1、管理员必须掌握的常用命令一、ping 它是用来检查网络是否通畅或者网络连接速度的命令。它所利用的原理是这样的：网络上的机器都有唯一确定的 IP 地址，我们给目标 IP 地址发送一个数据包，对方就要返回一个同样大小的数据包，根据返回的数据包我们可以确定目标主机的存在，可以初步判断目标主机的操作系统等。在 DOS 窗口中键入：ping /？ 回车。所示如下帮助画面：-t 表示将不间断向目标 IP 发送数据包，直到我们强迫其停止。试想，如果你使用100M 的宽带接入，而目标 IP 是 56K 的小猫，那么要不了多久，目标 IP 就因为承受不了这么多的数据而掉线，呵呵，一次攻击就这么简单的实现了。 -
2、l 定义发送数据包的大小 ，默认为 32 字节，我们利用它可以最大定义到 65500 字节。结合上面介绍的-t 参数一起使用，会有更好的效果哦。 -n 定义向目标 IP 发送数据包的次数，默认为 3 次。如果网络速度比较慢，3 次对我们来说也浪费了不少时间，因为现在我们的目的仅仅是判断目标 IP 是否存在，那么就定义为一次吧。 说明一下，如果-t 参数和 -n 参数一起使用，ping 命令就以放在后面的参数为标准，比如“ping IP -t -n 3“，虽然使用了 -t 参数，但并不是一直 ping 下去，而是只 ping 3 次。另外，ping 命令不一定非得 ping IP，也可以直接 p
3、ing 主机域名，这样就可以得到主机的 IP。 下面我们举个例子来说明一下具体用法。 这里 time=2 表示从发出数据包到接受到返回数据包所用的时间是 2 秒，从这里可以判断网络连接速度的大小 。从 TTL 的返回值可以初步判断被 ping 主机的操作系统，之所以说“初步判断“是因为这个值是可以修改的。这里 TTL=32 表示操作系统可能是 win98。 （小知识：如果 TTL=128，则表示目标主机可能是 Win2000；如果 TTL=250，则目标主机可能是 Unix） 至于利用 ping 命令可以快速查找局域网故障，可以快速搜索最快的 QQ 服务器，可以对别人进行 ping 攻击这些就
4、靠大家自己发挥了。 二、nbtstat （查看远程计算机的 MAC 地址） NBTSTAT 命令可以用来查询网络机器的 NetBIOS 信息及机器的 MAC 地址。另外，它还可以用来消除 NetBIOS 高速缓存器和预加载 LMHOSTS 文件 。这个命令在进行安全检查时非常有用。用法：nbtstat -a RemoteName -A IP_address -c -n -R -r -S-sinterval参数-a 列出为其主机名提供的远程计算机名字表。-A 列出为其 IP 地址提供的远程计算机名字表。-c 列出包括了 IP 地址的远程名字高速缓存器。-n 列出本地 NetBIOS 名字。-r
5、列出通过广播和 WINS 解析的名字。-R 消除和重新加载远程高速缓存器名字表。-S 列出有目的地 IP 地址的会话表。-s 列出会话表对话。NBTSTAT 生成的列标题具有以下含义：Input接收到的字节数。Output发出的字节数。In/Out无论是从计算机（出站）还是从另一个系统连接到本地计算机（入站） 。Life在计算机消除名字表高速缓存表目前“度过”的时间。Local Name为连接提供的本地 NetBIOS 名字。Remote Host远程主机的名字或 IP 地址。Type一个名字可以具备两个类型之一：unique or group在 16 个字符的 NetBIOS 名中，最后一个
6、字节往往有具体含义，因为同一个名可以在同一台计算机上出现多次。这表明该名字的最后一个字节被转换成了 16 进制。StateNetBIOS 连接将在下列“状态” （任何一个）中显示：状态含义：Accepting: 进入连接正在进行中。Associated: 连接的端点已经建立，计算机已经与 IP 地址联系起来。Connected: 这是一个好的状态！它表明您被连接到远程资源上。Connecting: 您的会话试着解析目的地资源的名字 -IP 地址映射。Disconnected: 您的计算机请求断开，并等待远程计算机作出这样的反应。Disconnecting: 您的连接正在结束。Idle: 远程计
7、算机在当前会话中已经打开，但现在没有接受连接。Inbound: 入站会话试着连接。Listening: 远程计算机可用。Outbound: 您的会话正在建立 TCP 连接。Reconnecting: 如果第一次连接失败，就会显示这个状态，表示试着重新连接 .下面是一台机器的 NBTSTAT 反应样本：C:nbtstat CA x.x.x.xNetBIOS Remote Machine Name TableName Type StatusDATARAT UNIQUE RegisteredR9LABS GROUP RegisteredDATARAT UNIQUE RegisteredDATARAT
8、 UNIQUE RegisteredGHOST UNIFQUE RegisteredDATARAT UNIQUE RegisteredMAC Address = 00-00-00-00-00-00您通过下表能掌握有关该机器的哪些知识呢？名称编号类型的使用：00 U 工作站服务01 U 邮件服务_M 好好学习 ROWSE_ 01 G 主浏览器03 U 邮件服务06 U RAS 服务器服务1F U NetDDE 服务20 U 文件服务器服务21 U RAS 客户机服务22 U Exchange Interchange23 U Exchange Store24 U Exchange Director
9、y30 U 调制解调器共享服务器服务31 U 调制解调器共享客户机服务43 U SMS 客户机远程控制44 U SMS 管理远程控制工具45 U SMS 客户机远程聊天46 U SMS 客户机远程传输4C U DEC Pathworks TCP/IP 服务52 U DEC Pathworks TCP/IP 服务87 U Exchange MTA6A U Exchange IMCBE U 网络监控代理BF U 网络监控应用03 U 邮件服务00 G 域名1B U 域主浏览器1C G 域控制器1D U 主浏览器1E G 浏览器服务选择1C G Internet 信息服务器00 U Internet
10、 信息服务器2B U Lotus Notes 服务器IRISMULTICAST 2F G Lotus NotesIRISNAMESERVER 33 G Lotus NotesForte_$ND800ZA 20 U DCA Irmalan 网关服务Unique (U): 该名字可能只有一个分配给它的 IP 地址。在网络设备上，一个要注册的名字 该命令使用 TCP/IP 上的 NetBIOS 显示协议统计和当前 TCP/IP 连接，使用这个命令你可以得到远程主机的 NETBIOS 信息，比如用户名、所属的工作组、网卡的 MAC 地址等。在此我们就有必要了解几个基本的参数。 -a 使用这个参数，只要
11、你知道了远程主机的机器名称，就可以得到它的 NETBIOS 信息（下同） 。 -A 这个参数也可以得到远程主机的 NETBIOS 信息，但需要你知道它的 IP。 -n 列出本地机器的 NETBIOS 信息。 当得到了对方的 IP 或者机器名的时候，就可以使用 nbtstat 命令来进一步得到对方的信息了，这又增加了我们入侵的保险系数。 三、netstat Netstat 用于显示与 IP、TCP、UDP 和 ICMP 协议相关的统计数据，一般用于检验本机各端口的网络连接情况。如果你的计算机有时候接收到的数据报导致出错数据或故障，你不必感到奇怪，TCP/IP 可以容许这些类型的错误，并能够自动重
12、发数据报。但如果累计的出错情况数目占到所接收的 IP数据报相当大的百分比，或者它的数目正迅速增加，那么你就应该使用 Netstat 查一查为什么会出现这些情况了。 Netstat 详细参数列表（Winxp）C:netstat /?显示协议统计信息和当前 TCP/IP 网络连接。NETSTAT -a -b -e -n -o -p proto -r -s -v interval-a 以机器名字显示所有连接和监听端口。-n 以数字形式显示地址和端口号。-b 显示包含于创建每个连接或监听端口的可执行组件。在某些情况下已知可执行组件拥有多个独立组件，并且在这些情况下包含于创建连接或监听端口的组件序列被显
13、示。这种情况下，可执行组件名在底部的 中，顶部是其调用的组件，等等，直到 TCP/IP部分。注意此选项可能需要很长时间，如果没有足够权限可能失败。-e 显示以太网统计信息。此选项可以与 -s选项组合使用。-o 显示与每个连接相关的所属进程 ID。-p proto 显示 proto 指定的协议的连接；proto 可以是下列协议之一: TCP、UDP、TCPv6 或 UDPv6。如果与 -s 选项一起使用以显示按协议统计信息，proto 可以是下列协议之一:IP、IPv6、ICMP、ICMPv6、TCP、TCPv6、UDP 或 UDPv6。-r 显示路由表。（和 route print 命令相同的
14、功能）-s 显示按协议统计信息。默认地，显示 IP、IPv6、ICMP、ICMPv6、TCP、TCPv6、UDP 和 UDPv6 的统计信息；-p 选项用于指定默认情况的子集。-v 与 -b 选项一起使用时将显示包含于为所有可执行组件创建连接或监听端口的组件。interval 重新显示选定统计信息，每次显示之间暂停时间间隔(以秒计)。按 CTRL+C 停止重新显示统计信息。如果省略，netstat 显示当前配置信息(只显示一次)（Win2000）C:netstat /?Displays protocol statistics and current TCP/IP network connect
15、ions.NETSTAT -a -e -n -s -p proto -r interval-a Displays all connections and listening ports.-e Displays Ethernet statistics. This may be combined with the -soption.-n Displays addresses and port numbers in numerical form.-p proto Shows connections for the protocol specified by proto; protomay be TC
16、P or UDP. If used with the -s option to displayper-protocol statistics, proto may be TCP, UDP, or IP.-r Displays the routing table.-s Displays per-protocol statistics. By default, statistics areshown for TCP, UDP and IP; the -p option may be used to specifya subset of the default.interval Redisplays
17、 selected statistics, pausing interval secondsbetween each display. Press CTRL+C to stop redisplayingstatistics. If omitted, netstat will print the currentconfiguration information once.Netstat 的一些常用选项 netstat -s本选项能够按照各个协议分别显示其统计数据。如果你的应用程序（如 Web 浏览器）运行速度比较慢，或者不能显示 Web 页之类的数据，那么你就可以用本选项来查看一下所显示的信息。
18、你需要仔细查看统计数据的各行，找到出错的关键字，进而确定问题所在。 netstat -e本选项用于显示关于以太网的统计数据。它列出的项目包括传送的数据报的总字节数、错误数、删除数、数据报的数量和广播的数量。这些统计数据既有发送的数据报数量，也有接收的数据报数量。这个选项可以用来统计一些基本的网络流量。 netstat -r本选项可以显示关于路由表的信息，类似于后面所讲使用 route print 命令时看到的信息。除了显示有效路由外，还显示当前有效的连接。 netstat -a本选项显示一个所有的有效连接信息列表，包括已建立的连接（ESTABLISHED），也包括监听连接请求（LISTENIN
19、G）的那些连接，断开连接（CLOSE_WAIT）或者处于联机等待状态的（TIME_WAIT）等（ESTABLISHED） 建立的连接（LISTENING） 监听连接请求（CLOSE_WAIT） 断开连接（TIME_WAIT） 联机等待netstat -n显示所有已建立的有效连接。 微软公司故意将这个功能强大的命令隐藏起来是因为它对于普通用户来说有些复杂。我们已经知道：Netstat 它可以用来获得你的系统网络连接的信息（使用的端口，在使用的协议等 ），收到和发出的数据，被连接的远程系统的端口，Netstat 在内存中读取所有的网络信息。在 Internet RFC 标准中，Netstat 的定
20、义是： Netstat 是在内核中访问网络及相关信息的程序，它能提供 TCP 连接，TCP 和 UDP 监听，进程内存管理的相关报告。 对于好奇心极强的人来说，紧紧有上面的理论是远远不够的，接下来我们来详细的解释一下各个参数的使用，看看执行之后会发生什么，显示的信息又是什么意思，好了，废话不说了，让我们一起来实践一下吧：）C:netstat -aActive ConnectionsProto Local Address Foreign Address StateTCP Eagle:ftp Eagle:0 LISTENINGTCP Eagle:telnet Eagle:0 LISTENINGTC
21、P Eagle:smtp Eagle:0 LISTENINGTCP Eagle:http Eagle:0 LISTENINGTCP Eagle:epmap Eagle:0 LISTENINGTCP Eagle:https Eagle:0 LISTENINGTCP Eagle:microsoft-ds Eagle:0 LISTENINGTCP Eagle:1030 Eagle:0 LISTENINGTCP Eagle:6059 Eagle:0 LISTENINGTCP Eagle:8001 Eagle:0 LISTENINGTCP Eagle:8005 Eagle:0 LISTENINGTCP
22、Eagle:8065 Eagle:0 LISTENINGTCP Eagle:microsoft-ds localhost:1031 ESTABLISHEDTCP Eagle:1031 localhost:microsoft-ds ESTABLISHEDTCP Eagle:1040 Eagle:0 LISTENINGTCP Eagle:netbios-ssn Eagle:0 LISTENINGTCP Eagle:1213 218.85.139.65:9002 CLOSE_WAITTCP Eagle:2416 219.133.63.142:https CLOSE_WAITTCP Eagle:244
23、3 219.133.63.142:https CLOSE_WAITTCP Eagle:2907 192.168.1.101:2774 CLOSE_WAITTCP Eagle:2916 192.168.1.101:telnet ESTABLISHEDTCP Eagle:2927 219.137.227.10:4899 TIME_WAITTCP Eagle:2928 219.137.227.10:4899 TIME_WAITTCP Eagle:2929 219.137.227.10:4899 ESTABLISHEDTCP Eagle:3455 218.85.139.65:9002 ESTABLIS
24、HEDTCP Eagle:netbios-ssn Eagle:0 LISTENINGUDP Eagle:microsoft-ds *:*UDP Eagle:1046 *:*UDP Eagle:1050 *:*UDP Eagle:1073 *:*UDP Eagle:1938 *:*UDP Eagle:2314 *:*UDP Eagle:2399 *:*UDP Eagle:2413 *:*UDP Eagle:2904 *:*UDP Eagle:2908 *:*UDP Eagle:3456 *:*UDP Eagle:4000 *:*UDP Eagle:4001 *:*UDP Eagle:6000 *
25、:*UDP Eagle:6001 *:*UDP Eagle:6002 *:*UDP Eagle:6003 *:*UDP Eagle:6004 *:*UDP Eagle:6005 *:*UDP Eagle:6006 *:*UDP Eagle:6007 *:*UDP Eagle:6008 *:*UDP Eagle:6009 *:*UDP Eagle:6010 *:*UDP Eagle:6011 *:*UDP Eagle:1045 *:*UDP Eagle:1051 *:*UDP Eagle:netbios-ns *:*UDP Eagle:netbios-dgm *:*UDP Eagle:netbi
26、os-ns *:*UDP Eagle:netbios-dgm *:*我们拿其中一行来解释吧：Proto Local Address Foreign Address StateTCP Eagle:2929 219.137.227.10:4899 ESTABLISHED协议（Proto）：TCP，指是传输层通讯协议（什么？不懂？请用 baidu 搜索“TCP“，OSI 七层和TCP/IP 四层可是基础_）本地机器名（Local Address）：Eagle，俗称计算机名了，安装系统时设置的，可以在“我的电脑”属性中修改，本地打开并用于连接的端口：2929） 远程机器名（Foreign Addres
27、s）：219.137.227.10远程端口：4899 状态：ESTABLISHED 状态列表LISTEN ：在监听状态中。 ESTABLISHED：已建立联机的联机情况。 TIME_WAIT：该联机在目前已经是等待的状态。 -a 参数常用于获得你的本地系统开放的端口，用它您可以自己检查你的系统上有没有被安装木马（ps：有很多好程序用来检测木马，但你的目的是想成为真正的 hacker，手工检测要比只按一下“scan”按钮好些-仅个人观点）。如果您 Netstat 你自己的话，发现下面的信息： Port 12345(TCP) Netbus Port 31337(UDP) Back Orifice
28、祝贺!您中了最常见的木马（_，上面 4899 是我连别人的，而且这个 radmin 是商业软件，目前我最喜欢的远程控制软件） 如果你需要木马及其端口列表的话，去国内的 H 站找找，或者 baidu，google 吧 * #一些原理：也许你有这样的问题：“在机器名后的端口号代表什么？ 例子：Eagle:2929小于 1024 的端口通常运行一些网络服务，大于 1024 的端口用来与远程机器建立连接。 *继续我们的探讨，使用-n 参数。（Netstat -n) Netstat -n 基本上是-a 参数的数字形式：C:netstat -nActive ConnectionsProto Local Address Foreign Address StateTCP 127.0.0.1:445 127.0.0.1:1031 ESTABLISHEDTCP 127.0.0.1:1031 127.0.0.1:445 ESTABLISHEDTCP 192.168.1.180:1213 218.85.139.65:9002 CLOSE_WAITTCP 192.168.1.180:2416 219.133.63.142:443 CLOSE_WAIT
