新手勇闯网络安全 | Windows安全基础（一）-迪斯科星球

搞懂了网络通信，接下来进入内网渗透的核心目标——Windows 系统。企业内网服务器和办公电脑中 Windows占比极高，是攻击者的首选目标。这篇从最基础的系统认知、命令行操作讲起，到账户权限管理，每一条命令都附带渗透视角的解读。看完你就能用命令行查看系统信息、排查可疑进程、创建隐藏用户，为后续内网渗透打下基础。

一、Windows 系统基础认知

1.1 为什么学 Windows 系统基础？

高占比：企业内网服务器和个人办公电脑中，Windows 系统占比极高，是渗透测试的核心目标。
基础前提：系统基础是理解漏洞原理、工具使用的前提，能帮助我们避免在后续学习中"知其然不知其所以然"。

1.2 操作系统核心概念

操作系统（Operating System，简称 OS）是管理和控制计算机硬件与软件资源的核心程序，是直接运行在"裸机"上的最基本系统软件，所有其他软件都必须在它的支持下才能运行。

1.3 主流操作系统分类

系统	特点	典型应用
Windows	微软研发，图形界面友好，兼容性强	企业服务器、个人办公电脑、专用工业设备
Linux	自由开源，稳定性高，安全性强	服务器、嵌入式设备、渗透测试环境
macOS	苹果专有，生态闭环，用户体验佳	设计师、开发者工作站

渗透关注点：

个人设备：老旧系统（如 Win7）漏洞多，需突破硬件级防护
服务器：关注 SMB、RDP、IIS 等核心服务配置漏洞

1.4 Windows 版本差异与渗透场景

个人设备系统：

类型	代表版本	渗透关注点
老旧个人设备	Windows 7（2009 年发布，已停止官方支持）	系统漏洞多、默认防御弱，易成为内网突破入口
现代个人设备	Windows 10（2015）、Windows 11（2021）	需突破硬件级防护（如 TPM 2.0）与行为检测，攻击难度显著提升

服务器系统（高价值攻击目标）：

代表版本：Windows Server 2008/2012/2016/2019/2022
应用场景：企业内网文件服务器、数据库服务器、Web 服务器、域控制器
渗透关注点：掌握服务器核心服务（如 SMB、RDP、IIS）的配置漏洞，是获取内网控制权的关键

二、Windows 终端：CMD 与 PowerShell

2.1 CMD（Command Prompt，命令提示符）

来源：MS-DOS 时代（1980s），纯文本命令行
特点：简单、轻量，兼容老.bat脚本；微软不再加新功能
渗透用途：快速执行ipconfig、ping、net、tasklist等基础命令；运行老旧批处理
打开方式：Win + R-> 输入cmd-> 回车

2.2 PowerShell（PS）

来源：2006 年，基于 .NET 的现代 Shell
特点：面向对象、强编程能力、全系统管理、支持.ps1脚本
渗透用途：后期主阵地——信息收集、权限提升、横向移动、维持权限、免杀脚本
打开方式：Win + R-> 输入powershell-> 回车

2.3 核心区别

CMD 能做的，PowerShell 全能做且更强；但老机器/老脚本只能用 CMD。

拿到目标电脑命令行权限（CMD/PowerShell），是黑客入侵后最基础、最重要的操作入口。图形界面很多操作做不了，命令行可以完成信息收集、持久化、横向移动、文件操作。图形界面可能被限制，命令行往往不受桌面策略约束。

三、Windows 常用命令行

3.1 系统信息收集

命令	作用	渗透价值
`systeminfo`	输出操作系统版本、补丁级别、系统启动时间、内存信息	快速判断系统版本和补丁情况，寻找未修复漏洞
`winver`	弹出窗口显示 Windows 版本信息	快速确认系统大版本
`msinfo32`	系统信息工具（图形界面）	查看软件环境 -> 正在运行任务（完整进程路径和启动命令）

3.2 网络配置与诊断：ipconfig

命令	作用
`ipconfig`	查看基本网络配置（IP 地址、子网掩码、默认网关）
`ipconfig /all`	查看详细配置（MAC 地址、DNS 等）
`ipconfig /release`	释放 DHCP 租约
`ipconfig /renew`	重新获取 IP 地址

核心应用场景：

基础信息查询：快速查看本机 IP 地址，是远程桌面连接或网络共享配置的基础
网络故障排查：检查 IP 配置是否正确，通过释放/续租 IP 修复 DHCP 问题
安全渗透测试：确认目标机器的网络环境，获取网卡信息及内网 IP 段，为后续攻击路径做情报收集

3.3 网络连接查看：netstat

常用命令：netstat -ano

参数	作用
`-a`	显示所有连接和监听端口
`-n`	以数字形式显示地址和端口
`-o`	显示关联的进程 PID

重点关注状态：

ESTABLISHED：已建立的连接（可能是木马回连）
LISTENING：监听状态（异常端口需排查）

通过 PID 定位进程：tasklist | findstr "PID号"

3.4 进程管理：tasklist / taskkill

为什么要查看进程？

电脑上所有正在运行的软件、程序都会产生进程。病毒、木马运行的时候，同样会产生进程。查看进程，就是找出藏在电脑里偷偷运行的恶意程序。

可疑进程的危害：

黑客远程控制你的电脑
窃取账号、文件、聊天信息
偷偷下载更多病毒
监控键盘操作，盗取密码

真实案例：银狐木马

银狐属于远程控制木马。受害者点开伪造的官网下载木马文件后，木马悄悄启动，生成可疑进程。可通过进程溯源攻击机 IP 地址，再到微步在线威胁情报中心（x.threatbook.com）查询 IP 信誉。

tasklist（查看进程）：

命令	作用
`tasklist`	列出所有进程
`tasklist /v`	显示详细信息（路径、PID、用户名）
`tasklist \| findstr "关键词"`	管道筛选，只显示包含关键词的进程

管道符 | 的作用：先用tasklist列出所有进程，再把这份清单交给findstr，只挑出带关键词的进程展示。

taskkill（结束进程）：

参数	作用
`/PID`	按进程 ID 杀进程
`/IM`	按进程名杀进程
`/F`	强制结束（必须）

示例：

taskkill/PID21876/F# 强制结束 PID 为 21876 的进程taskkill/IM notepad.exe/F# 结束所有记事本进程taskkill/IM malware.exe/F# 强制结束恶意进程

3.5 路径与目录基础操作

前置概念：绝对路径 vs 相对路径

类型	定义	特点
绝对路径	从盘符根目录完整写到底，如`D:\tools\hack`	自带盘符，完整定位，不受当前目录影响
相对路径	以当前 CMD 所在目录为起点，如`cd payload`	只适用于当前盘符内切换

相对路径标识符号：

盘符切换（不同盘之间跳转）：

D:# 直接切到 D 盘（不用 cd）E:# 切到 E 盘

注意：cd带绝对路径不能跨盘跳转，只能切换同盘内目录。跨盘直接输入盘符即可。

目录切换（cd）：

命令	作用
`cd folder`	进入当前目录下的 folder 文件夹
`cd ..`	回到上一级目录
`cd \`	回到当前盘根目录
`cd D:\tools`	进入指定绝对路径（同盘内）
`cd`	无参数，显示当前所在目录

创建 / 删除目录：

代码解读复制代码mdtest# 创建 test 目录（mkdir 等价）rdtest# 删除空目录rd /s /qtest# 强制删除非空目录（静默，不提示）

3.6 高效文件处理

目录 / 文件查看：

命令	作用
`dir`	列出当前目录文件
`dir /a`	显示所有文件（含隐藏/系统文件）
`dir /w`	宽格式显示，精简列表
`dir /o:n`	按名称排序；`/o:d`按日期排序
`dir /p`	分页显示
`tree /f`	树形显示目录结构，含所有文件名

搜索与过滤（findstr）：

命令	作用
`findstr "key" file.log`	在目标文件中搜索特定关键词
`findstr /i "flag" *.log`	忽略大小写搜索
`findstr /v "flag" *.log`	反向匹配（不含 flag 的行）
`findstr /s "flag" *.log`	递归搜索子目录所有 .log 文件
`dir \| findstr "test"`	结合管道，筛选 dir 输出

内容查看：

命令	作用
`type file.txt`	查看文本文件内容，适用于配置文件分析
`more file.txt`	分页查看（文件行数过多时生效）

批量处理：

命令	作用
`echo "内容" > test.log`	创建文件并写入内容（覆盖）
`copy con file.txt`	快速创建小文件（Ctrl+Z 保存）
`ren .txt .bak`	批量改后缀
`del *.tmp`	批量删除 tmp 文件
`xcopy /s /e src dest`	递归复制目录（含空目录）

渗透场景：利用findstr快速筛选日志中的敏感信息或配置参数；用xcopy拷贝重要资料、上传木马程序；用type查看配置文件内容。

四、系统账户与权限

4.1 Windows 账户类型

账户类型	存储位置	特点
本地账户	SAM 数据库	仅本机有效，适合单机使用
域账户	Active Directory	域内所有机器通用，便于企业管理
内置账户	SAM 数据库	系统自带：Administrator、Guest、SYSTEM

内置账户核心说明：

账户	说明
Administrator（管理员）	默认的本地管理员账户（UID 500），拥有对系统的完全控制权限，用于安装软件和配置系统
Guest（来宾账户）	默认处于禁用状态，用于临时用户访问，权限受到严格限制，无法更改系统设置
SYSTEM（系统账户）	操作系统的核心账户，拥有最高权限，比管理员权限更高，通常用于运行系统服务和核心进程

4.2 用户账户管理：net user

命令	作用
`net user`	查看所有本地用户
`net user admin`	查看指定用户信息
`net user gaga 123456 /add`	创建用户 gaga，密码 123456
`net user gaga /delete`	删除用户
`net user gaga /active:no`	禁用账户
`net user gaga /active:yes`	启用账户

4.3 本地组管理：net localgroup

命令	作用
`net localgroup`	查看所有本地组
`net localgroup administrators`	查看管理员组所有成员
`net localgroup administrators gaga /add`	将用户 gaga 添加到管理员组（提权）
`net localgroup administrators gaga /delete`	将 gaga 从管理员组移除

权限提升核心：Windows 系统中，管理员组 Administrators拥有系统的最高控制权。将用户加入该组是获取系统核心权限的关键操作。

4.4 隐藏用户创建（后门技术）

原理：在用户名后添加美元符号$，可使该用户默认不在系统常规用户列表（net user）中显示，常用于维持权限的后门。

net user gaga$123456/add# 创建隐藏用户

排查方法：隐藏用户$只是不在默认列表中显示，直接指定用户名仍可查到：

net user gaga$# 直接指定用户名查询

4.5 NTFS 权限管理

图形界面配置：

右键文件/文件夹 -> 属性
切换到"安全"选项卡
点击"编辑" -> “添加”，输入用户或组名
分配权限：完全控制、修改、读取和执行、读取、写入

命令行配置：icacls

命令	作用
`icacls "C:\test"`	查看目录权限
`icacls "C:\test" /grant Everyone:F`	授予 Everyone 完全控制权限
`icacls "C:\test" /deny Guest:R`	拒绝 Guest 账户读取权限

常用参数说明：

/grant：授予用户或组指定权限
/deny：拒绝用户或组指定权限，优先级高于授予

五、易错点辨析

常见错误认知	正确理解
“CMD 和 PowerShell 是一样的”	CMD 是纯文本 Shell，PowerShell 是面向对象的现代 Shell，功能远超 CMD
“cd 可以跨盘切换”	cd 不能跨盘，`cd D:\tools`只会切换 D 盘当前目录但不跳盘。跨盘直接输入`D:`
“net user 看不到 $ 结尾的用户就是安全的”	隐藏用户只是不在默认列表中显示，`net user gaga`直接指定用户名仍可查到
“taskkill 不加 /F 也能结束进程”	/F 是强制结束进程的关键参数，部分进程不加 /F 无法结束
“icacls 的 /grant 和 /deny 权限相同”	/deny 拒绝权限优先级高于 /grant 授予权限，拒绝会覆盖授予

六、知识小结

知识模块	核心内容	一句话速记
CMD vs PowerShell	CMD 轻量兼容 .bat，PowerShell 面向对象功能全	老式对讲机 vs 智能终端
systeminfo	查看系统版本、补丁级别、内存信息	摸清系统底细
ipconfig	查看网络配置，/all 看详情	本机网络信息查询
netstat -ano	看连接 + 端口 + PID	谁在连我的电脑
tasklist/taskkill	查看/结束进程，/F 强制结束	进程管理器命令行版
绝对/相对路径	绝对路径从盘符写到底，cd 不能跨盘	绝对带盘符，相对看起点
dir/findstr/type	列文件、搜关键词、看内容	文件操作三件套
net user	查看/创建/删除/禁用用户，$ 结尾可隐藏	用户管理命令行
net localgroup	管理本地组，加入 administrators 即提权	管理员组是权限钥匙
NTFS 权限（icacls）	/grant 授予、/deny 拒绝（优先级更高）	文件级访问控制