1. Windows Shell

• 渗透攻击过程通常只能获得命令⾏界⾯访问权，因此渗透⼈员应熟悉Windows 命令⾏。

1.1 CMD

类似BASH、ZSH，拥有批处理脚本能⼒。

1.2 Powershell

• 可脚本化，功能全⾯的配置管理框架。

1.3 WMIC

与Windows Management Instrumentation (WMI)交互的命令⾏⼯具。

2. CMD内建命令

显⽰所有内建命令
C:\>help

2.1 常⽤命令

3. 访问⽂件系统

1、回到盘符根路径
C:\Windows>cd \

2、查看⽂本⽂件
C:\Users\user>type file.txt

3、显⽰影藏⽂件
C:\Users>dir /A

4. 系统信息和环境变量

C:>systeminfo

5. 环境变量

6. 基础⽂件操作

创建⽂件
C:\Users\user>echo "aaa bbb" > a.txt

查看⽂件
C:\Users\user>type a.txt

删除⽂件
C:\Users\user>del a.txt

⽂件改名
C:\Users\user>rename a.txt b.txt

创建⽬录
C:\Users\user>mkdir Directory

删除⽬录
C:\Users\user>rmdir Directory

拷⻉⽂件
C:\Users\user>copy a.txt b.txt

7. 搜索

7.1 搜⽂件

C:\Users\user>dir /s trojan.txt

7.2 搜⽂本内容

find 不⽀持正则
C:>find "password" C:\a.txt

7.3 内容排序

C:>sort /R a.txt

8. ⽤⼾信息

C:>whoami /user

9. 账号与组

添加 、 删除账号
C:>net user /add zs password
C:>net user /del zs

查看账号状态
C:>net user zs

查看本地组
C:>net localgroup

⽤⼾加⼊组
C:>net localgroup Administrators zs /add

10. NTFS权限

查看⽂件夹权限
C:\Users\user>icacls a.txt

11. 进程

查看所有进程
C:>tasklist /SVC

12. 注册表

• 存放系统配置的中央数据库。

12.1 ⾃动运⾏

1、 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
2、 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
3、 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
4、 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

12.2 ⼯具

查询
C:>reg query hkcu\software\microsoft\windows\currentversion\run

13. 计划任务

查询
C:\>schtasks

创建
C:>schtasks /create /sc weekly /d mon /tn runme /tr C:\a.exe /st 08:00

14. 磁盘管理⼯具

所有驱动器
C:>fsutil fsinfo drives
驱动器类型
C:>fsutil fsinfo drivetype C:

15. 交换数据流 Alternate Data Streams（ADS）

• 流是NTFS中的⼀种⽂件属性，ADS允许⽂件包含多个数据流。
  ADS流
  C:\streamtest>echo aaaaaaaa > a.txt:user
  C:\streamtest>dir /r
  查看ADS数据
  C:\streamtest>more < a.txt:user

  16. 防⽕墙

  防⽕墙配置⽂件
  C:\Windows\system32>netsh advfirewall show allprofiles
  添加规则
  C:>netsh advfirewall firewall add rule name="Block" remoteip=1.1.1.1 dir=out enable=yes action=block

  17. 服务

  启动 / 停⽌服务
  C:\Users\user\Desktop>sc start WSearch
  C:\Users\user\Desktop>sc stop WSearch

查询服务状态
C:\WINDOWS\system32>sc query dhcp
C:\WINDOWS\system32>sc qc dhcp

配置服务（修改启动⽅式）
C:\Windows\system32>sc config WSearch start=auto