网络安全学习--002--windows基础知识

一：系统目录

1.windows

C:\Windows\System32是一个极其重要的文件，下面我们来介绍一下这个文件，
（1）在C:\Windows\System32\config目录下面有这样一些文件：
这里存放的都是windows的系统配置文件

（2）在C:\Windows\System32\drivers\etc目录下面有这样一些文件：
这里存放的都是与网络服务，端口，域名解析有关的文件

2.program files

在C:\Windows\Program Files中是程序默认安装的文件夹

3.用户

在C:\Windows\用户这个文件夹中存放着与用户相关的文件

4.perflogs

perfLogs是windows的日志信息，如磁盘扫描 错误信息，删掉可以，但不建议删，删掉反而会降低系统速度，PerfLogs是系统自动生成的。

二：服务

1.什么是服务？

服务就是为了给用户提供一种操作功能，不同的服务提供不同的本功能，只有开启这些服务，才能使用这些服务，如web服务，ftp服务

2.常见的网络服务：

web服务，dns服务，邮件服务，
telnet服务：该服务是明文传输
ssh服务：该服务是密文传输
ftp服务：该服务明文传输
smb服务

3.查看相应的服务：

（1）在Win+R窗口中输入services.msc，即可看到各种服务，下面让我们来看一下这些服务：

服务的状态分为自动延迟，自动，手动，禁用四种模式：
自动延迟：表示开机后一定时间才能启动该服务
自动：开机后自启动该服务
手动：需要我们手动开启该服务
禁用：禁止使用该服务
了解这些便于我们后渗透操作阶段安装系统服务后门

三：端口

1.端口的作用：

端口是区分服务的标识，只有通过端口在能找到相应的服务，通过扫描端口，能让我们找到相应的端口，如web：80端口，mysql:3306端口

2.端口分类：

端口数目：1~65535个
端口可分为：
（1）固定端口：1~1024号端口都是固定端口，这些端口分配给固定的服务：如22端口未SSH服务，21端口为FTP服务
（2）动态端口：1024~65535号端口为动态端口，这些端口一般分配给不固定的服务。
不过动态端口也常常被病毒木马程序所利用，如冰河默认连接端口为7626，WAY2.4是8011，Netspy 3.0是7306，YAI病毒是1024等等
防火墙能防木马病毒吗？
不能，但是能限制一些端口的流量，这样使得占用常用端口的木马不能连接，杀毒软件才是杀病毒的

3.常见的端口：

80，8080，3128，8081，9080:HTTP 常用端口
21：FTP
22:SSH（安全登录），SCP(文件传输)，端口重定向，默认端口号为22/tcp
3389:远程桌面端口
23:telnet
25:SMTP服务，（不过一般木马Antigen,Email Password Sender,Haebu Coceda,Shtrilitz,WinPC，WinSpy都是用这个端口
3306:mysql
1521:Oracle
1433:sqlserver
1080:QQ默认端口

4.黑客能够通过端口做什么？

信息搜集
系统判断（33）：如开了22端口则有可能是linux

四：注册表

注册表（繁体中文版windows称之为登录档）是windows的重要数据库，用来存储系统和应用程序的设置信息

1.打开注册表

WIN+R:输入regedit即可查看注册表：

2.注册表的作用

注册表是Windows操作系统的核心数据库，可直接控制着windows的启动，硬件驱动程序的装载，程序的运行，以及各种属性信息，可以通过修改注册表来修改计算机，不过要慎重。

3.注册表的结构

注册表有5个根键

（1）.HKEY_CLASSES_ROOT
管理文件系统。根据在Windows 中安装的应用程序的扩展名,该根键指明其文件类型的名称，相应打开该文件所要调用的程序等等信息。
（2）.HKEY_CURRENT_USER
管理系统当前的用户信息。在这个根键中保存了本地计算机中存放的当前登录的用户信息,包括用户登录用户名和暂存的密码。在用户登录Windows 98时，其信息从HKEY_USERS中相应的项拷贝到HKEY_CURRENT_USER中。
（3）.HKEY_LOCAL_MACHINE（我们经常使用的键）
管理当前系统硬件配置。在根键这个中保存了本地计算机硬件配置数据,此根键下的子关键字包括在SYSTEM.DAT中,用来提供HKEY_LOCAL_MACHINE所需的信息,或者在远程计算机中可访问的一组键中。
这个根键里面的许多子键与System.ini文件中设置项类似。
（4）.HKEY_USERS
管理系统的用户信息。在这个根键中保存了存放在本地计算机口令列表中的用户标识和密码列表。同时每个用户的预配置信息都存储在HKEY_USERS根键中。HKEY_USERS是远程计算机中访问的根键之一。
（5）.HKEY_CURRENT_CONFIG
管理当前用户的系统配置。在这个根键中保存着定义当前用户桌面配置(如显示器等等)的数据,该用户使用过的文档列表（MRU），应用程序配置和其他有关当前用户的Windows 98中文版的安装的信息。

4.入侵中常用的注册表

HKEY_LOCAL_MACHINE\software\hzhost\config\settings\mysqlpass
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\mssqlpss：一般用来读一些端口，可能有一些管理员为了防止入侵修改常用服务的端口号，这样我们就通过读取该文件来查看数据库端口号
HKEY_LOCAL_MACHINE\software\hzhost\config\Settings\mastersvrpass
HKEY_LOCAL_MACHINE\SYSTEM\LIWEIWENSOFT\INSTALLFREEADMIN\11
HKEY_LOCAL_MACHINE\SYSTEM\LIWEIWENSOFT\INSTALLFreeHost\11

五：常用DOS命令

color 改变cmd颜色
ping -t -l 65550 ip 死亡之ping(发送大于64K的文件并一直ping就成了死亡之ping)
ipconfig 查看ip
ipconfig /release 释放ip
ipconfig /renew 重新获得ip
systeminfo 查看系统信息
arp -a
net view 查看局域网内其他计算机名称
shutdown -s -t 180 -c “你被黑了，系统马上关机”
dir 查看目录
cd 切换目录
start www.cracer.com 打开网页
start 123.txt 打开123.txt
copy con c:\123.txt 创建123.txt文件
hello cracer
ctrl+z 回车
md　目录名 创建目录
rd 123 删除文件夹
ren 原文件名　新文件名 重命名文件名
del 删除文件
copy 复制文件
move 移动文件
tree 树形列出文件夹结构
telnet
net use k: \192.168.1.1\c$
net use k: \192.168.1.1\c$ /del
net start 查看开启了哪些服务
net start 服务名　 开启服务；(如:net start telnet， net start schedule)
net stop 服务名 停止某服务
net user 用户名　密码　/add 建立用户
net user guest /active:yes 激活guest用户
net user 查看有哪些用户
net user 帐户名 查看帐户的属性
net locaLGroup administrators 用户名 /add 把“用户”添加到管理员中使其具有管理员权限,注意：administrator后加s用复数
net user guest 12345 用guest用户登陆后用将密码改为12345
net password 密码 更改系统登陆密码
net share 查看本地开启的共享
net share ipc$ 开启ipc$共享netshareipc$ /del 删除ipc$共享netsharec$ /del 删除C：共享
netstat -a 查看开启了哪些端口,常用netstat -an
netstat -n 查看端口的网络连接情况，常用netstat -an
netstat -v 查看正在进行的工作
netsh 网络工具
schtasks id号 开启已注册的某个计划任务 msg
schtasks /delete 停止所有计划任务，用参数/yes则不需要确认就直接停止
schtasks id号 /delete 停止某个已注册的计划任务
schtasks 查看所有的计划任务
attrib 文件名(目录名) 查看某文件（目录）的属性
attrib 文件名 -A -R -S -H 或 +A +R +S +H 去掉(添加)某文件的 存档，只读，系统，隐藏 属性；用＋则是添加为某属性
schtasks：设置任务
shctasks 1 /del:删除1号任务
tasklist:查看进程
taskkill: taskkill /f /in qq.exe:结束进程（1：22）
msg:用来给用户发送信息

六：本节的实验内容

实验一：

使用HKEY_LOCAL_MACHINE里面的sam文件将我们的来宾用户克隆成管理员用户：
a.先找到管理员的文件夹，找到对应的类型0x1f4,然后再找到对应的1F4文件，打开

b.将1F4文件中的F内容复制粘贴到来宾用户中即可

这种克隆方式能便于我们隐藏身份，不过仍不够好，普通人可能看不出来，不过有经验的取证专家能够一眼识别出来。