重返命令行

韩冰

这几天一直在学习批处理，看了好多很好的文章，今天也把自己认为新学到的东西写出来和大家分享，嘎嘎 :> （ 别笑我写的不好）

% q ~. X4 O% ]; R6 B" F) W, M! D一.echo命令在深入 0 y9 N0 X. `* A8 X恐怕echo命令是大家最熟悉的命令之一了，常用格式： echo on echo off $ N" e5 U8 K. a& e1 Secho 欲输出信息

" Z( E* e' f- L* F& m

下面写几个很多人不是特别熟悉的使用方法 g* X3 ~3 _6 m, ^6 r$ }+ ]<1>首先进cmd: **************************************************************** 4 C# h' I1 x6 z7 i" k N( OMicrosoft Windows 2000 [Version 5.00.2195] (C) 版权所有 1985-2000 Microsoft Corp.

C:\>echo off回车 //之后c:\> 就会消失，直到你重新输入echo on

echo on

* z2 |+ M2 k$ G9 q1 z, h

C:\> ****************************************************************

<2>如何用echo向一个*.txt文件中写如一个回车呢？ 用echo 回车>a.txt 吗，哈，当然不是 ，这里就要用的命令： # X) o" p3 k6 H. `4 a! I# O. vecho.>a.txt,echo.是关键，相当输出空行，即一个回车

[e.g] echo.|time //把回车传递给time命令处理，在批处理中常用此法来显示时间并把信息写入一个指定的文件

echo.|del *.* //呵呵，搞破坏是很有用啊

5 M5 W% [- ]! u0 \' i

etc.

<3>利用echo命令让喇叭唧唧的叫，哈哈 //可以用来吓唬人呦 J5 R+ J2 e: Y+ g z" r- W/ ^/ u在cmd下输入: ' a+ v) q' w0 T3 ~$ R9 Q$ `echo空格，然后在按住ctrl键，之后连续点GGGGGGGGGGGGG,这样就会写出如下命令： echo ^G^G^G^G^G^G^G^G^G^G^G^G^G //注意：g越多，响的时间越长

二.批处理与应急响应 首先引用2003年10月《黑客x档案》上的一些东西（那会儿一直忙着学习，没时间看，现在才......555555555):

创建响应工具包： ! X/ q$ \- `: G7 p6 Y. ^) J* b+ qcmd.exe----------------------------------nt/2000命令解释器 # M( _% k/ q! c2 u$ g6 l6 p7 h0 y8 T5 mloggeden---------------------------------显示远程和本地连接的用户 rasusers---------------------------------显示出哪些用户具有权限访问nt工具命令箱 netstat----------------------------------列出监听端口 fport------------------------------------端口进程关联工具 4 j1 y) C! {: S2 Tpslist-----------------------------------列出进程 & H# |" R" @- h) Blistdll----------------------------------列出运行进程以来的动态连接库 / U6 K- \( T6 c2 @! M2 ^nbtstat----------------------------------列出最近十分钟NetBios的连接 arp--------------------------------------显示最后一分钟连接的系统的MAC地址 & @! A1 X8 M# `$ imd5sum-----------------------------------md5校检和工具 ; q3 b$ g/ Z6 Y; v2 o1 }! N8 Icca.exe----------------------------------检验克隆管理员帐号的工具 9 ?% `9 N5 R8 _+ bdoskey-----------------------------------显示cmd命令历史的工具 ....... ....... ( T1 P' ^' m1 h& f6 m P....... 7 f' C4 r2 D( {2 U% W把你认为的对取证有用的东西都放进去

原文的作者说的取证的方法是一次一次的输入命令并把information转移到安全的存储设备中去，这样一个麻烦的工作，我们何不利用批处理文件简化它呢，我的方法如下：

比如受害的机器名是qq，安全的机器是127.0.0.1 . k" g- U$ {" K% @! z5 g# z- f（这里，qq&127.0.0.1都是我，也就是说我是在一台机器上模拟我想说名的过程）

qq_cmdline: $ _8 u2 T( [* O7 u) k& ixiangying.bat|nc -vv 127.0.0.1 1234

: t& x0 P" [8 R7 P: L O

127.0.0.1_cmdline: 5 Z A: n' T; U2 nnc -l -p 1234>xiangying.txt

* [; X1 p d& L/ S

--------------------xiangying.bat------------------------- 4 T8 b3 C( v& X6 ^@echo off echo ****************************** echo ******* start date ********* echo ****************************** 8 Y- O- g1 n% @( Q7 Vecho.|date 1 K% R, Y$ ^: `) iecho ****************************** echo ****** start time ********** & K8 E% f/ Y. S2 |$ xecho ****************************** echo.|time echo ****************************** echo ****** netstat -an ********** echo ****************************** 2 Q6 u3 {9 A$ V3 H, ~' fnetstat -an ( O2 x' G% l- B8 Decho ***************************** 6 d! M+ F# V- U3 X }echo ****** arp -a *************** echo ***************************** 0 ^" D. Z+ V% D. Uarp -a echo ***************************** echo ******fport ***************** ! L6 ~! a- u& y9 E4 g& i+ ]& n2 }echo ***************************** fport $ d: R1 q& X! K- y) z. R% Q4 Necho ***************************** echo ****** pslist ************** echo ***************************** ; i) H% j& `+ R, a/ ]5 Apslist echo ***************************** 6 w+ x2 u8 i) i: C4 a( Jecho ****** nbtstat -c************ echo ***************************** + f4 T; N" t1 S; Cnbtstat -c ; X: b5 M9 D p; q" j5 a* }+ F5 techo ***************************** echo ****** ipconfig ************ echo ***************************** ipconfig /all echo ***************************** echo ******* end time *********** echo ***************************** ~ Q& I$ y% b1 b: Vecho.|time 6 q# L2 y2 H1 @echo ****************************** ) r1 }! C* I) i7 g$ o! J8 hecho ******* end date ********* " R9 r4 q5 z$ Secho ****************************** echo.|date : ?1 y' V( i: U$ ^/ K* N7 S o----------------------------end,save as xiangying.bat---------------------------

注意：在本例中，由于我的电脑上没有那么多工具，所以我xiangying.bat的内容是不全面的，但是大家就可以按照上面给出的格式自己写了

" W) r/ n( e/ Y

下面我给出我实验是得到的xiangying.txt是什么样子

****************************** 4 _$ p/ q. _" c5 |6 C m% M6 h******* start date ********* 4 V g4 N* C5 @****************************** . C; x* _: c* K) q, I! I' ]当前日期: 2002-07-08 星期一 8 U7 c7 K0 d* z输入新日期: (年月日) ****************************** # l0 [( c5 {: G) ~& j2 b: [****** start time ********** ****************************** 5 F8 Q+ z! B) X当前时间: 9:27:07.80 / k# C8 A- Y7 d$ W; j1 q+ v输入新时间: ****************************** ****** netstat -an ********** 6 d* s3 K$ x* c+ v******************************

Active Connections

6 J/ o- d* {8 j% w( n3 E

Proto Local Address Foreign Address State / M6 z3 H# U7 t u- J PTCP 0.0.0.0:135 0.0.0.0:0 LISTENING , H7 q: p! i) H+ Z1 g* F3 @% a4 PTCP 0.0.0.0:445 0.0.0.0:0 LISTENING 2 d, }. \# B r1 o+ Y5 O* Z) fTCP 0.0.0.0:1025 0.0.0.0:0 LISTENING TCP 0.0.0.0:1027 0.0.0.0:0 LISTENING ! y9 j: B1 j! {1 ^+ A6 ~8 ATCP 0.0.0.0:1028 0.0.0.0:0 LISTENING : S; Q5 P8 f2 z' z0 S2 C5 x! rTCP 0.0.0.0:1234 0.0.0.0:0 LISTENING TCP 127.0.0.1:1028 127.0.0.1:1234 ESTABLISHED 4 u. D. X2 G( ^$ F6 C% E$ nTCP 127.0.0.1:1234 127.0.0.1:1028 ESTABLISHED UDP 0.0.0.0:135 *:* UDP 0.0.0.0:445 *:* UDP 0.0.0.0:1026 *:* ***************************** , Q% b% y: T7 P* R( y8 M****** arp -a *************** # i. K' z- [6 P8 \5 x G***************************** 9 A! J7 {) }3 `No ARP Entries Found - H- G. A( ]. _% A, p***************************** ******fport ***************** - B- H) X5 ]8 X3 f***************************** ! U) P3 N) L" C" ?: VFPort v2.0 - TCP/IP Process to Port Mapper 2 F6 y# `, d U) q; @+ b# z, G8 {Copyright 2000 by Foundstone, Inc. http://www.foundstone.com

3 M& r( t, F% S8 z9 }

Pid Process Port Proto Path 2 ?' o% T1 o9 T400 svchost -> 135 TCP C:\WINNT\system32\svchost.exe 8 System -> 445 TCP 548 MSTask -> 1025 TCP C:\WINNT\system32\MSTask.exe 8 System -> 1027 TCP 772 nc -> 1028 TCP d:\nc.exe ) e4 K6 ]. w, S2 M' [804 nc -> 1234 TCP D:\nc.exe

$ P/ L& ` K @/ C& c

400 svchost -> 135 UDP C:\WINNT\system32\svchost.exe 8 System -> 445 UDP 216 services -> 1026 UDP C:\WINNT\system32\services.exe

9 F2 j9 G6 T0 z: V ]9 p

***************************** ****** pslist ************** + v# ?* d2 U/ F% Z: D( ]) y*****************************

* x* n3 Z' h8 H- `

PsList 1.22 - Process Information Lister T) Y9 D' M. p" h6 _2 m( xCopyright (C) 1999-2002 Mark Russinovich Sysinternals - www.sysinternals.com

' l5 [. a; |0 ]! w1 R

Process information for QQ:

9 \7 d3 ~6 k" I, z

Name Pid Pri Thd Hnd Mem User Time Kernel Time Elapsed Time Idle 0 0 1 0 16 0:00:00.000 1:00:26.364 1:01:14.203 System 8 8 34 60 276 0:00:00.000 0:00:02.603 1:01:14.203 smss 144 11 6 33 352 0:00:00.010 0:00:00.190 1:01:14.203 csrss 168 13 10 290 1216 0:00:00.100 0:00:06.218 1:01:11.649 9 G& R, i# N+ U# [& e* Y; ?) fwinlogon 164 13 16 363 2692 0:00:00.220 0:00:00.610 1:01:10.307 services 216 9 30 443 5016 0:00:00.320 0:00:00.731 1:01:09.216 . `! W3 k, ]0 F5 p0 plsass 228 9 15 251 1176 0:00:00.240 0:00:00.080 1:01:09.196 : d: t7 b r+ Z* y, nsvchost 400 8 9 242 3236 0:00:00.050 0:00:00.070 1:01:06.952 0 ~6 c$ M! }; S3 k3 }+ f' i, y+ v; x4 _: fspoolsv 432 8 11 151 3672 0:00:00.030 0:00:00.020 1:01:06.742 svchost 464 8 26 422 7416 0:00:00.120 0:00:00.180 1:01:06.722 KAVSvc 480 8 9 57 6732 0:00:01.582 0:00:00.130 1:01:06.622 regsvc 532 8 2 30 964 0:00:00.010 0:00:00.010 1:01:06.201 MSTask 548 8 6 117 3124 0:00:00.010 0:00:00.030 1:01:06.051 WinMgmt 600 8 3 105 160 0:00:05.998 0:00:00.260 1:01:05.020 svchost 672 8 5 144 4532 0:00:00.010 0:00:00.050 1:01:04.319 1 ~" F' g( v4 h( L, MExplorer 836 8 18 385 7152 0:00:02.633 0:00:06.889 1:00:45.662 ! K9 t% K6 j) e7 J' U, t: p7 i4 Tdelttoul 1000 8 1 21 1516 0:00:00.010 0:00:00.000 1:00:43.158 8 z% C* |0 t% b3 Qinternat 1016 8 1 31 1412 0:00:00.040 0:00:00.200 1:00:43.038 ' n# v2 }6 k% b# E9 j0 N7 u$ X6 Twordpad 320 8 4 85 944 0:00:08.462 0:00:07.530 1:00:22.729 & P+ E. l1 G( L2 Yconime 840 8 1 19 1016 0:00:00.020 0:00:00.030 0:53:19.230 cmd 924 8 1 24 56 0:00:00.010 0:00:00.030 0:03:46.075 # o4 v# `! a/ A, onc 804 8 2 74 468 0:00:00.010 0:00:00.010 0:02:48.552 cmd 392 8 1 24 516 0:00:00.010 0:00:00.010 0:01:19.774 CMD 916 8 1 24 1076 0:00:00.010 0:00:00.020 0:00:00.410 # T5 p; y* ?' y* N* O# nnc 772 8 2 75 2648 0:00:00.020 0:00:00.020 0:00:00.400 pslist 820 13 2 79 1452 0:00:00.020 0:00:00.020 0:00:00.120 : A M0 Q, x- B! H) O1 E***************************** ****** nbtstat -c************ ***************************** ***************************** ****** ipconfig ************ ***************************** Windows 2000 IP Configuration Host Name . . . . . . . . . . . . : qq Primary DNS Suffix . . . . . . . : Node Type . . . . . . . . . . . . : Broadcast IP Routing Enabled. . . . . . . . : No WINS Proxy Enabled. . . . . . . . : No N8 M) j- j. o$ x' ]***************************** ******* end time *********** ***************************** 8 @1 H; s" Y; _& S当前时间: 9:27:08.28 输入新时间: ****************************** ******* end date ********* ****************************** / L7 S0 K; I# A3 p0 ~当前日期: 2002-07-08 星期一 输入新日期: (年月日)

h5 f3 L5 C# h

" T; @3 U0 f8 U' c+ K+ q! D, v怎么样，我们现在可以用得到的数据进行分析了吧，哈哈

三.几个要注意的小问题： 6 W4 e' H P5 Z* d1.在批处理文件中%win32% <=> c:\windows\system 7 m* }" v+ H: E0 e% q2.在批处理文件中使用环境变量的时候，必须用%将变量包起来 3.for %f in (*.*) do command cmdline 在批处理文件中%f要写成%%f

$ G" N [2 R1 n9 T! G! h