• 前言
• 被域策略拒绝本地登录时的解决办法
• 被本地安全策略拒绝本地登录时的解决办法
• secedit简介
• 补充说明
• 参考资料
• 关于作者

• 在另一台计算机（Win9X/2000/XP均可）上，使用域管理员账号连接到DC的SYSVOL共享，在"\\<DC name>\sysvol\<Domain name>\Policies\<policy GUID>\MACHINE\Microsoft\Windows NT\SecEdit"下找到该文本文件"GptTmpl.inf"。(路径中的"DC name"是你放置该组策略的域控制器的名字，"Domain name"是你的域的名字，"Policy GUID"是你要编辑的组策略对象的GUID，类似于"{31B2F340-016D-11D2-945F-05C04FB98439}")。
• 使用记事本打开"GptTmpl.inf"文件，找到文件中"Privilege Rights"小节下的 "SeDenyInteractiveLogonRight"关键字，它的值就是被拒绝本地登录的用户或组的SID，将这些SID删除，使 "SeDenyInteractiveLogonRight"关键字的值为空。修改完毕将文件保存回原位置。
• 使用记事本打开位于"\\<DC name>\sysvol\<Domain name>\Policies\<policy GUID>"下的 "GPT.INI"文件，提高"General"小节下的"Version"关键字的值，通常是加1000。这是我们修改的这个组策略对象的版本号，版本号提高后可以保证我们的更改被复制到其它DC上。修改完毕将文件保存回原位置。
• 域策略刷新后，问题即告解决。
• 本地登录DC重新设置域策略中的相关项目。

• 假设故障计算机的IP地址是"192.168.0.111"。在另一台计算机(Windows9X/2000/XP均可)上，使用"Telnet 192.168.0.111"命令使用管理员账号连接到故障计算机。（如果故障计算机的telnet"服务没有启动，可以通过网络使用"服务"MMC启动，具体方法不在详述）
• 通过telnet在故障计算机上执行"net share tmp$=d:\tmp"命令，将故障计算机上的"d:\tmp"隐藏共享为"tmp$"，共享权限缺省是everyone完全控制（此时要特别注意网络安全）。当然你也可以共享其它的目录。
• 通过telnet在故障计算机上执行"secedit /export /CFG d:\tmp\sec.inf"命令，将故障计算机的本地安全策略配置导入"d:\tmp\sec.inf"安全模板文件中，这是一个文本文件。
• 连接到故障计算机上的tmp$共享，用记事本打开共享文件夹中的"sec.inf"文件。找到文件中"Privilege Rights"小节下的“SeDenyInteractiveLogonRight"关键字，它的值就是被拒绝本地登录的用户或组的SID，将这些SID删除，使"SeDenyInteractiveLogonRight"关键字的值为空或者是随便另设置一个无关的值。文件修改完毕保存回原位置。
• 通过telnet在故障计算机上执行"secedit /configure /db c:\secedit.sdb /CFG d:\tmp\sec.inf"命令，使用新的安全模板和安全数据库重新配置故障计算机的本地安全策略。
• 通过telnet在故障计算机上执行"secedit /refreshpolicy machine_policy /enforce"命令，强制在故障计算机上刷新策略设置，问题即告解决。
• 本地登录故障计算机后，删除我们建立的Tmp$共享，重新设置本地安全策略中的相关项目。

• 参考资料1：微软KB数据库文章Q226243、Q257346、Q267553。
• 参考资料2：微软msnews新闻组microsoft.public.win2000.setup、security和general。
• 参考资料3：Windows2000中文帮助。

2004-08-20 By Dark Posted in TeCH·技术

第一个问题：ICF(albatross@dRL)

SP2的ICF有两大改进，一个是支持自反型连接，也即是程序的动态端口使用，一个就是默认关闭非认证端口，这次的修改就是打开原本关闭非认证端口的设置，效果就像是原来的ICF+动态端口支持，理论上来说安全性是有所下降，但以前的ICF下有多少被攻破的概率呢？我认为个人用的话这样的安全级也就够了，毕竟对于个人来说应用第一。如果是用来做服务器的系统还是不要改了。

速度的变化大还是小要看你用的是哪一类软件，同样的协议有不同的软件，工作方式也有所不同，我的速度是用BitComet测出的，其它的软件没有对比过，不过只要是有外部发起的连接的情况就必定有影响，在BitComet中很清楚，不改的时候，可用连接数有100多，连接上了40多，但速度是0，慢慢的原本连接上的数目也越来越少，都超时断开了，这一情况也可以用 netstat -a 来监测，很清楚的。

SP2的增强了的网络安全性上!它对于从外部发起的对本机的连接进行的限制，只有认证了的端口如135、21这类的才给予放行，而对于不定端口的连接则全部丢弃，而这类连接却是前面所提到的应用所要用到的!那怕你禁用防火墙的功能或是在防火墙里把BT这类软件添加到允许列表也不成，因为这个允许是从内向外的，而不是从外向内的!

怎么办呢？有办法，下面请各位先做下准备：

• 去微软官方 下载GetSid.exe
• 安装这个程序，默认安装在 c:\program files 下面
• 运行 CMD

进入：c:\program files\Resource Kit\目录，
运行：getsid.exe \\xx yy \\xx yy
(说明：xx=你的主机名，yy=你的用户名)，例如：我的主机名=xp 用户名=bill[补充说明：因为一台XP上可能有不同的用户隶属于不同的权限组,所以定义本机(local machine)比较好!适用于全部本地用户,直接用\\xx xx这个参数就行了]运行结果如下：

				
						
								
										C
								
								
										:\
								
								
										Program Files
								
								
										\
								
								
										Resource Kitget
								
								
										\
								
								
										sid
								
								
										.
								
								
										exe
								
								
										 \\
								
								
										xp xp
								
								
										 \\
								
								
										xp xp
								
						
				
		

				
						
								
										The SID 
								
								
										for 
								
								
										account Xp
								
								
										\
								
								
										xp matches account Xp
								
								
										\
								
								
										xp
								
						
				
		

				
						
								
										The SID 
								
								
										for 
								
								
										account Xp
								
								
										\
								
								
										xp is S
								
								
										-
								
								
										1
								
								
										-
								
								
										5
								
								
										-
								
								
										21
								
								
										-
								
								
										1060284298
								
								
										-
								
								
										2147108755
								
								
										-
								
								
										854245398
								
						
				
		

				
						
								
										The SID 
								
								
										for 
								
								
										account Xp
								
								
										\
								
								
										xp is S
								
								
										-
								
								
										1
								
								
										-
								
								
										5
								
								
										-
								
								
										21
								
								
										-
								
								
										1060284298
								
								
										-
								
								
										2147108755
								
								
										-
								
								
										854245398
								
						
				
		

然后在命令行窗口点右键，选标记，把
S-1-5-21-1060284298-2147108755-854245398选中，然后按回车

• 运行里输入 gpedit.msc ，打开项目：计算机配置 / 管理模板 / 网络 / 网络连接 /Windows 防火墙 / 允许通过验证的 IPSec 旁路
  选中启用，在空行里填入： O:DAG:DAD:(A;;RCGW;;;S-1-5-21-1060284298-2147108755-854245398)
• 确定，关闭组策略编辑器，关闭 CMD 窗口，打开 BT 软件，试一下吧 !

第二个问题：tcpip.sys(Syllable@CCF)

先参看这篇文章并下载该补丁(英语及德语,注意程序默认是Patch为50并发,可以在CMD中用-?参数来定义取值范围)

SP2后修改注册表或者替换tcpip.sys都无法解除tcp并发线程的限制。根本原因是因为sp2建立了Service Pack 2 OOB Messages动态链接库，实时监控每一个进程的并发线程数目，只要超过了它认为的安全线程数目就开始蔽屏掉部分线程。这是为了防止震荡波这类的蠕虫病毒，但是bt、emule这类的多线程的点对点工具也一起陪绑了，对于注册表的说明 微软有个说明在这里 ：

				
						
								
										TcpNumConnections
								
								
										
												
												
										
								
						
				
		

				
						
								项：
								
										TcpipParameters
								
								
										
												
												
										
								
						
				
		

				
						
								数值类型：
								
										REG_DWORD
								
								
										 数字
								
						
				
		

				
						
								有效范围：
								
										0
								
								
										 - 
								
								
										0
								
								
										xfffffe
								
								
										
												
												
										
								
						
				
		

				
						
								默认值：
								
										0
								
								
										xfffffe
								
								
										
												
												
										
								
						
				
		

				
						
								说明：此参数限制 
								
										TCP
								
								
										 能同时打开的最大连接数。
								
						
				
		

sp2的并发网络限制不是在这个上面，而是在动态连接上面，所以上面的那个补丁是来破解动态的限制的，的确有很多人没有遇到这个问题，但是有很多的人在开了BT、EM之后连网页都打不开，或者速度极慢，用这个可以破解。

ftp使用的内部命令如下(中括号表示可选项):

1.![cmd[args]]：在本地机中执行交互shell，exit回到ftp环境，如： !ls*.zip.
2.$ macro-ame[args]：执行宏定义macro-name.
3.account[password]：提供登录远程系统成功后访问系统资源所需的补 充口令。
4.append local-file[remote-file]：将本地文件追加到远程系统主机， 若未指定远程系统文件名，则使用本地文件名。
5.ascii：使用ascii类型传输方式。
6.bell：每个命令执行完毕后计算机响铃一次。
7.bin：使用二进制文件传输方式。
8.bye：退出ftp会话过程。
9.case：在使用mget时，将远程主机文件名中的大写转为小写字母。
10.cd remote-dir：进入远程主机目录。
11.cdup：进入远程主机目录的父目录。
12.chmod mode file-name：将远程主机文件file-name的存取方式设置为 mode，如：chmod 777
a.out 。
13.close：中断与远程服务器的ftp会话(与open对应)。
14.cr：使用asscii方式传输文件时，将回车换行转换为回行。
15.delete remote-file：删除远程主机文件。
16.debug[debug-value]：设置调试方式， 显示发送至远程主机的每条命 令，如： deb up 3，若设为0，表示取消debug。
17.dir[remote-dir][local-file]：显示远程主机目录，并将结果存入本 地文件local-file。
18.disconnection：同close。
19.form format：将文件传输方式设置为format，缺省为file方式。
20.get remote-file[local-file]： 将远程主机的文件remote-file传至 本地硬盘的local-file。
21.glob：设置mdelete，mget，mput的文件名扩展，缺省时不扩展文件名， 同命令行的-g参数。
22.hash：每传输1024字节，显示一个hash符号(#)。
23.help[cmd]：显示ftp内部命令cmd的帮助信息，如：help get。
24.idle[seconds]：将远程服务器的休眠计时器设为[seconds]秒。
25.image：设置二进制传输方式(同binary)。
26.lcd[dir]：将本地工作目录切换至dir。
27.ls[remote-dir][local-file]：显示远程目录remote-dir， 并存入本 地文件local-file。
28.macdef macro-name：定义一个宏，遇到macdef下的空行时，宏定义结 束。
29.mdelete[remote-file]：删除远程主机文件。
30.mdir remote-files local-file：与dir类似，但可指定多个远程文件， 如： mdir *.o.*.zipoutfile 。
31.mget remote-files：传输多个远程文件。
32.mkdir dir-name：在远程主机中建一目录。
33.mls remote-file local-file：同nlist，但可指定多个文件名。
34.mode[modename]：将文件传输方式设置为modename， 缺省为stream方 式。
35.modtime file-name：显示远程主机文件的最后修改时间。
36.mput local-file：将多个文件传输至远程主机。
37.newer file-name： 如果远程机中file-name的修改时间比本地硬盘同 名文件的时间更近，则重传该文件。
38.nlist[remote-dir][local-file]：显示远程主机目录的文件清单，并 存入本地硬盘的local-file。
39.nmap[inpattern outpattern]：设置文件名映射机制， 使得文件传输 时，文件中的某些字符相互转换，如：nmap $1.$2.$3&1，$2;.&2，$3;，则 传输文件a1.a2.a3时，文件名变为a1，a2。该命令特别适用于远程主机为非UNIX 机的情况。
40.ntrans[inchars[outchars]]：设置文件名字符的翻译机制，如ntrans 1R，则文件名LLL将变为RRR。
41.open host[port]：建立指定ftp服务器连接，可指定连接端口。
42.passive：进入被动传输方式。
43.prompt：设置多个文件传输时的交互提示。
44.proxy ftp-cmd：在次要控制连接中，执行一条ftp命令， 该命令允许 连接两个ftp服务器，以在两个服务器间传输文件。第一条ftp命令必须为open， 以首先建立两个服务器间的连接。
45.put local-file[remote-file]：将本地文件local-file传送至远程主 机。
46.pwd：显示远程主机的当前工作目录。
47.quit：同bye，退出ftp会话。
48.quote arg1，arg2...：将参数逐字发至远程ftp服务器，如： quote syst.
49.recv remote-file[local-file]：同get。
50.reget remote-file[local-file]：类似于get，但若local-file存在， 则从上次传输中断处续传。
51.rhelp[cmd-name]：请求获得远程主机的帮助。
52.rstatus[file-name]：若未指定文件名，则显示远程主机的状态，否 则显示文件状态。
53.rename文章出处：bbs.nju.edu.cn[to]：更改远程主机文件名。
54.reset：清除回答队列。
55.restart marker：从指定的标志marker处，重新开始get或put，如： restart 130。
56.rmdir dir-name：删除远程主机目录。
57.runique：设置文件名唯一性存储，若文件存在，则在原文件后加后缀 .1，.2等。
58.send local-file[remote-file]：同put。
59.sendport：设置PORT命令的使用。
60.site arg1，arg2...：将参数作为SITE命令逐字发送至远程ftp主机。
61.size file-name：显示远程主机文件大小，如：site idle 7200。
62.status：显示当前ftp状态。
63.struct[struct-name]：将文件传输结构设置为struct-name， 缺省时 使用stream结构。
64.sunique：将远程主机文件名存储设置为唯一(与runique对应)。
65.system：显示远程主机的操作系统类型。
66.tenex：将文件传输类型设置为TENEX机的所需的类型。
67.tick：设置传输时的字节计数器。
68.trace：设置包跟踪。
69.type[type-name]：设置文件传输类型为type-name，缺省为ascii，如： type binary，设置二进制传输方式。
70.umask[newmask]：将远程服务器的缺省umask设置为newmask，如： umask 3。
71.user user-name[password][account]：向远程主机表明自己的身份， 需要口令时，必须输入口令，如：user anonymous my@email。
72.verbose：同命令行的-v参数，即设置详尽报告方式，ftp服务器的所有 响应都将显示给用户，缺省为on.
73.?[cmd]：同help. 梦雨紫轩

COPY命令的用法

1.这个是操作系统提供的帮助，都说这是个简单的命令

E:\>copy /?
将一份或多份文件复制到另一个位置。

COPY [/V] [/N] [/Y | /-Y] [/Z] [/A | /B ] source [/A | /B]
[+ source [/A | /B] [+ ...]] [destination [/A | /B]]

source 指定要复制的文件。
/A 表示一个 ASCII 文本文件。
/B 表示一个二进位文件。
destination 为新文件指定目录和/或文件名称。
/V 验证新文件写得正确。
/N 当复制一份带有非 8dot3 名称的文件，
如果可能的话，使用短文件名。
/Y 取消提示以确认您希望改写
一份现存目录文件。
/-Y 引起提示确认您想改写一份
现存目标文件。
/Z 用可重新启动模式复制已联网的文件。

命令选项 /Y 可以在 COPYCMD 环境变量中预先设定。
这可能会被命令行上的 /-Y 替代。除非 COPY
命令是在一个批文件脚本中执行的，默认应为
在改写时提示。

要附加文件，请为目标指定一个文件，为源指定
数个文件(用通配符或 file1+file2+file3 格式)。

2. COPY /B 选项

一旦文件保存以后，文件的日期和时间就写到文件中，可以用dir /t来查看这个日期和时间。
我们可以通过copy命令来更改这个日期和时间，命令格式如下：
C:\>COPY /B filename+,,
如果要将当前的时间和日期指派给文件而不修改文件，你就可以使用这个命令。

顺便说一下，如果你不想将时间日期更改为今天的日期时间，你可以用DATE和TIME命令将日期和时间修改成必要的时刻。
然后用"C:\>COPY /B+,,"修改，然后别忘了把时间改回来。

3.合并选项

　　一般情况下，它主要用于合并相同类型的文件，比如将两个文本文件合并为一个文本文件、将两个独立的MPEG视频文件合并为一个连续的视频文件等。那么，如果用它合并两个不同类型的文件，结果会怎样呢？

　比如你有一段私人信息要隐藏起来，请先录入并保存为文本文件，假设保存为001.txt。另找一个非文本文件，最好为图片文件或可执行文件。以图片文件为例，假设它的文件名为002.jpg。如果把它们都放到D盘根目录下，那么在Windows的MS-DOS方式

下执行以下命令：

　　d:\Copy 002.jpg/b + 001.txt/a 003.jpg

　　其中参数/b指定以二进制格式复制、合并文件；参数/a指定以ASCII格式复制、合并文件。
这里要注意文件的顺序，二进制格式的文件应放在加号前，文本格式的文件放在加号后。

　　执行该命令后，生成了一个新文件003.jpg。回到Windows中用图片浏览软件打开这个它，你会发现它与002.jpg的显示结果一模一样。然后用记事本打开003.jpg，你看到什么了？一堆乱码吗？没错！但如果你按下Ctrl+End键将光标移至文件的尾部，你再看看！是不是001.txt文件中的内容？

　　按照这种方法，你可以轻松地把一些重要信息隐藏起来，比如用户ID、密码、重要私人信息等。

　　有一点要提醒大家：就是这个文本文件的前面最好空上3行以上，这样它头部的内容就不会丢失。这主要是由于WINDOWS的文件保留块处理的问题，类似的UNIX命令是DD.

记不记得有的光盘打开看都是图片，可是用指定的浏览器就可以看到其他的东西，其实没有什么神秘的，我们也可以试试看。

4.COPY CON
COPY CON，拷贝一个DOS设备。
COPY CON filename
这个命令将保存接下来的输入到文件中。
DOS有很多设备，CON指屏幕和键盘.

同样，你可以用COPY命令把文件输出到屏幕上
COPY filename CON
这个命令类似于UNIX上VI的部分功能

5.COPY时在文件名上附加时间

有人问过COPY时怎么附加时间到文件上，可以这样实现
C:\>COPY filename filename%date:~4,10%
类似的你可以试试
C:\>MD %date%
C:\>MD %date:~4,10%
C:\>MD %date:~0,3%
看看你需要什么。

DATE命令的用法粗解
DATE命令的用法

1.系统帮助
C:\>date /?
显示或设置日期。

DATE [/T | date]

仅键入 DATE 而不加参数，可以显示当前日期设置，并且提示
您输入新的日期。按 ENTER 键即可保持原有日期。

如果命令扩展名被启用，DATE 命令会支持 /T 命令选项；该命令选项告诉
命令只输出当前日期，但不提示输出新日期。

2.DATA /T 参数说明

此参数输出当前日期，例如：

C:\>DATE /T
2002-10-28 星期一

这个日期格式可能不同与环境变量中的日期格式，如

C:\>echo %DATE%
星期一 2002-10-28

用for命令，可以组合出不同的表达，例如：

C:\>for /f "tokens=1,2" %a in ('date/t') do set date=%a

C:\>set date=2002-10-28
这条语句所做的的就是在date/t中取出不含星期的部分。

我们可以用更简单的命令得出相同的结果，如：

C:\>echo %DATE%
星期一 2002-10-28

C:\>echo %DATE:~4,10%
2002-10-28

如果想在批处理中以日期建立文件夹或者文件名都可以简单的做到了，如

C:\>mkdir %DATE:~4,10%
C:\>dir 2*
驱动器 C 中的卷是 本地磁盘
卷的序列号是 402A-3A7E

C:\ 的目录

2002-10-28 19:34 <DIR> 2002-10-28
0 个文件 0 字节
1 个目录 79,282,176 可用字节

C:\>copy mylist mylist%DATE:~4,10%
已复制 1 个文件。

C:\>dir my*
驱动器 C 中的卷是 本地磁盘
卷的序列号是 402A-3A7E

C:\ 的目录

2002-09-15 10:00 38 mylist
2002-09-15 10:00 38 mylist2002-10-28
3 个文件 446 字节
0 个目录 79,282,176 可用字节

这对于Oracle中的某些自动操作是很有用的。

可以看到，通过简单的DOS命令的组合，我们可以做到很多看似复杂的事情，只是我们的思维

并不总是能够到达那里。

3.关于%DATE:~4,10%的格式

这个命令的意思就是在DATE的输出中，取4-10中间的字符。
对于不同的机器，可能有不同的时间格式，这个可以在控制面板里设置。
可以通过ECHO命令察看当前设置，如：

C:\>echo %DATE%
星期一 2002-10-28

当然，我们可以同样取到星期的值：

C:\>echo %DATE:~0,3%
星期一

当然也可以从不同方向来：

C:\>echo %DATE:~-10%
2002-10-28

C:\>echo %DATE:~0,-10%
星期一

NBTSTAT和NETSTAT这两个命令有什么区别？

--------------------------------------------------------------------------------

icech搜集　2002-8-12 20:44:58　pchome.net

netstat和nbtstat可以说都是Windows下的网络检测工具，他们的输入形式很相似而且都是需要在安装了TCP/IP协议以后才可以使用的，但两者的功能却不同。首先我们来看看netstat这个命令：
C:＼>netstat -h

Displays protocol statistics and current TCP/IP network connections.
显示协议统计和当前的 TCP/IP 网络连接。

NETSTAT [-a] [-e] [-n] [-s] [-p proto] [-r] [interval]

-a Displays all connections and listening ports.
显示所有连接和侦听端口。
此命令可以显示出你的计算机当前所开放的所有端口，其中包括TCP端口和UDP端口。有经验的管理员会经常的使用它，以此来查看计算机的系统服务是否正常，是否被“黑客”留下后门，木马等。比如说我就有一个习惯，在刚刚装了系统配置好服务器以后我就会运行一下netstat -a看看系统开放了什么端口，并记录下来，以便以后作为参考使用，当发现有不明的端口时就可以及时的做出对策。由于这个参数同时还会显示出当前计算机有什么人的IP正连接着你的服务器，所以也是一种实时入侵检测工具，如发现有个IP连接着不正常的端口，你也可以及时做出有效对策。示例：
C:＼>netstat -a

Active Connections

Proto Local Address Foreign Address State
TCP iceblood:ftp iceblood.yofor.com:0 LISTENING
TCP iceblood:telnet iceblood.yofor.com:0 LISTENING
TCP iceblood:smtp iceblood.yofor.com:0 LISTENING
TCP iceblood:http iceblood.yofor.com:0 LISTENING
TCP iceblood:https iceblood.yofor.com:0 LISTENING
………………
TCP iceblood:1171 iceblood.yofor.com:3306 ESTABLISHED
TCP iceblood:ms-sql-s iceblood.yofor.com:0 LISTENING
TCP iceblood:3306 iceblood.yofor.com:1171 ESTABLISHED
………………
UDP iceblood:ms-sql-m *:*
UDP iceblood:4000 *:*
UDP iceblood:4001 *:*
UDP iceblood:4002 *:*
从上面的情况就可以知道我的计算机现在开放的TCP端口有ftp(21),telnet(23),smtp(25),http(80),https(443),1171连接着自己的mysql(3306)，ms-sql-s(1433),UDP端口有ms-sql-m(1433),4000-4002都是我的OICQ。：P

-e Displays Ethernet statistics. This may be combined with the -s option.
显示以太网统计。该参数可以与 -s 选项结合使用。
这个参数正如所说的，将在下面再跟大家说。

-n Displays addresses and port numbers in numerical form.
以数字格式显示地址和端口号（而不是尝试查找名称）。
大家如果只输入netstat的话就会看见如下类似的结果：
C:＼>netstat

Active Connections

Proto Local Address Foreign Address State
TCP iceblood:1171 iceblood.yofor.com:3306 ESTABLISHED
TCP iceblood:3306 iceblood.yofor.com:1171 ESTABLISHED
TCP iceblood:1219 202.109.72.40:6667 ESTABLISHED
TCP iceblood:3566 SERVER-2:microsoft-ds ESTABLISHED
你会发现这些和netstat -a有相同的地方，只不过netstat可以很清楚的列举出来当前和你连接的所有计算机，在Local Address和Foreign Address里你也发现大多数给出的只是计算机NetBios名，却还是不知道当前和你连接的IP，但如果你加上-n参数就不同了，示例如下：
C:＼>netstat -n

Active Connections

Proto Local Address Foreign Address State
TCP 127.0.0.1:1171 127.0.0.1:3306 ESTABLISHED
TCP 127.0.0.1:3306 127.0.0.1:1171 ESTABLISHED
TCP 192.168.1.21:1219 202.109.72.40:6667 ESTABLISHED
TCP 192.168.1.21:3566 192.168.1.3:445 ESTABLISHED
TCP 192.168.1.21:3577 202.107.208.187:110 TIME_WAIT
TCP 192.168.1.21:3578 192.168.1.24:445 ESTABLISHED
看！是不是很明了了？对方的IP全部都出来了。其实-n参数其实也就是告诉netstat不解析对方计算机的NetBios名。

-p proto Shows connections for the protocol specified by proto; proto may be TCP or UDP. If used with the -s option to display
per-protocol statistics, proto may be TCP, UDP, or IP.
显示由 protocol 指定的协议的连接；protocol 可以是 tcp 或 udp。如果与 -s 选项一同使用显示每个协议的统计，protocol 可以是 tcp udp、icmp 或 ip。
这个参数你可以指定查看什么协议的连接状态，比如我想查看当前计算机正在连接的所有TCP端口，示例如下：
C:＼>netstat -p tcp

Active Connections

Proto Local Address Foreign Address State
TCP iceblood:1171 iceblood.yofor.com:3306 ESTABLISHED
TCP iceblood:3306 iceblood.yofor.com:1171 ESTABLISHED
TCP iceblood:1219 202.109.72.40:6667 ESTABLISHED
…………

-r Displays the routing table.
显示路由表的内容。
这个没有特别的，可以输入netstat -r以后自己研究。

-s Displays per-protocol statistics. By default, statistics are shown for TCP, UDP and IP; the -p option may be used to specify a subset of the default.
显示每个协议的统计。默认情况下，显示 TCP、UDP、ICMP 和 IP 的统计。-p 选项可以用来指定默认的子集。
这个参数让我们来配合-e来使用。
C:＼>netstat -s -e
Interface Statistics

Received Sent

Bytes 505385542 41745793
Unicast packets 150106 150547
Non-unicast packets 313008 807
Discards 0 0
Errors 0 0
Unknown protocols 327149

IP Statistics

Packets Received = 379906
Received Header Errors = 0
Received Address Errors = 215043
Datagrams Forwarded = 0
Unknown Protocols Received = 0
Received Packets Discarded = 0
Received Packets Delivered = 166002
Output Requests = 151620
Routing Discards = 0
Discarded Output Packets = 0
Output Packet No Route = 0
Reassembly Required = 0
Reassembly Successful = 0
Reassembly Failures = 0
Datagrams Successfully Fragmented = 0
Datagrams Failing Fragmentation = 0
Fragments Created = 0

TCP Statistics

Active Opens = 1556
Passive Opens = 1
Failed Connection Attempts = 4
Reset Connections = 143
Current Connections = 4
Segments Received = 141243
Segments Sent = 140462
Segments Retransmitted = 477

UDP Statistics

Datagrams Received = 15125
No Ports = 9634
Receive Errors = 0
Datagrams Sent = 10628
看！嘿嘿！你的网络基本状态都在这里面，比如你接受了多少数据包，多少字节，有多少TCP端口打开，有多少UDP端口打开，太丰富了……这些就留给各位高手自己慢慢琢磨去了。

interval Redisplays selected statistics, pausing interval seconds between each display. Press CTRL+C to stop redisplaying statistics. If omitted, netstat will print the current configuration information once.
重新显示所选的统计，在每次显示之间暂停 interval 秒。按 CTRL+B 停止重新显示统计。如果省略该参数，netstat 将打印一次当前的配置信息。
这个就是自己定义检查网络状况的时间的参数，比如我想每过10秒检查一次我的计算机当前TCP连接的状态你就输入netstat 10 -p tcp这样netstat就会每过10秒就把你所有的TCP端口检查一次。

--------------------

C:＼>nbtstat
Displays protocol statistics and current TCP/IP connections using NBT (NetBIOS over TCP/IP).
该诊断命令使用 NBT（TCP/IP 上的 NetBIOS）显示协议统计和当前 TCP/IP 连接。

NBTSTAT [ [-a RemoteName] [-A IP address] [-c] [-n] [-r] [-R] [-RR] [-s] [-S] [interval] ]

-a (adapter status) Lists the remote machine\''s name table given its name
使用远程计算机的名称列出其名称表。
此参数可以通过远程计算机的NetBios名来查看他的当前状态。示例
C:＼>nbtstat -a iceblood

本地连接:
Node IpAddress: [192.168.1.2] Scope Id: []

NetBIOS Remote Machine Name Table

Name Type Status
---------------------------------------------
ICEBLOOD <00> UNIQUE Registered
WORK <00> GROUP Registered
ICEBLOOD <20> UNIQUE Registered
WORK <1E> GROUP Registered
ICEBLOOD <03> UNIQUE Registered
ICEBLOOD$ <03> UNIQUE Registered
LIU_ICEBLOOD <03> UNIQUE Registered

MAC Address = 00-D0-09-52-91-DC
看见了？从上面就可以知道我的计算机当前计算机的NetBios名为iceblood属于work组或域，当前有liu_iceblood登陆的该计算机，嘿嘿~全都出来了。当然你也可以把计算机名换为IP也就是netstat -a 192.168.1.21，效果和上面的一样。这就有点像UNIX/Linux的finger了，如果你经常去netstat -a一台NT主机，你也可以收集到一些对方计算机中的用户列表了。

-A (Adapter status) Lists the remote machine\''s name table given its IP address.
使用远程计算机的 IP 地址并列出名称表。
这个和-a不同的是就是这个只能使用IP，其实-a就包括了-A的功能了，我也不再介绍。

-c (cache) Lists NBT\''s cache of remote [machine] names and their IP addresses
给定每个名称的 IP 地址并列出 NetBIOS 名称缓存的内容。
这个参数表示的是在你的NetBIOS里缓存的你连接过的计算机的IP。示例：
C:＼>nbtstat -c

本地连接:
Node IpAddress: [192.168.1.21] Scope Id: []

NetBIOS Remote Cache Name Table

Name Type Host Address Life [sec]
------------------------------------------------------------
WORK <20> UNIQUE 192.168.1.20 597
从上面就可以知道你刚刚和IP为192.168.1.20的计算机的NetBIOS连接过。而这个命令也提供给了“黑客”在入侵了对方的主机以后进而入侵到内部网的一个有利的线索。因为NetBIOS的Cache里储存的IP是对方已经信任你的计算机的IP。聪明的“黑客”当然也会从这个方便的地方入手了。

-n Lists local NetBIOS names.
列出本地 NetBIOS 名称。
此参数和netstat -a类似，只是这个是检查本地的，如果把netstat -a后面的IP换为自己的就和netstat -n的效果是一样的了。

-r Lists names resolved by broadcast and via WINS
列出 Windows 网络名称解析的名称解析统计。在配置使用 WINS 的 Windows 2000 计算机上，此选项返回要通过广播或 WINS 来解析和注册的名称数。
这个正如上面所说的，列出当前Windows 网络名称解析的名称解析统计。

-R Purges and reloads the remote cache name table
清除 NetBIOS 名称缓存中的所有名称后，重新装入 Lmhosts 文件。
这个参数就是清除netstat -c所能看见的Cache里的IP缓存的。

-S Lists sessions table with the destination IP addresses
显示客户端和服务器会话，只通过 IP 地址列出远程计算机。
此参数可以查看计算机当前正在会话的NetBIOS。示例：
C:＼>nbtstat -S

本地连接:
Node IpAddress: [192.168.1.21] Scope Id: []

NetBIOS Connection Table

Local Name State In/Out Remote Host Input Output

----------------------------------------------------------------------------

ICEBLOOD <00> Connected Out 192.168.1.22 8MB 316KB
ICEBLOOD <03> Listening
ICEBLOOD$ <03> Listening
LIU_ICEBLOOD <03> Listening

从上面就可以知道我的计算机现在正在和192.168.1.22进行会话，看得出是在复制文件，而且是从对方往自己的计算机里复制。通过以上参数所看到的信息到了“黑客”的手中也是非常重要的线索了。

-s Lists sessions table converting destination IP
显示客户端和服务器会话。尝试将远程计算机 IP 地址转换成使用主机文件的名称。
此参数和-S差不多，只是这个会把对方的NetBIOS名给解析出来。

-RR (ReleaseRefresh) Sends Name Release packets to WINs and then, starts Refresh
释放在 WINS 服务器上注册的 NetBIOS 名称，然后刷新它们的注册。

interval Redisplays selected statistics, pausing interval seconds between each display. Press Ctrl+C to stop redisplaying statistics.
重新显示所选的统计，在每次显示之间暂停 interval 秒。按 CTRL+B 停止重新显示统计。如果省略该参数，netstat 将打印一次当前的配置信息。
此参数和netstat的一样，nbtstat的是配合-s和-S一起使用的

Nslookup 命令使用浅析

Nslookup 是一个监测网络中DNS服务器是否能正确实现域名解析的命令行工具。它在 Windows NT/2000/XP 中均可使用,但在Windows 98中却没有集成这一个工具。
　　Nslookup 必须要安装了TCP/IP 协议的网络环境之后才能使用。下面笔者就举一个实例来介绍Nslookup的具体操作过程。
　　现在网络中已经架设好了一台 DNS 服务器，主机名称为 linlin ,它可以把域名 www.company.com 解析为 192.168.0.1 的IP地址，这是我们平时用得比较多的正向解析功能。
检测步骤如下：
在 Windows 2000 中单击“开始”－>“程序”－>“附件”－>“命令提示符”，在 C:\>　的后面键入 Nslookup www.company.com ，“回车”之后即可看到如下结果：
　　Server: linlin
　　Address: 192.168.0.5
　　Name: www.company.com
　　Address: 192.168.0.1
　　以上结果显示，正在工作的 DNS 服务器的主机名为 linlin ，它的 IP 地址是192.168.0.5 ，而域名www.company.com 所对应的 IP 地址为 192.168.0.1 。那么，在检测到 DNS 服务器 linlin 已经能顺利实现正向解析的情况下，它的反向解析是否正常呢? 也就是说，能否把IP地址192.168.0.1反向解析为域名www.company.com ?我们在命令提示符C:\>的后面键入 Nslookup 192.168.0.1 ，得到结果如下：
　　Server: linlin
　　Address: 192.168.0.5
　　Name: www.company.com
　　Address: 192.168.0.1
这说明，DNS 服务器 linlin 的反向解析功能也正常。

然而，有的时候，我们键入Nslookup www.company.com ，却出现如下结果：
Server: linlin
Address: 192.168.0.5
*** linlin can't find www.company.com: Non-existent domain

这种情况说明网络中DNS服务器 linlin 在工作，却不能实现域名 www.company.com的正确解析。此时，要...渲们榭觯词欠?/a> www.company.com 这一条域名对应的 IP 地址记录已经添加到了DNS的数据库中。

还有的时候，我们键入Nslookup www.company.com ，会出现如下结果：
*** Can't find server name for domain: No response from server
*** Can't find www.company.com : Non-existent domain
这时，说明测试主机在目前的网络中，根本没有找到可以使用的 DNS 服务器。此时，我们要对整个网络的连通性作全面的检测，并检查DNS服务器是否处于正常工作状态，采用逐步排错的方法，找出 DNS 服务不能启动的根源。

除了可以在命令行下直接进行基本的DNS查询之外，直接启动nslookup将进入一个交互模式，在这里能查询各种类型的DNS数据。
　　DNS的名字解析数据可以有各种不同的类型，有设置这个zone的参数的SOA类型数据，有设置名字对应的IP地址的A类型数据，有设置邮件交换的MX类型数据。这些不同类型的数据均可以通过nslookup的交互模式来查询，在查询过程中可以使用 set type命令设置相应的查询类型。

如：
C:>nslookup
Default Server: ns.hazzptt.net.cn
Address: 202.102.224.68

> set type=mx
> yahoo.com
Server: ns3.bta.net.cn
Address: 202.106.196.115

Non-authoritative answer:
yahoo.com 　　　　　　MX preference = 5, mail exchanger = mx4.mail.yahoo.com
yahoo.com　　　 　　　MX preference = 10, mail exchanger = mta-v18.mail.yahoo.com
yahoo.com 　　　　　　MX preference = 1, mail exchanger = mx1.mail.yahoo.com
yahoo.com 　　　　　　MX preference = 1, mail exchanger = mx2.mail.yahoo.com
yahoo.com 　　　　　　MX preference = 1, mail exchanger = mx3.mail.yahoo.com

yahoo.com 　　　　　　　 nameserver = ns1.yahoo.com
yahoo.com 　　　　　　　 nameserver = ns3.europe.yahoo.com
yahoo.com 　　　　　　 　nameserver = ns5.dcx.yahoo.com
mx4.mail.yahoo.com 　　　internet address = 216.136.129.11
mx4.mail.yahoo.com 　　　internet address = 216.136.129.13
mx4.mail.yahoo.com 　　　internet address = 216.136.129.12
mx4.mail.yahoo.com 　　　internet address = 216.136.129.4
mx4.mail.yahoo.com 　　　internet address = 216.136.129.17
mx4.mail.yahoo.com 　　　internet address = 216.136.129.18
mx4.mail.yahoo.com 　　　internet address = 216.136.129.15
mx4.mail.yahoo.com 　　　internet address = 216.136.129.14
mx4.mail.yahoo.com 　　　internet address = 216.136.129.16
mta-v18.mail.yahoo.com 　internet address = 216.136.129.11
mx1.mail.yahoo.com 　　　internet address = 64.157.4.87
mx1.mail.yahoo.com 　　　internet address = 64.157.4.89
mx1.mail.yahoo.com 　　　internet address = 64.157.4.86
mx2.mail.yahoo.com 　　　internet address = 64.157.4.83
mx2.mail.yahoo.com 　　　internet address = 64.157.4.84
mx2.mail.yahoo.com 　　　internet address = 64.157.4.85
mx3.mail.yahoo.com 　　　internet address = 64.157.4.81
mx3.mail.yahoo.com 　　　internet address = 64.157.4.82
ns1.yahoo.com 　　　　　 internet address = 204.71.200.33
>

这个例子使用nslookup来查询yahoo.com这个zone的邮件服务器，需要将类型设置为mx来执行查询。

如果所要查的某域名的MX记录不存在，则出现与以下类似的提示：
C:>nslookup
Default Server: ns3.bta.net.cn
Address: 202.106.196.115

> set type=mx
> 5555555.com.cn
Server: ns3.bta.net.cn
Address: 202.106.196.115

DNS request timed out.
timeout was 2 seconds.
*** ns3.bta.net.cn can't find 5555555.com.cn: Non-existent domain

Microsoft Windows XP Embedded

The Enhanced Write Filter (EWF) protects a volume from write access. EWF provides the following benefits:

·                 Write-protects one or more partitions on your system

·                 Enables read-only media, such as CD-ROM or flash, to boot and run

EWF can be deployed on a variety of media types and configurations. The two major components for EWF are the EWF Overlay and the EWF Volume:

·                 EWF Overlay : EWF protects the contents of a volume by redirecting all write operations to another storage location. This location is called an overlay. An EWF overlay can be in RAM, or on another disk partition. An overlay is conceptually similar to a transparency overlay on an overhead projector. Any change that is made to the overlay affects the picture as it is seen in the aggregate, but if the overlay is removed, the underlying picture remains unchanged. For more information, see EWF Modes.

·                 EWF Volume : In addition to the EWF overlay, an EWF volume is created on the media in unpartitioned disk space. This EWF volume stores configuration information about all of the EWF-protected volumes on the device, including the number and sizes of protected volumes and overlay levels. Only one EWF volume is created on your device, regardless of how many disks are in the system. If your media does not support multiple partitions, you can save the EWF configuration information in the system's registry. For more information, see EWF Volume Configuration.

There can be only one EWF volume on the system. However, there can be more than one protected volume, and it is possible to have some volumes that are protected by disk overlays while others are protected by RAM overlays.

There are three different modes of EWF based on the different configurations for the EWF overlay and the EWF volume.

EWF RAM Reg mode is similar to EWF RAM mode. It differs from the standard EWF RAM mode only in that the configuration information that is stored in the EWF volume is instead stored in the system's registry. EWF RAM Reg mode uses the following configuration:

·                 EWF Overlay is stored in RAM

·                 EWF volume is stored in the system's registry

The EWF RAM Reg overlay stores the write cache in RAM. When EWF RAM Reg mode is configured, EWF configuration is skipped during the First Boot Agent (FBA) process.

After FBA is complete, you must manually edit the system registry to enable EWF. No EWF volume is created on the system. EWF RAM mode supports only one overlay level.

Use RAM Reg mode in the following scenarios:

·                 Protecting media that has only a single partition, or media that cannot be partitioned

·                 Protecting removable media, such as CompactFlash, USB, or IEEE 1394 devices

·                 Protecting media that does not support standard RAM overlays

·                 Minimizing the number of write operations that are made to write-sensitive devices, such as CompactFlash

The following diagram shows an example of how EWF RAM Reg mode is configured on your device.

Because the EWF volume information is kept in the registry, if the registry is write-protected, attempts to disable EWF will fail. You must use the EWF Manager commitanddisable command to commit the changes to the registry and disable EWF. For more information, see EWF Manager Commands.

If you are protecting more than one partition, you only need to commit the overlay to the partition where the Registry is stored. For example, if you had two protected partitions, C: and D:, you would use the EWF Manager command to disable the overlay on D:, and then commit the changes to the registry on C:.

				
						
								ewfmgr d: -disable
						
				
		

				
						
								ewfmgr c: -commit
						
				
		

For more information about configuring EWF RAM Reg mode, see Configuring EWF RAM Reg Mode.

You can also protect multiple volumes by using EWF RAM Reg modes. For more information, see Protecting Multiple Volumes By Using RAM Reg Mode.

EWF RAM mode uses the following configuration:

·                 The EWF Overlay type is stored in RAM

·                 The EWF volume is stored on disk

The EWF RAM overlay stores the write cache in RAM. When EWF RAM mode is configured during the First Boot Agent (FBA) phase, the EWF volume is created in available space on media. The EWF volume stores the EWF master volume table and an overlay stack that points to the overlay data in system memory. When you shut down the target system, the overlay data in system memory is lost. EWF RAM mode supports only one overlay level.

Use EWF RAM mode in the following scenarios:

·                 Protecting data on a read/write volume from being altered or corrupted

·                 Deploying a run-time image on a stateless device

·                 Deploying a run-time image on a device without persistent read/write storage

The following diagram shows an example EWF RAM mode configuration.

EWF RAM overlays require additional RAM to store the write cache. RAM is not pre-allocated by EWF; therefore EWF uses free RAM until the system runs out of memory. RAM requirements for the EWF RAM overlay vary. They depend on the amount of write operations that are made to the overlay. It is recommended that while you test your run-time image, you review the memory usage of your applications in Windows Task Manager.

Note    EWF allocates space for the RAM overlay from physical RAM pages, and can surpass the standard Windows non-paged limit of 256 MB. However EWF does allocate a small amount of space from the non-paged memory pool. Non-paged RAM size is typically less than 1.5% of the size of the RAM overlay, and the non-paged RAM usage is less than .2% of the total usage.

For more information, see Configuring EWF RAM Mode.

EWF RAM Reg mode is a type of RAM overlay that does not require an EWF volume to be present on the system. The metadata information that is normally kept in the EWF volume is instead stored in the registry. For more information, see EWF RAM Reg Mode.

The minimum EWF volume size for EWF RAM mode is 64 KB.

By adding the Enhanced Write Filter (EWF) component to your configuration, you can reduce the wear on your CompactFlash device. Before you create your configuration for a CompactFlash device, be aware of the following considerations:

·                 The instructions provided in How to Configure EWF for CompactFlash show how to implement EWF RAM Reg Mode. In EWF RAM Reg mode, the EWF volume configuration information is stored in the registry, which is protected by EWF.

To disable EWF, you must use the EWFMGR commitanddisable command. Because the EWF configuration information is protected by EWF, committing the overlay writes all changes to the protected volume, including the EWF disable command.

Before you create your CompactFlash run-time image, familiarize yourself with EWF RAM Reg Mode.

·                 Typically, CompactFlash devices are marked as removable and cannot be partitioned by using Windows XP partitioning tools. Some manufacturers include utilities to mark their CompactFlash devices as non-removable (fixed) to allow additional partitioning. Use your manufacturer's CompactFlash partitioning tools to edit the partition sizes of your CompactFlash device.

·                 The instructions provided in How to Configure EWF for CompactFlash require a CompactFlash to IDE adapter. USB CompactFlash card readers are not supported.

·                 You should disable pagefile support on your run-time image, or, if possible, relocate your pagefile to a non-protected volume. Using a pagefile can add a significant amount of overhead in the RAM overlay. For more information, see Changing the Location of the Pagefile.