00.731 1:01:09.216 lsass 228 9 15 251 1176 0:00:00.240 0:00:00.080 1:01:09.196 / G+ X5 H5 D! l# S; Csvchost 400 8 9 242 3236 0:00:00.050 0:00:00.070 1:01:06.952 spoolsv 432 8 11 151 3672 0:00:00.030 0:00:00.020 1:01:06.742 svchost 464 8 26 422 7416 0:00:00.120 0:00:00.180 1:01:06.722 & Y% n |% s& r* {+ B1 {( l- B5 xKAVSvc 480 8 9 57 6732 0:00:01.582 0:00:00.130 1:01:06.622 regsvc 532 8 2 30 964 0:00:00.010 0:00:00.010 1:01:06.201 * e. x: P) Z0 H/ CMSTask 548 8 6 117 3124 0:00:00.010 0:00:00.030 1:01:06.051 7 i7 w7 Z1 u7 t* R) l/ Y6 pWinMgmt 600 8 3 105 160 0:00:05.998 0:00:00.260 1:01:05.020 2 z3 g. p! l$ t# osvchost 672 8 5 144 4532 0:00:00.010 0:00:00.050 1:01:04.319 Explorer 836 8 18 385 7152 0:00:02.633 0:00:06.889 1:00:45.662 ) K; h6 ]: w5 f2 ?delttoul 1000 8 1 21 1516 0:00:00.010 0:00:00.000 1:00:43.158 * |& m2 Y: A0 k1 c) S' B; n2 ointernat 1016 8 1 31 1412 0:00:00.040 0:00:00.200 1:00:43.038 8 [6 y1 b; j) [+ O; Y" z6 awordpad 320 8 4 85 944 0:00:08.462 0:00:07.530 1:00:22.729 ! u3 q6 e: @8 a$ ~+ dconime 840 8 1 19 1016 0:00:00.020 0:00:00.030 0:53:19.230 ' T" G; g, k0 h3 `% w( }cmd 924 8 1 24 56 0:00:00.010 0:00:00.030 0:03:46.075 nc 804 8 2 74 468 0:00:00.010 0:00:00.010 0:02:48.552 + i( R: g' ]3 R) R4 L5 }6 l4 M* Jcmd 392 8 1 24 516 0:00:00.010 0:00:00.010 0:01:19.774 CMD 916 8 1 24 1076 0:00:00.010 0:00:00.020 0:00:00.410 . |3 q9 }$ t8 c0 ]& I3 Qnc 772 8 2 75 2648 0:00:00.020 0:00:00.020 0:00:00.400 pslist 820 13 2 79 1452 0:00:00.020 0:00:00.020 0:00:00.120 + L$ ^( ?7 S0 {' x7 B/ d***************************** ****** nbtstat -c************ & k7 N# l) @! {, k& E* O/ T4 z***************************** 2 a0 j9 Y- k) J# v* ?***************************** 7 G% Z, A, h9 T****** ipconfig ************ ***************************** Windows 2000 IP Configuration Host Name . . . . . . . . . . . . : qq Primary DNS Suffix . . . . . . . : # t4 X+ l' Q& O/ n7 ~% n$ vNode Type . . . . . . . . . . . . : Broadcast IP Routing Enabled. . . . . . . . : No WINS Proxy Enabled. . . . . . . . : No ***************************** ( S8 s* r) g7 d8 I******* end time *********** ***************************** $ x* O6 ]3 s8 L当前时间: 9:27:08.28 , _* T L" L+ `: y0 G输入新时间: ****************************** * W G* j) w9 P8 J******* end date ********* 5 G' u6 \# r4 D9 u/ j****************************** 当前日期: 2002-07-08 星期一 4 {& _9 \! R- H- [) M: ^4 |; I t输入新日期: (年月日)

% \9 I- s' _+ A. x* ^

5 z" N& A+ H9 H怎么样，我们现在可以用得到的数据进行分析了吧，哈哈

9 H: S2 `/ u7 Z7 }+ O

4 z- a; V& p, J P- [3 p! D- I9 ~三.几个要注意的小问题： 1.在批处理文件中%win32% <=> c:\windows\system 2.在批处理文件中使用环境变量的时候，必须用%将变量包起来 ! u" x) @ H* O% [6 v3.for %f in (*.*) do command cmdline 3 W+ k9 y8 |5 s5 W" C在批处理文件中%f要写成%%f

3 C$ ~7 p4 F/ n4 t