黑客常用cmd入侵命令

真正的黑客入侵从来不是电影里那种炫酷的3D界面。绝大多数渗透测试的常用第一步，就是侵命打开一个黑乎乎的cmd窗口，敲几行看起来人畜无害的黑客指令。这些命令本身并不邪恶，常用就像螺丝刀本身不会撬锁——但你知道它能在三十秒内拆掉一台服务器的侵命防护时，感觉就完全不同了。黑客

ping 是常用所有人学会的第一条命令。但黑客用它不是侵命为了测延迟，而是黑客探测目标是否存活。一条 ping -t 192.168.1.1 连续发包，常用如果TTL值稳定在128左右，侵命基本确定是黑客Windows系统；64附近则是Linux。这个细节直接决定后续攻击手法的常用选择——Windows用SMB漏洞，Linux则优先尝试SSH爆破。侵命我见过太多新手对着一个死IP狂敲半天，连目标开机没开机都不知道。

真正危险的命令藏在系统自带工具里。net user 系列就是典型。攻击者一旦通过弱口令或漏洞拿到一个普通权限的shell，第一件事就是输入 net localgroup administrators 查看管理员组名单。接着用 net user hacker 123456 /add 悄悄创建一个隐藏账号，再通过 net localgroup administrators hacker /add 把它提拔成管理员。整个过程不到五秒，日志里只多了一条看似普通的用户创建记录——如果管理员不盯着安全日志，这个后门能存活好几年。

还有些命令专门用来擦除痕迹。老练的黑客进入系统后会立刻敲 del %windir%\*.log /a /s 批量删除日志文件，或者用 wevtutil cl 清空Windows事件日志。这招粗糙但有效——大多数中小企业的服务器不会做日志异地备份。我认识一个做红队的朋友，他习惯在撤离前用 fsutil usn deletejournal /d C: 删除USN变更日志，让文件系统层面的操作记录彻底消失。这相当于把犯罪现场的监控录像硬盘直接格式化。

横向渗透时，wmic 命令是利器。一条 wmic process list full 能列出目标机器上所有进程的完整路径、命令行参数，甚至能从中扒出数据库连接字符串或明文密码。更狠的是 wmic /node:192.168.1.10 /user:admin /password:123456 process call create "cmd.exe /c net user hacker 123456 /add"——只要知道管理员密码，就能在远程机器上直接执行命令，连端口都不需要开。这招在域环境里特别管用，因为域管理员通常在所有机器上都有权限。

还有个容易忽略的细节：arp -a 命令能显示局域网内所有IP和MAC地址对照表。攻击者进入内网后先敲这个，能快速摸清网络拓扑——哪台是网关，哪台是数据库服务器，哪台是打印机（打印机经常被用来当跳板，因为固件漏洞多且没人更新）。配合 route print 查看路由表，整个内网结构就像摊开的地图。

最讽刺的是，这些命令全都写在微软官方文档里，每一条都有正当用途。系统管理员用它们排查故障，入侵者用它们拆房子。区别只在于——你敲 netstat -ano 是为了看哪个进程占了80端口，而攻击者敲同样命令是为了找哪个端口连着外联的C2服务器。工具永远中性，但意图从来不中立。

说句实话，现在纯cmd命令直接打穿系统的场景越来越少。云主机默认封了高危端口，EDR会拦截可疑的PowerShell调用。但那些老旧的Windows Server 2008、暴露在公网的RDP端口、还在用Admin/123456的生产环境——它们依然每天在互联网上闪烁，像没锁门的便利店。cmd命令就像万能钥匙，门锁没换的话，它永远有效。