Windows系统深入

sc [操作] [服务名] [参数]

sc query "nginx"

sc queryx "nginx" #更为详细

sc start/stop "nginx"

sc config "ngnix" start= auto/demand/disable

#自动 / 手动 / 禁止启动

sc create "myserive" binPath="path_to_exe" start= auto

sc delete "myserive"

tasklist /fi "PID eq 1234"

tasklist /fi "STATUE eq running"

tasklist /fi "IMAGENAME eq notepad.exe"

tasklist /svc #显示对应服务

tasklist /m kernal32.dll 

#加载了该 dll 的进程，没有参数则是输出显示进程加载的 dll 文件

tasklist /s 192.162.1.100 -u admin /p password

#用于远程查看

wmic [类别] [操作]

wmic process

	get name,processid

	where "pid=1234" get commandline

	where name="notepad.exe" delete

	where caption="windows time" call startservice

wmic bios list 

	Brief

    (Full)

    Instance 对象实例

    Statue 对象状态

    System

    Writeable 可写入属性信息

#这里是服务程序管理，要区别于下面的进程管理

Service where caption="windows time" call stopservice

Service where caption="windows time" call startservice

SERVICE where name="Spooler" call PauseService

SERVICE where name="Spooler" set StartMode="auto"

#启动类型有三种，auto,disable,manual

COMPUTERSYSTEM get SystemStartupOptions #获取系统启动项

COMPUTERSYSTEM get domain #获取工作组 / 域

computersystem where "name='abc'" call rename 123 #重命名计算机

computersystem where "name='google'" call joindomainorworkgroup "","","MyGroup",1

#将 google 用户加到 MyGroup 中，1 表示加入，前两个空值分别是域或工作组的用户名，对应的密码

datafile where "drive='e:' and path='\\test\\' and FileName='cc' and Extension='cmd' and FileSize>'1000'" list

#查找该目录下大于 1KB 的 cc.cmd 文件，不包括子目录，除非不给 path

datafile where "drive='e:' and path='\\test\\' and FileName='cc' and Extension='cmd'" call copy "e:\aa.bat"

#自己看

datafile where "drive='h:' and extension='txt' and path like '%\\test\\%' and filename like '%perl%'" get name

#查找 h 盘下文件名含有 perl，目录有 test，后缀为 txt 的文件

#获取 temp 环境变量

ENVIRONMENT where "name='temp'" get UserName,VariableValue

#更改 path 环境变量值，新增 e:\tools

ENVIRONMENT where "name='path' and username='<system>'" set 

VariableValue="%path%;e:\tools"

#新增系统环境变量 home, 值为 % HOMEDRIVE%% HOMEPATH%

ENVIRONMENT create name="home",username="<system>",VariableValue="%HOMEDRIVE%%HOMEPATH%"

#删除 home 环境变量

ENVIRONMENT where "name='home'" delete

USERACCOUNT where name="Administrator" set FullName="admin"

USERACCOUNT where "name='admin" call Rename admin00

useraccount create newuser P@ssw0rd

useraccount where name="newuser" set password="NewP@ss123"

useraccount where name="newuser" set disabled=true

useraccount where name="newuser" delete

useraccount where name="administrator" get /format:list

for /f "skip=1 tokens=1*" %i in ('wmic datafile where "FileName='qq' and extension='exe'" get drive^,path') do (set "qPath=%i%j"&@echo %qPath:~0,-3%)

#drive^,path 中的 ^ 用于转义，只在批处理中这样

#获取屏幕分辨率 wmic DESKTOPMONITOR where Status='ok' get ScreenHeight,ScreenWidth

wmic PageFileSet set InitialSize="512",MaximumSize="512"

#设置虚拟内存到 E 盘，并删除 C 盘下的页面文件，重启计算机后生效

wmic PageFileSet create name="E:\\pagefile.sys",InitialSize="1024",MaximumSize="1024"

wmic PageFileSet where "name='C:\\pagefile.sys'" delete

reg query

reg add

reg delete

reg modify

reg export #导出，保存为.reg 文件，用于备份

reg import

reg load #加载 hive 文件，这是离线的注册表配置单元（比如其他用户的注册表）

reg unload0

# 查询 HKEY_CURRENT_USER 下的桌面图标配置键，HKCU 是其缩写

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel"

# 在 TestKey 下添加字符串值：Name= "MyTest"（/v 指定值名，/t 指定类型，/d 指定数据，/f 强制覆盖），HKLM 是 HKEY_LOCAL_MACHINE，系统级根键

reg add "HKLM\SOFTWARE\TestKey" /v "Name" /t REG_SZ /d "MyTest" /f

#REG_SZ 是字符串，REG_DWORD 是 32 位数值，REG_BINARY 是二进制。delete 于 add 类似

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

#自启动路径，HKLM 主键修改要管理员，其中的键值数据是程序的绝对路径

netsh interface ip show config 本地连接

IP相关

netsh interface ip set address name=\"本地连接\" source=static address=xxxx mask=xxxxxxx geteway=xxxx

#IP 地址，子网掩码，网关

DNS相关

netsh interface ipv4 set dns \"以太网\" static 8.8.8.8 primary validate=no

netsh interface ipv4 add dns \"以太网\" 8.8.4.4 index=2

路由相关

netsh interface ipv4 add route 192.168.0.0/24  \"本地连接\" 192.168.0.254

#CIDR, 网关。这是在配置路由规则，在访问特定的网段时使用特定的网关

#24 表示前 24 位时网络位，最后 8 位时主机位，也可以更加细化比如 / 27，只是用 5 位作为主机位，此时最多只有 32 台主机

netsh interface ipv4 set address name="Wireless Network Connection" dhcp

#设置使用 DHCP

netsh interface portproxy add v4_to_v4 listenaddress=localaddress listenport=localport connect=destaddress connectport=destport

#要使用计算机的当前 IP 地址，不能使用本地回环地址

netstat -ano | findstr :port

netsh interface portproxy dump/delete v4_to_v4 .../reset #查看已有的转发规则

#确保处于监听状态

netsh firewall set opmode disable#关闭防火墙

#在 cmd 中这是一个已经弃用的命令，但是可以在 powershell 中直接使用，你可以在 cmd 中直接调用 powershell

#相同作用的：

netsh advfirewall set allprofiles state off

netsh advfirewall firewall add rule name="deny udp 137" dir=in protocol=udp localport=137 action=block   

#看连接

netsh interface ip show tcpconn

ipconfig /all #会加上 MAC 地址

ipconfig /release #释放 IP 地址

ipconfig /renew

ipconfig /flushdns #刷新 DNS

ipconfig /displaydns #显示 DNS 缓存

route print #显示所有路由表

route print 10.*

route /p add <目标IP> mask <子网掩码> <下一个跃点> metric 7 if 0x3

#加 /p 时表示持久性路由，添加默认路由是：route add 0.0.0.0 mask 0.0.0.0 < 网关 >

route delete <目标IP> mask <子网掩码>

route delete 10.*

route change <目标IP> mask <子网掩码> <更改后的下一个跃点>

wevtutil /q /fo CSV /f "System" >  sys_log.csv

#导出日志，也可以直接配合 findstr 筛选

wevtutil el #所有日志名称

wevtutil gl System /f:xml #以 XML 格式显示有关本地计算机的系统日志文件的配置信息

wevtutil sl /c:config.xml #使用配置文件设置事件日志属性

wevtutil gp Microsoft-Windows-Eventlog /ge:true #显示关于该事件的发布者信和可以引发的元数据

wevtutil qe Application /c:3 /rd:true /f:text #以文本格式显示应用程序的三个最新事件

wevtutil gli Application #查看应用程序日志状态

wevtutil epl System C:\backup\system0506.evtx #导出事件

wevtutil cl Application /bu:C:\admin\backups\a10306.evtx#备份后清空应用日志

Get-Process | Where-Object {$_.CPU -gt 100} | Select-Object Name,CPU

获取所有进程

过滤CPU使用率大于100的进程

只输出Name和CPU字段

$_表示当前管道中的对象

Get-Process | Select-Object Name, @{Name="MemoryMB";Expression={$_.WorkingSet / 1MB -as [int]}}

#注意，后面的 Name=xxx 只是给后面计算出的结果指定名称。这里的 / 1MB 实际上只是来转换单位，-as [int] 将值转换为整型

Get-Process | Sort-Object CPU -Descending

Get-Service | Group-Object Status

Get-Service | Select-Object Name, Status | Export-Csv -Path services.csv -NoTypeInformation

Get-Service | ConvertTo-Json

Where-Object Name -like "*Win*"

等同于原来的

Where-Object { $_.Name -like "*Win*" }

Get-Process | Get-Member

C:  驱动器

Env: 环境变量

Cert： 证书库

HKLM/HKCU： 注册表 使用时类似 HKLM:\Software\Microsoft

Alias: Powershell中的别名

Fuction： 当前会话中的函数

Variable: 当前定义的变量

Get-PSDrive #输出所有驱动器

New-PSDrive -Name "Share" -PSProvider FileSystem -Root "\\server\share"

Get-Module -ListAvailable 

Import-Module Az